carlospolop/purplepandaIdentificare i percorsi di escalation dei privilegi all'interno e tra diversi cloud
Questo strumento recupera risorse da diverse applicazioni cloud/saas concentrandosi sui permessi, allo scopo di identificare percorsi di escalation dei privilegi e permessi pericolosi nelle configurazioni cloud/saas. Nota che PurplePanda cerca sia percorsi di escalation dei privilegi all'interno di una piattaforma, sia tra piattaforme diverse.
Il nome deriva dall'animale Panda Rosso. Questo panda mangia piselli, proprio come Purple Panda, che può ingerire chiavi API/token trovati da PEASS. Il colore è stato cambiato in viola perché questo strumento è pensato principalmente per team Purple (perché può essere molto utile sia per i team Blue che per i team Red).
Ogni cartella all'interno di /intel definisce una piattaforma che può essere enumerata e contiene un file README.md che spiega come usare quel modulo specifico.
Scarica Neo4jDesktop e crea un database. Quindi esporta le variabili d'ambiente PURPLEPANDA_NEO4J_URL e PURPLEPANDA_PWD con l'URL del database neo4j e la password.
Se vuoi che shodan venga usato con gli IP pubblici scoperti durante l'enumerazione, esporta una variabile d'ambiente chiamata SHODAN_KEY con una chiave API valida di shodan.
Poi installa e avvia il programma indicando le piattaforme che vuoi enumerare separate da virgole, come nell'esempio.
git clone https://github.com/carlospolop/PurplePanda
cd PurplePanda
python3 -m venv .
source bin/activate
python3 -m pip install -r requirements.txt
export PURPLEPANDA_NEO4J_URL="bolt://neo4j@localhost:7687"
export PURPLEPANDA_PWD="s3cr3tpassword"
# Install this if you are going to use GCP
gcloud components install gke-gcloud-auth-plugin
python3 main.py -h # Get help
python3 main.py -e -p google,github,k8s --github-only-org --k8s-get-secret-values --gcp-get-secret-values # Enumerate google, github and k8s
# Consider adding the API keys in the Dockerfile
docker rm -f purplepanda
docker build --tag=purplepanda .
# Execute -h
## CHange -h for the params you want to run purplepanda with
docker run -t \
-e PURPLEPANDA_NEO4J_URL="bolt://[email protected]:7687" \
-e PURPLEPANDA_PWD="s3cr3tpassword" \
-e GOOGLE_DISCOVERY=... \
-e GITHUB_DISCOVERY=... \
-e K8S_DISCOVERY=... \
-e CONCOURSE_DISCOVERY=... \
-e CIRCLECI_DISCOVERY=... \
purplepanda python3 main.py -h
## -t is needed to see the output properly
## If you are using Neo4Desktop to connec to the DB use the domain host.docker.internal
## You might need to use the option '-v' to mount files with configurations
PurplePanda ha 2 modalità di analisi:
-e (enumera): è la principale, cerca di raccogliere dati e analizzarli.-a (analizza): esegue un'analisi rapida delle credenziali fornite.Guarda come usare e ispezionare i dati raccolti da PurplePanda:
Usa credenziali per ogni piattaforma con almeno accesso in lettura amministrativo a tutte le risorse della piattaforma. Questo ti aiuterà a vedere esattamente i percorsi di privesc che possono essere sfruttati nelle tue configurazioni, all'interno di ogni piattaforma e tra
PurplePanda è anche progettato per essere usato dai Red Team. In generale, le piattaforme cloud/saas non concedono a tutti l'accesso in lettura della configurazione della piattaforma, per questo PurplePanda supporta l'uso di più chiavi per la stessa piattaforma, in modo da tentare di enumerare tutto con tutte le chiavi compromesse e avere la visione più accurata della configurazione della piattaforma.
Usa il parametro -d indicando una directory. Quindi, PurplePanda scriverà in questa directory diverse analisi interessanti in formato csv delle informazioni ottenute da tutte le piattaforme. La raccomandazione è di trovare elementi interessanti e inaspettati in quei file e poi passare a analizzare quei casi interessanti con i grafici.
Ogni cartella all'interno di /intel definisce una piattaforma che può essere enumerata e contiene un file README.md che spiega come usare quel modulo specifico. Inoltre, ogni cartella contiene anche un file HOW_TO_USE.md e un file QUERIES.md.
Nel file HOW_TO_USE.md puoi trovare le migliori query per condurre un'indagine su come escalare i privilegi (per team Purple, Blue e Red).
Nel file QUERIES.md troverai tutte le query proposte per investigare i dati più facilmente.
Segui le istruzioni indicate in VISUALIZE_GRAPHS.md
Nella cartella principale e in ogni cartella all'interno di intel/ troverai un file TODO.md. In quei file puoi trovare come puoi aiutare. Basta inviare una PR con l'aggiunta.
Sono ben accette anche PR con correzioni :)
Inoltre, se hai altre idee che non sono in quei file TODO, sentiti libero di inviare una PR.
Di Carlos PolopTM