mirror of
https://github.com/HackTricks-wiki/hacktricks-cloud.git
synced 2026-02-05 11:26:11 -08:00
Translated ['src/pentesting-cloud/aws-security/aws-services/aws-organiza
This commit is contained in:
Translator
@@ -4,7 +4,7 @@
|
||||
|
||||
## 基本信息
|
||||
|
||||
AWS Organizations 使得创建新的 AWS 账户变得更加简单，无需额外费用。资源可以轻松分配，账户可以高效分组，并且可以对单个账户或组应用治理政策，从而增强组织内的管理和控制。
|
||||
AWS Organizations 使得创建新的 AWS 账户变得更加简单，而无需承担额外费用。资源可以轻松分配，账户可以高效分组，并且可以对单个账户或组应用治理政策，从而增强组织内的管理和控制。
|
||||
|
||||
要点：
|
||||
|
||||
|
||||
@@ -1,8 +1,8 @@
|
||||
# Az - Queue Storage Persistence
|
||||
# Az - 队列存储持久性
|
||||
|
||||
{{#include ../../../banners/hacktricks-training.md}}
|
||||
|
||||
## Queue
|
||||
## 队列
|
||||
|
||||
有关更多信息，请查看：
|
||||
|
||||
@@ -10,7 +10,7 @@
|
||||
../az-services/az-queue-enum.md
|
||||
{{#endref}}
|
||||
|
||||
### Actions: `Microsoft.Storage/storageAccounts/queueServices/queues/write`
|
||||
### 操作: `Microsoft.Storage/storageAccounts/queueServices/queues/write`
|
||||
|
||||
此权限允许攻击者在存储帐户内创建或修改队列及其属性。它可以用于创建未经授权的队列、修改元数据或更改访问控制列表（ACL）以授予或限制访问。此能力可能会干扰工作流程、注入恶意数据、外泄敏感信息或操纵队列设置以启用进一步的攻击。
|
||||
```bash
|
||||
|
||||
@@ -16,7 +16,7 @@
|
||||
```bash
|
||||
az storage message peek --queue-name <queue_name> --account-name <storage_account>
|
||||
```
|
||||
**潜在影响**：未授权用户或服务对队列的未授权访问、消息暴露或队列操控。
|
||||
**潜在影响**：未授权用户或服务对队列的访问、消息暴露或队列操作。
|
||||
|
||||
### DataActions: `Microsoft.Storage/storageAccounts/queueServices/queues/messages/process/action`
|
||||
|
||||
|
||||
@@ -12,7 +12,7 @@
|
||||
|
||||
### Actions: `Microsoft.ServiceBus/namespaces/Delete`
|
||||
|
||||
具有此权限的攻击者可以删除整个 Azure Service Bus 命名空间。此操作会删除命名空间及所有相关资源，包括队列、主题、订阅及其消息，导致所有依赖系统和工作流的广泛中断和永久数据丢失。
|
||||
拥有此权限的攻击者可以删除整个 Azure Service Bus 命名空间。此操作会删除命名空间及所有相关资源，包括队列、主题、订阅及其消息，导致所有依赖系统和工作流的广泛中断和永久数据丢失。
|
||||
```bash
|
||||
az servicebus namespace delete --resource-group <ResourceGroupName> --name <NamespaceName>
|
||||
```
|
||||
@@ -50,7 +50,7 @@ az servicebus topic update --resource-group <ResourceGroupName> --namespace-name
|
||||
```
|
||||
### Actions: `Microsoft.ServiceBus/namespaces/topics/subscriptions/write` (`Microsoft.ServiceBus/namespaces/topics/subscriptions/read`)
|
||||
|
||||
拥有创建或修改订阅权限的攻击者（要修改订阅，您还需要操作：`Microsoft.ServiceBus/namespaces/topics/subscriptions/read`）可以利用这一点在 Azure Service Bus 主题中拦截、重定向或干扰消息工作流。使用诸如 az servicebus topic subscription update 的命令，他们可以操控配置，例如启用死信以转移消息，将消息转发到未经授权的端点，或修改 TTL 和锁定持续时间以保留或干扰消息传递。此外，他们可以更改状态或最大传递计数设置，以干扰操作或逃避检测，使订阅控制成为后期利用场景中的关键方面。
|
||||
拥有创建或修改订阅权限的攻击者（要修改订阅，您还需要 Action: `Microsoft.ServiceBus/namespaces/topics/subscriptions/read`）可以利用这一点在 Azure Service Bus 主题中拦截、重定向或干扰消息工作流。使用诸如 az servicebus topic subscription update 的命令，他们可以操纵配置，例如启用死信以转移消息，将消息转发到未经授权的端点，或修改 TTL 和锁定持续时间以保留或干扰消息传递。此外，他们可以更改状态或最大交付计数设置，以干扰操作或逃避检测，使订阅控制成为后期利用场景中的关键方面。
