利用配置错误的IAM策略窃取云函数访问令牌[GCP]

在身份与访问管理（IAM）中，策略是一组规则，通过指定谁可以对哪些资源执行什么操作来定义访问控制。这些策略帮助管理员在环境中有效管理权限。

在Google Cloud Platform（GCP）中，策略通常包含三个主要组件：

这些IAM策略中的任何配置错误如果允许意外访问，都可能导致安全风险。

在本博客文章中，我们将探讨一个场景：云函数IAM策略中的配置错误使攻击者能够窃取服务账户的访问令牌。该场景假设我们已经获得了GCP环境的访问权限。

GCP中的云函数类似于AWS Lambda，是由事件驱动操作触发执行的代码块。这些无服务器函数允许开发人员自动化流程，如调整图像大小、将文件上传到存储桶或在数据库记录被修改时发送通知。

我们可以通过不同方式触发云函数 - 直接使用gcloud functions call命令调用它们，使用Google Cloud Console，或向函数的URL发送GET或POST请求。

过去，任何被分配了cloudfunctions.admin或cloudfunctions.developer角色的用户或服务账户都能直接对函数进行更改。然而，Google更改了IAM策略，现在只有服务账户可以更新函数。

要更新函数：

对于此实验，我们需要在测试机器上安装gcloud CLI。

在这个实验场景中，我们使用名为auditor-srv-acc的服务账户获得了立足点。其中一个可访问的函数运行代码，当调用时，会检索绑定到该函数的服务账户的访问令牌，允许我们横向移动到另一个账户。

首先使用gcloud auth命令进行身份验证，并提供服务账户JSON文件进行认证。

bash 复制代码

gcloud auth activate-service-account --key-file [JSON密钥文件]

访问环境后，我们开始枚举过程，检查分配给项目的IAM策略。

bash 复制代码

gcloud projects get-iam-policy [项目名称]

由于自定义角色带有特定的权限集，我们需要检查我们被分配了哪些权限。

bash 复制代码

gcloud iam roles describe toub2726 --project [项目名称]

接下来，我们检查可访问的资源，如函数。

bash 复制代码

gcloud functions list

获得可用函数列表后，我们可以获取每个函数的更多详细信息。

bash 复制代码

gcloud functions describe [函数名称]

接下来，我们检查每个可访问函数的IAM策略。

bash 复制代码

gcloud functions get-iam-policy [函数名称]

此时，我们可以通过向函数元数据中找到的URL发送GET或POST请求来触发函数。

bash 复制代码

curl -X POST "https://函数URL" -H "Content-Type: application/json" -d '{}'

获得访问令牌后，我们可以通过访问以下URL并粘贴访问令牌来验证其有效性。

bash 复制代码

https://www.googleapis.com/oauth2/v1/tokeninfo?access_token=[访问令牌]

如今天的文章所示，资源级别（如云函数）的错误配置IAM策略允许所有用户调用函数。这种错误配置使我们能够运行函数并检索访问令牌，即使我们用于身份验证的服务账户只有具有有限权限的查看者角色。