2026-03-03 04:02:26 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文介绍开源工具CloudFoxGCP，旨在帮助安全人员识别谷歌云平台的攻击路径与配置错误。该工具包含64个模块，覆盖IAM、存储、计算及网络安全，通过与FoxMapper集成可发现权限提升与横向移动机会。文章分析了GCP特有的IAM继承与服务账户风险，引用历史泄露案例强调其必要性。CloudFoxGCP提供层级化输出，仅需读取权限即可运行，能有效提升云环境可见性与安全修复效率。 综合评分： 88 文章分类： 安全工具,云安全,渗透测试,红队

cover_image

开源发布！CloudFox GCP：谷歌云攻击路径测绘工具

Dubito Dubito

云原生安全指北

2026年2月28日 08:38 江苏

开源工具地址：https://github.com/BishopFox/cloudfox

注：本文翻译自Bishop Fox的文章《Introducing CloudFox GCP: Attack Path Identification for Google Cloud》[1]，可点击文末“阅读原文”按钮查看英文原文。

全文如下：

摘要

CloudFox GCP将CloudFox的攻击性安全方法论扩展到了Google Cloud Platform，使从业人员能够枚举云资源、映射身份权限，并在整个组织层级中识别服务帐户风险。当与FoxMapper（一款即将发布、基于NCC Group的PMapper构建的权限提升路径映射工具）配合使用时，CloudFox GCP还能揭示权限提升链、横向移动机会以及数据外泄风险。

一、GCP安全现状

多年来，关于云的采纳讨论一直由AWS和Azure主导，Google Cloud Platform被视为一个专业化的替代方案，在数据分析、Kubernetes和机器学习工作负载方面尤为强大。

如今，GCP已成为从初创公司到财富500强企业在内的无数企业的支柱，支撑着生产应用、数据平台、CI/CD系统和人工智能基础设施。

然而，GCP的安全模型与其他云提供商显著不同。其层级结构（组织 → 文件夹 → 项目 → 资源）所创建的继承模式可能导致意外的权限传播。在组织级别设置一个过于宽松的IAM绑定，就可能影响成百上千个项目中的数千个资源。

一些具体的GCP风险包括：

• IAM继承：在较高级别授予的权限会自动向下传播。
• 服务帐户泛滥：默认服务帐户通常拥有过高的权限。
• 跨项目信任：共享VPC和跨项目服务帐户模拟（impersonation）创建了复杂的信任关系。
• 元数据服务暴露：169.254.169.254 这个元数据端点允许计算实例上的任意进程访问凭据。
• 全域委派：具有G Workspace全域委派权限的服务帐户可以访问整个组织内的用户数据。

随着这些元素扩展到企业环境中，如何洞察权限的传播方式以及身份的交互方式变得愈发重要，同时也更难以追踪。

近年来，GCP环境中发生的几起备受关注的安全事件，反映了当这些关系及其可利用性未被充分理解时可能出现的风险：

• Firebase数据库暴露事件 (2018-2022年)：安全研究人员发现，由于安全规则配置错误，超过4000个Firebase数据库暴露了敏感用户数据。作为GCP的原生服务，Firebase在全球移动应用程序中存储了数百万用户的明文密码、健康记录和财务信息。
• Shopify GCP配置错误事件 (2020年)：一个配置错误的Google Cloud存储桶泄露了Shopify的内部数据，这表明即使是技术成熟的组织也可能因存储配置错误而受害。
• UniCredit Google Cloud数据泄露事件 (2019年)：这家意大利银行业巨头遭遇数据泄露，影响了300万客户，部分原因归咎于云基础设施的配置错误。
• GKE集群遭入侵事件 (2020年至今)：多个组织因在GKE环境中配置了过于宽松的RBAC权限、暴露仪表板以及使用默认服务帐户令牌，而导致其Kubernetes集群遭到入侵。
• BioStar 2生物识别数据泄露事件 (2019年)：一家安全公司发现，由于访问控制配置错误，存储在Google Cloud上的23GB生物识别数据（包括指纹和面部识别记录）遭到暴露。
• Autom8加密货币挖矿活动 (2021年)：攻击者利用配置错误的GCP实例和GKE集群来部署加密货币挖矿操作，并利用默认的元数据服务配置在云资源之间进行横向移动。

