GCP Scanner:一款针对Google Cloud Platform(GCP)的凭证安全审计工具
2023-12-21 19:14:36 Author: FreeBuf(查看原文) 阅读量:7 收藏

 关于GCP Scanner 

GCP Scanner是一款针对Google Cloud Platform(GCP)的凭证安全审计工具,该工具可以帮助广大安全工程师对GCP凭证快速执行安全审计分析。该工具本质上是一个针对GCP的资源扫描器,可以确定某些凭证在GCP上拥有怎样级别的访问权限。该工具旨在帮助研究人员评估某个虚拟机/容器的安全态势,以及GCP服务器账户和OAuth2令牌密钥泄漏所产生的安全影响。

 功能介绍 

当前版本的GCP Scanner支持扫描下列GCP资源:

GCE

GCS

GKE

App Engine

Cloud SQL

BigQuery

Spanner

Pub/Sub

Cloud Functions

BigTable

CloudStore

KMS

Cloud Services

当前版本的GCP Scanner支持提取和使用下列类型的凭证:

1、GCP VM实例元数据;

2、存储在gcloud配置文件中的用户凭证;

3、OAuth2刷新令牌(云平台范围授权);

4、GCP服务账号密钥(JSON格式);

该工具不需要依赖任何第三方工具(例如gcloud等),因此它可以作为一款独立工具进行编译和运行,而且可以在没有安装GCP SDK的设备上使用。但是,当前版本的GCP Scanner仅支持在Linux操作系统上运行。

 工具安装 

由于该工具基于Python 3开发,因此我们首先需要在本地设备上安装并配置好Python 3环境。接下来,我们可以直接使用pip工具安装GCP Scanner:

pip install gcp_scanner
python3 -m gcp_scanner --help

除此之外,我们也可以使用下列命令将该项目源码克隆至本地,并手动安装工具依赖组件:

git clone https://github.com/google/gcp_scanner
cd gcp_scanner
pip install .
gcp-scanner --help

向右滑动,查看更多

如果你想要在Docker容器中使用GCP Scanner的话,可以使用下面的Docker构建文件:

docker build -f Dockerfile -t sa_scanner .

向右滑动,查看更多

 命令行选项 

usage: python3 scanner.py -o folder_to_save_results -g -
GCP Scanner
options:
-h, --help 显示工具帮助信息和退出
-ls, --light-scan 仅在输出中提供最重要的GCP资源信息
-k KEY_PATH, --sa-key-path KEY_PATH
包含JSON格式SA密钥数据的目录路径
-g GCLOUD_PROFILE_PATH, --gcloud-profile-path GCLOUD_PROFILE_PATH
gcloud配置文件目录路径
-m, --use-metadata 从GCE实例元数据中提取凭证信息
-at ACCESS_TOKEN_FILES, --access-token-files ACCESS_TOKEN_FILES
包含访问令牌和OAuth数据的文件列表(JSON格式,逗号分隔)
-rt REFRESH_TOKEN_FILES, --refresh-token-files REFRESH_TOKEN_FILES
包含refresh_token、client_id、token_uri和client_secret的文件列表(JSON格式,逗号分隔)
-s KEY_NAME, --service-account KEY_NAME
要扫描的单个SA名称
-p TARGET_PROJECT, --project TARGET_PROJECT
要扫描的单个项目名称
-f FORCE_PROJECTS, --force-projects FORCE_PROJECTS
要扫描的项目名称列表(逗号分隔)
-c CONFIG_PATH, --config CONFIG_PATH
包含指定待扫描资源目标的配置文件路径
-l {DEBUG,INFO,WARNING,ERROR,CRITICAL}, --logging {DEBUG,INFO,WARNING,ERROR,CRITICAL}
设置日志记录级别 (INFO, WARNING, ERROR)
-lf LOG_FILE, --log-file LOG_FILE
存储日志文件路径
-pwc PROJECT_WORKER_COUNT, --project-worker-count PROJECT_WORKER_COUNT
设置并行项目爬虫数量
-rwc RESOURCE_WORKER_COUNT, --resource-worker-count RESOURCE_WORKER_COUNT
                        设置并行资源爬虫数量
Required parameters:
-o OUTPUT, --output-dir OUTPUT
输出目录路径

向右滑动,查看更多

 使用PyInstaller构建独立可执行代码 

使用下列内容替换pyproject.toml文件中的“google-api-python-client==2.80.0”:

google-api-python-client==1.8.0

然后切换到工具源代码目录中,并使用PyInstaller编译独立代码:

pyinstaller -F --add-data 'roots.pem:grpc/_cython/_credentials/' scanner.py

(向右滑动,查看更多)

 工具输出结果 

GCP Scanner将在扫描完成后生成一个单独的JSON文件,可以使用任意JSON文件查看器或数据库来处理生成的JSON文件。我们也提供了一个基于Web的工具来帮助大家以可视化的形式分析结果数据,运行命令如下:

usage: gcp-scanner-visualizer -p 8080
GCP Scanner Visualizer
options:
-h, --help 查看工具帮助信息和退出
-p PORT, --port PORT 要监听的端口号,默认为8080

(向右滑动,查看更多)

 工具运行截图 

 许可证协议 

本项目的开发与发布遵循Apache-2.0开源许可证协议。

 项目地址 

GCP Scannerhttps://github.com/google/gcp_scanner

FreeBuf粉丝交流群招新啦!
在这里,拓宽网安边界
甲方安全建设干货;
乙方最新技术理念;
全球最新的网络安全资讯;
群内不定期开启各种抽奖活动;
FreeBuf盲盒、大象公仔......
扫码添加小蜜蜂微信回复“加群”,申请加入群聊
https://cloud.google.com/policy-intelligence/docs/analyze-iam-policies

https://cloud.google.com/iam/docs/impersonating-service-accounts


文章来源: http://mp.weixin.qq.com/s?__biz=MjM5NjA0NjgyMA==&mid=2651252181&idx=4&sn=e81a4a7ed7d40fa75f5cc67aea7e8c95&chksm=bc4d06f13d9479ffaa00bcc94a22e7a5f4b294600f16c78e4d4061e01042973c1dd6f6d7ea88&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh