GCP - Apikeys Privesc
Apikeys
Mamlaka zifuatazo ni muhimu kwa kujenga na kuiba funguo za API, sio hizi kutoka kwa nyaraka: Funguo ya API ni mfuatano rahisi uliyofichwa ambao unatambua programu bila mwakilishi wowote. Wanafaa kwa kupata data ya umma kwa usiri, na hutumiwa ku unganisha maombi ya API na mradi wako kwa ajili ya kiwango na bili.
Kwa hivyo, ukiwa na funguo ya API unaweza kufanya kampuni ile ilipe kwa matumizi yako ya API, lakini hutaweza kuongeza mamlaka.
Kwa habari zaidi kuhusu Funguo za API angalia:
GCP - API Keys EnumKwa njia nyingine za kujenga funguo za API angalia:
GCP - Serviceusage PrivescKufikia Funguo ya API kwa Nguvu ya Kufanya Kazi
Kwa kuwa huenda usijue ni API zipi zilizowezeshwa kwenye mradi au vikwazo vilivyowekwa kwenye funguo ya API uliopata, ingekuwa muhimu kukimbia zana https://github.com/ozguralp/gmapsapiscanner na angalia unaweza kupata nini kwa funguo ya API.
apikeys.keys.create
apikeys.keys.create
Mamlaka haya inaruhusu kujenga funguo la API:
Unaweza kupata skripti ya kiotomatiki ya kuunda, kutumia vibaya na kusafisha mazingira dhaifu hapa.
Tafadhali elewa kwamba kwa chaguo-msingi watumiaji wana ruhusa ya kuunda miradi mipya na wanapewa jukumu la Mmiliki kwenye mradi mpya. Kwa hivyo, mtumiaji anaweza kuunda mradi na ufunguo wa API ndani ya mradi huu.
apikeys.keys.getKeyString
, apikeys.keys.list
apikeys.keys.getKeyString
, apikeys.keys.list
Ruhusa hizi huruhusu kutaja na kupata apiKeys zote na kupata Ufunguo:
Unaweza kupata script ya kiotomatiki kuundwa, kutumia vibaya na kusafisha mazingira dhaifu hapa.
apikeys.keys.undelete
, apikeys.keys.list
apikeys.keys.undelete
, apikeys.keys.list
Ruhusa hizi kuruhusu wewe kuorodhesha na kuzalisha upya funguo za api zilizofutwa. Funguo ya API inatolewa kwenye matokeo baada ya undelete kufanywa:
Unda Maombi ya OAuth ya Ndani kwa ajili ya kudanganya wafanyakazi wengine
Angalia ukurasa ufuatao kujifunza jinsi ya kufanya hivi, ingawa hatua hii inahusiana na huduma clientauthconfig
kulingana na nyaraka:
Last updated