这些事件呈现出共同的模式：过于宽松的IAM策略、暴露的存储桶、配置错误的服务帐户以及不充分的网络控制。这些正是CloudFox GCP旨在枚举和揭示的配置错误类型。

二、CloudFox GCP: CloudFox家族的新成员

CloudFox[2]长期以来一直是AWS安全评估中发现可利用攻击路径的首选工具，受到全球渗透测试人员、红队成员和安全工程师的信赖。今天，我们通过一套专为理解GCP独特安全模型而构建的模块，将该能力扩展到了Google Cloud Platform。

2.1 CloudFox GCP 的独特之处

与通用的云安全扫描器不同，CloudFox GCP 由攻击性安全从业者设计，专为攻击性安全用例服务。每个模块都旨在回答攻击者或安全评估人员会提出的特定问题：

• “这个被攻陷的服务帐户究竟能做什么？”
• “哪些存储桶是公开可访问的？”
• “我能从这个起始点提升权限吗？”
• “存在哪些可以跨项目横向移动的路径？”

CloudFox GCP 输出的是可操作的信息，而不仅仅是合规性检查清单，它能帮助您从攻击者的视角理解您的云环境。

CloudFox GCP 的枚举模块可以独立运行，以揭示配置错误并绘制您的 GCP 环境地图。对于高级攻击路径分析，包括权限提升、横向移动和数据外泄路径映射，CloudFox 与 FoxMapper 集成。FoxMapper 是 Bishop Fox 即将发布的配套工具，它是对 NCC Group 的 Principal Mapper 的现代化重写和扩展，能够跨云环境构建 IAM 权限提升图谱。它映射了权限如何链接在一起，识别了从低权限身份到管理控制的路径。当 FoxMapper 数据可用时，CloudFox GCP 的权限提升、横向移动和数据外泄模块将利用其图分析，来呈现可操作的攻击路径，并提供可直接使用的利用命令。

2.2 CloudFox GCP 功能

CloudFox GCP 首发包含 64 个模块，分为五个逻辑类别，这些类别模拟了真实世界中 GCP 安全评估的展开过程：从身份入手，扩展到存储和计算，最后进行攻击路径分析。下面，我们将逐一介绍每个类别，展示 CloudFox GCP 在每个阶段能揭示什么。

每个类别都建立在前一个类别的基础上，从而深入洞察身份、资源和项目在整个组织层级中如何交互。

下表详细说明了每个模块在枚举、输出和攻击路径分析方面的具体作用。

以下各部分将详细阐述每个类别，涵盖 CloudFox GCP 能发现什么、为什么它很重要，以及每个模块如何融入真实的评估工作流程。

2.3 身份与访问管理

每一次GCP评估都始于身份。IAM是GCP安全的基石，理解谁能在什么地方做什么至关重要。

IAM模块套件能够深入洞察整个组织范围内GCP的权限模型。对于高级权限提升分析，CloudFox集成了FoxMapper，这是一款即将发布的工具，它在NCC Group的PMapper基础上构建，用于绘制GCP中的IAM权限提升路径。

您将发现的内容:

• 完整的IAM映射：枚举整个组织层级中的所有主体（用户、组、服务帐户）及其权限。
• 权限提升路径：结合FoxMapper集成，揭示60多种已知的权限提升技术，包括服务帐户模拟、密钥创建、IAM策略修改和资源部署滥用等，并提供可直接使用的利用剧本（playbooks）。
• 服务帐户分析：识别拥有过度宽松角色的服务帐户、未使用的帐户以及拥有可外部访问密钥的帐户。
• 全域委派：查找可以冒充G Workspace用户的服务帐户；这是一个关键风险，可能导致整个组织被攻陷。
• 工作负载身份配置错误：检测绑定到过度宽松的GCP服务帐户的Kubernetes服务帐户。