|
||||
```bash
|
||||
az servicebus topic subscription create --resource-group <ResourceGroupName> --namespace-name <NamespaceName> --topic-name <TopicName> --name <SubscriptionName>
|
||||
az servicebus topic subscription update --resource-group <ResourceGroupName> --namespace-name <NamespaceName> --topic-name <TopicName> --name <SubscriptionName>
|
||||
|
||||
@@ -1,8 +1,8 @@
|
||||
# Az - SQL Database Post Exploitation
|
||||
# Az - SQL 数据库后渗透
|
||||
|
||||
{{#include ../../../banners/hacktricks-training.md}}
|
||||
|
||||
## SQL Database Post Exploitation
|
||||
## SQL 数据库后渗透
|
||||
|
||||
有关 SQL 数据库的更多信息，请查看：
|
||||
|
||||
@@ -12,7 +12,7 @@
|
||||
|
||||
### `Microsoft.Sql/servers/databases/read`, `Microsoft.Sql/servers/read` && `Microsoft.Sql/servers/databases/write`
|
||||
|
||||
拥有这些权限，攻击者可以在被攻陷的环境中创建和更新数据库。这种后期利用活动可能允许攻击者添加恶意数据、修改数据库配置或插入后门以进一步保持持久性，可能会干扰操作或启用其他恶意行为。
|
||||
拥有这些权限后，攻击者可以在被攻陷的环境中创建和更新数据库。这种后渗透活动可能允许攻击者添加恶意数据、修改数据库配置或插入后门以进一步保持持久性，可能会干扰操作或启用其他恶意行为。
|
||||
```bash
|
||||
# Create Database
|
||||
az sql db create --resource-group <resource-group> --server <server-name> --name <new-database-name>
|
||||
@@ -72,7 +72,7 @@ az sql server connection-policy update \
|
||||
```
|
||||
### `Microsoft.Sql/servers/databases/export/action`
|
||||
|
||||
拥有此权限，您可以将数据库从 Azure SQL Server 导出到存储帐户。具有此权限的攻击者或授权用户可以通过将其导出到他们控制的位置来窃取数据库中的敏感数据，从而带来重大数据泄露风险。了解存储密钥以便能够执行此操作非常重要。
|
||||
拥有此权限，您可以将数据库从 Azure SQL Server 导出到存储帐户。具有此权限的攻击者或授权用户可以通过将其导出到他们控制的位置来提取数据库中的敏感数据，从而带来重大数据泄露风险。了解存储密钥以便能够执行此操作非常重要。
|
||||
```bash
|
||||
az sql db export \
|
||||
--server <server_name> \
|
||||
@@ -108,7 +108,7 @@ az sql server conn-policy update \
|
||||
```
|
||||
### `Microsoft.Sql/servers/keys/write` && `Microsoft.Sql/servers/keys/read`
|
||||
|
||||
通过这些权限，用户可以更新和检索与 Azure SQL Server 相关的加密密钥。这些密钥通常用于通过加密保护敏感数据，因此操纵它们可能会通过允许未经授权的解密或密钥轮换更改来危害数据安全。
|
||||
通过这些权限，用户可以更新和检索与 Azure SQL Server 相关的加密密钥。这些密钥通常用于通过加密保护敏感数据，因此操纵它们可能会通过允许未经授权的解密或密钥轮换更改来危及数据安全。
|
||||
```bash
|
||||
az sql server key create \
|
||||
--resource-group MyResourceGroup \
|
||||
@@ -126,7 +126,7 @@ az sql db ledger-digest-uploads disable \
|
||||
```
|
||||
### `Microsoft.Sql/servers/databases/transparentDataEncryption/write`, `Microsoft.Sql/locations/transparentDataEncryptionAzureAsyncOperation/read`, `Microsoft.Sql/servers/databases/transparentDataEncryption/read`
|
||||
|
||||
此权限允许授权用户或攻击者启用、禁用或修改 Azure SQL 数据库上的透明数据加密 (TDE) 设置，可能通过更改加密配置影响数据安全。
|
||||
此权限允许授权用户或攻击者启用、禁用或修改 Azure SQL 数据库上的透明数据加密 (TDE) 设置，可能通过更改加密配置影响数据安全性。
