GCP - API Keys Enum

Jifunze kuhusu kudukua AWS kutoka mwanzo hadi mtaalamu na htARTE (Mtaalamu wa Timu Nyekundu ya AWS ya HackTricks)!

Njia nyingine za kusaidia HackTricks:

• Ikiwa unataka kuona kampuni yako ikitangazwa kwenye HackTricks au kupakua HackTricks kwa PDF Angalia MIPANGO YA KUJIUNGA!

• Pata bidhaa rasmi za PEASS & HackTricks

• Gundua Familia ya PEASS, mkusanyiko wetu wa NFTs ya kipekee

• Jiunge na 💬 Kikundi cha Discord au kikundi cha telegram au fuata kwenye Twitter 🐦 @carlospolopm.

• Shiriki mbinu zako za kudukua kwa kuwasilisha PRs kwa HackTricks na HackTricks Cloud repos za github.

Taarifa Msingi

Kwenye Jukwaa la Google Cloud (GCP), vipengele vya API ni herufi zilizofichwa rahisi ambazo zinafafanua programu bila mamlaka yoyote. Hutumiwa kwa kupata APIs za Google Cloud ambazo hazihitaji muktadha wa mtumiaji. Hii inamaanisha mara nyingi hutumiwa katika hali ambapo programu inapata data yake mwenyewe badala ya data ya mtumiaji.

Vizuizi

Unaweza kuweka vizuizi kwa vipengele vya API kwa usalama zaidi. Kwa mfano, unaweza kuzuia funguo kutumiwa tu na anwani fulani za IP, tovuti, programu za Android, programu za iOS, au kuzuiwa kwa baadhi ya APIs au huduma ndani ya GCP.

Uchambuzi

Inawezekana kuona kizuizi cha kipengele cha API (ikiwa ni pamoja na kizuizi cha vituo vya API vya GCP) kwa kutumia orodha au maelezo ya vitendo:

gcloud services api-keys list
gcloud services api-keys describe <key-uuid>
gcloud services api-keys list --show-deleted

Inawezekana kupata tena funguo zilizofutwa kabla ya siku 30 kupita, ndio maana unaweza kuorodhesha funguo zilizofutwa.

Upandishaji wa Mamlaka & Baada ya Kudukuliwa

pageGCP - Apikeys Privesc

Uchunguzi Usiothibitishwa

pageGCP - API Keys Unauthenticated Enum

Uthabiti

pageGCP - API Keys Persistence

Jifunze kuhusu kudukua AWS kutoka mwanzo hadi kuwa shujaa na htARTE (HackTricks AWS Red Team Expert)!

Njia nyingine za kusaidia HackTricks:

• Ikiwa unataka kuona kampuni yako ikitangazwa kwenye HackTricks au kupakua HackTricks kwa PDF Angalia MIPANGO YA KUJISAJILI!

• Pata swag rasmi ya PEASS & HackTricks

• Gundua Familia ya PEASS, mkusanyiko wetu wa NFTs ya kipekee

• Jiunge na 💬 Kikundi cha Discord au kikundi cha telegram au fuata kwenye Twitter 🐦 @carlospolopm.

• Shiriki mbinu zako za kudukua kwa kuwasilisha PRs kwa HackTricks na HackTricks Cloud repos za github.