为何重要：在2021年SolarWinds攻击事件[3]之后，安全研究人员发现，被攻陷的云凭据始终是横向移动的初始立足点。拥有过度宽松服务帐户的GCP环境也存在同样的风险。

2.4 存储与secrets信息安全

云存储配置错误仍然是数据泄露的主要原因。CloudFox GCP能够全面洞察GCP的存储服务。

您将发现的内容：

• 公开存储桶检测：识别可被 allUsers 或 allAuthenticatedUsers 访问的Cloud Storage存储桶。
• 存储桶枚举：发现与您的组织关联但可能未出现在标准清单中的存储桶。
• Secret Manager分析：映射对secrets信息的访问权限，并识别过于宽松的secret策略。
• KMS密钥暴露：查找非预期主体可以访问的加密密钥。
• BigQuery数据集访问：识别具有公共访问权限或共享范围过广的数据集。
• Artifact Registry安全：检测权限过高的容器registry和制品仓库。

为何重要：2022年丰田数据泄露事件[4]中，由于一个云数据库配置错误，导致近29.6万条客户记录在近五年时间内可被访问。这表明存储配置错误可能在未被发现的情况下长期存在。

2.5 计算与容器安全

GCP的计算服务，从传统虚拟机到无服务器函数（serverless functions），各自都带来了独特的安全考量。

您将发现的内容：

• 计算实例分析：识别具有公网IP、附加服务帐户和元数据配置的实例。
• GKE集群安全：评估Kubernetes集群配置，包括RBAC、网络策略和工作负载身份设置。
• Cloud Functions暴露：查找具有公开HTTP触发器及过于宽松IAM绑定的无服务器函数。
• Cloud Run安全：分析容器部署的公共访问、入站设置和服务帐户配置。
• Cloud SQL评估：识别具有公网IP、特定SSL配置和网络设置的数据库实例。
• Vertex AI Notebooks：检测存在网络暴露和服务帐户风险的Jupyter notebooks。

为何重要：2023年微软AI研究员事件[5]中，由于与AI开发环境相关的云存储配置错误，导致38TB的敏感数据暴露。这凸显了计算与存储集成的配置错误所带来的风险。

2.6 网络安全

GCP的软件定义网络创建了复杂的信任关系，需要仔细分析。

您将发现的内容:

• 防火墙规则分析：映射防火墙规则，识别过于宽松的入站/出站配置。
• VPC网络拓扑：理解网络分段情况，并识别非预期的连接路径。
• VPC对等连接关系：发现跨项目和跨组织的网络连接。
• 共享VPC分析：映射宿主机项目与服务项目之间的关系，这可能会产生非预期的访问路径。
• 负载均衡器配置：识别面向公众的服务及其后端配置。
• 私有Google访问：评估控制内部资源如何访问Google API的配置。

为何重要：2022年Uber入侵事件[6]展示了攻击者如何利用网络横向技术，从初始访问点移动到关键系统。在攻击者发现这些路径之前，理解您的GCP网络拓扑对于识别它们至关重要。

2.7 攻击路径分析

单独来看，上述发现能提供关键的可见性。综合起来，它们能揭示可操作的攻击路径。CloudFox GCP的攻击路径模块将直接资源枚举与FoxMapper基于图谱的权限分析相结合，以呈现真实的利用链。

您将发现的内容：

• 权限提升链：识别从有限访问权限通往管理控制权的多步骤路径（由FoxMapper图分析驱动）。
• 横向移动机会：通过直接枚举令牌窃取向量并结合FoxMapper权限分析，绘制攻击者可能用于在项目和服务之间移动的路径。
• 数据外泄风险：检测实际的配置错误（如公开存储桶、暴露的快照），并通过FoxMapper分析识别基于权限的外泄向量。
• 跨项目访问：识别跨越项目边界的信任关系。
• 公网访问暴露面：全面梳理所有可被互联网访问的资源。
• 日志记录与检测缺口：识别安全监控中的盲点。

为何重要：现代攻击者不会利用单一漏洞。他们会将多个配置错误串联起来利用。CloudFox GCP 帮助您以攻击者的视角审视您的环境，识别出权限与访问的组合如何构成真实风险。

三、CloudFox GCP 检测的关键安全模式

为了使这些关系具体化，CloudFox GCP 能够识别在攻击性安全演练中常见的模式。

3.1 服务帐户令牌窃取链

1. 攻击者攻陷了一个使用默认服务帐户的计算实例。
2. 元数据服务在 169.254.169.254 提供了访问令牌。
3. 该服务帐户对某个高权限帐户拥有 iam.serviceAccounts.actAs 权限。
4. 攻击者冒充该高权限帐户以访问敏感资源。

CloudFox 检测： 由 FoxMapper 图分析驱动的 privesc 模块能够识别这些冒充链，并生成可直接使用的利用剧本（playbooks）。

3.2 跨项目横向移动路径

1. 攻击者以极少的敏感数据获得开发项目的访问权限。
2. 共享VPC配置提供了对生产资源的网络访问。
3. 跨项目服务帐户权限允许通过API访问生产环境。
4. 攻击者在不触发项目边界警报的情况下，跳转到生产环境。

CloudFox检测：lateral-movement模块结合了直接资源枚举（计算实例、Cloud Functions、Cloud Run、GKE）与FoxMapper的权限分析，以映射这些跨项目路径。同时，vpc-networks模块进一步映射了支持跨项目横向移动的共享VPC宿主机与服务项目关系。

3.3 公开存储桶数据泄露

1. 开发人员创建一个用于“临时”数据共享的存储桶。
2. allUsers权限授予了公共读取访问权。
3. 通过枚举或DNS记录发现了该存储桶的名称。
4. 敏感数据在无需身份验证的情况下被窃取。

CloudFox检测：buckets和public-access模块能够识别暴露的存储。

3.4 层级化输出：纵览您的整个GCP组织

CloudFox GCP引入了与GCP组织结构相呼应的层级化输出。您看到的不是扁平的资源列表，而是按以下结构组织的发现结果：

组织
├── 文件夹：生产环境
│ &nbsp; ├── 项目：prod-web-app
│ &nbsp; │ &nbsp; └── [此项目的发现结果]
│ &nbsp; └── 项目：prod-database
│ &nbsp; &nbsp; &nbsp; └── [此项目的发现结果]
└── 文件夹：开发环境
&nbsp; &nbsp; └── 项目：dev-sandbox
&nbsp; &nbsp; &nbsp; &nbsp; └── [此项目的发现结果]

这种结构帮助您：

• 理解组织的哪些部分风险最集中
• 识别特定层级上的策略继承问题
• 按组织单元确定修复工作的优先级
• 为特定团队或业务部门生成报告

四、CloudFox GCP 入门

CloudFox GCP 能与您现有的 GCP 身份验证无缝集成：

1. 应用默认凭据：使用您现有的 gcloud 身份验证。
2. 服务帐户密钥：支持使用密钥文件进行自动化评估的身份验证。
3. 工作负载身份：原生支持在 GKE 集群内进行评估。

CloudFox GCP 执行枚举和分析仅需要读取权限。该工具永远不会修改您的环境；它只进行观察和报告。

4.1 推荐权限

为了进行全面评估，我们推荐使用以下预定义角色：

| 范围 | 角色 | 目的 | | — | — | — | | 组织 | roles/resourcemanager.organizationViewer | 查看组织结构和元数据 | | 组织 | roles/iam.securityReviewer | 审查整个组织的 IAM 策略 | | 组织 | roles/cloudasset.viewer | 查询所有资源的 Cloud Asset Inventory | | 组织 | roles/cloudidentity.groupsViewer | 枚举 Google Groups 及其成员关系 | | 文件夹 | roles/resourcemanager.folderViewer | 查看文件夹层级结构和元数据 | | 项目 | roles/viewer | 对大多数项目资源的读取访问权限（包括日志记录、监控以及计算/网络的查看） |

对于单项目评估，仅 roles/viewer 角色就足以提供基本枚举所需的读取访问权限。

有关所需权限和 API 要求的完整列表，请参阅 CloudFox GCP 文档[7]。

4.2 下载与开始使用

CloudFox GCP 现已作为 CloudFox 开源项目的一部分提供：

• 下载：https://github.com/BishopFox/cloudfox/releases
• 源代码：https://github.com/BishopFox/cloudfox
• GCP 文档：https://github.com/BishopFox/cloudfox/wiki/GCP-Commands

4.3 下一步计划？

CloudFox GCP 首发包含 64 个模块，但这仅仅是个开始。我们的路线图包括：

• Azure 支持：通过全面的攻击性安全覆盖，扩展 CloudFox 的 Azure 能力。
• Kubernetes 支持：专用于 Kubernetes 集群安全评估的模块。
• 多云攻击路径：为横跨 AWS、GCP、Azure 和 Kubernetes 的组织提供跨云攻击路径检测。
• 增强的攻击路径分析：更深入的 FoxMapper 集成，以实现更复杂的多步骤权限提升和横向移动检测。
• CI/CD 安全分析：识别部署流水线和构建系统中的风险。

4.4 加入 CloudFox 社区

CloudFox 是开源项目，由社区驱动。我们欢迎各种贡献、反馈和合作：

• GitHub：github.com/BishopFox/cloudfox[2] – 在此报告问题、提交PR请求，并为项目点星
• 文档：CloudFox Wiki[8] – 包含每个 GCP 模块的全面指南
• 版本发布：最新下载[9] – 适用于所有平台的预构建二进制文件
• 社区：加入我们的 Discord 服务器[10] – 实时向专家提问

五、结论

云安全不仅仅是勾选合规选项，而是要从攻击者的角度理解您的环境。CloudFox GCP 为安全专业人员提供了所需的可见性，使其能够在攻击者利用风险之前识别并修复它们。

CloudFox GCP 拥有 64 个专门构建的模块，涵盖 IAM、存储、计算、网络和攻击路径分析，是用于 Google Cloud Platform 评估的最全面的攻击性安全工具。

攻击者已经在窥探您的 GCP 环境。现在，您也能看到他们所见的景象。

引用链接

[1] 《Introducing CloudFox GCP: Attack Path Identification for Google Cloud》: https://bishopfox.com/blog/introducing-cloudfox-gcp-attack-path-identification-for-google-cloud [2] CloudFox: https://github.com/BishopFox/cloudfox [3] 2021年SolarWinds攻击事件: https://attack.mitre.org/campaigns/C0024/ [4] 2022年丰田数据泄露事件: https://www.techworm.net/2022/10/toyota-data-leak-290000-customers.html [5] 2023年微软AI研究员事件: https://techcrunch.com/2023/09/18/microsoft-ai-researchers-accidentally-exposed-terabytes-of-internal-sensitive-data/ [6] 2022年Uber入侵事件: https://blog.gitguardian.com/uber-breach-2022/ [7] CloudFox GCP 文档: https://github.com/BishopFox/cloudfox?tab=readme-ov-file#gcp [8] CloudFox Wiki: https://github.com/BishopFox/cloudfox/wiki/GCP-Commands [9] 最新下载: https://github.com/BishopFox/cloudfox/releases [10] 加入我们的 Discord 服务器: https://discord.gg/yvqhkMetwH

交流群

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：云原生安全指北 Dubito Dubito《开源发布！CloudFox GCP：谷歌云攻击路径测绘工具》