|
||||
```bash
|
||||
az sql db tde set \
|
||||
--database <database-name> \
|
||||
|
||||
@@ -16,7 +16,7 @@
|
||||
```bash
|
||||
az storage message peek --queue-name <queue_name> --account-name <storage_account>
|
||||
```
|
||||
**潜在影响**：未授权用户或服务对队列的未授权访问、消息暴露或队列操控。
|
||||
**潜在影响**：未经授权访问队列、消息暴露或未经授权用户或服务对队列的操控。
|
||||
|
||||
### DataActions: `Microsoft.Storage/storageAccounts/queueServices/queues/messages/process/action`
|
||||
|
||||
@@ -26,7 +26,7 @@ az storage message get --queue-name <queue_name> --account-name <storage_account
|
||||
```
|
||||
### DataActions: `Microsoft.Storage/storageAccounts/queueServices/queues/messages/add/action`
|
||||
|
||||
通过此权限，攻击者可以向 Azure 存储队列添加新消息。这使他们能够将恶意或未经授权的数据注入队列，可能触发意外的操作或干扰处理消息的下游服务。
|
||||
通过此权限，攻击者可以向 Azure 存储队列添加新消息。这使他们能够将恶意或未经授权的数据注入队列，可能会触发意外的操作或干扰处理消息的下游服务。
|
||||
```bash
|
||||
az storage message put --queue-name <queue-name> --content "Injected malicious message" --account-name <storage-account>
|
||||
```
|
||||
|
||||
@@ -24,12 +24,12 @@ az servicebus namespace authorization-rule keys renew --key [PrimaryKey|Secondar
|
||||
```
|
||||
### Microsoft.ServiceBus/namespaces/AuthorizationRules/write
|
||||
|
||||
通过此权限，可以**创建一个新的授权规则**，并拥有所有权限及其自己的密钥：
|
||||
拥有此权限，可以**创建一个新的授权规则**，并赋予所有权限及其自己的密钥：
|
||||
```bash
|
||||
az servicebus namespace authorization-rule create --authorization-rule-name "myRule" --namespace-name mynamespacespdemo --resource-group Resource_Group_1 --rights Manage Listen Send
|
||||
```
|
||||
>[!WARNING]
|
||||
>此命令不会返回密钥，因此您需要通过之前的命令（和权限）来获取它们，以便提升权限。
|
||||
>此命令不会返回密钥，因此您需要通过之前的命令（和权限）获取它们，以便提升权限。
|
||||
|
||||
此外，通过该命令（和 `Microsoft.ServiceBus/namespaces/authorizationRules/read`），如果您通过 Azure CLI 执行此操作，可以使用以下命令更新现有的授权规则并赋予其更多权限（如果缺少某些权限）：
|
||||
```bash
|
||||
@@ -57,7 +57,7 @@ az servicebus queue authorization-rule keys renew --key [PrimaryKey|SecondaryKey
|
||||
```
|
||||
### Microsoft.ServiceBus/namespaces/[queues|topics]/authorizationRules/write
|
||||
|
||||
拥有此权限可以**创建一个新的授权规则**，并赋予所有权限及其自己的密钥：
|
||||
拥有此权限，可以**创建一个新的授权规则**，并赋予所有权限及其自己的密钥：
|
||||
```bash
|
||||
# In a topic
|
||||
az servicebus topic authorization-rule create --resource-group <res-group> --namespace-name <namespace-name> --topic-name <topic-name> --name <auth-rule-name> --rights Manage Listen Send
|
||||
@@ -78,13 +78,13 @@ az servicebus queue authorization-rule update --resource-group <res-group> --nam
|
||||
```
|
||||
### Microsoft.ServiceBus/namespaces/write (& Microsoft.ServiceBus/namespaces/read if az cli is used)
|
||||
|
||||
拥有这些权限 **攻击者可以通过以下命令重新启用“本地身份验证”**，因此所有来自共享策略的密钥将有效。
|
||||
拥有这些权限**攻击者可以通过以下命令重新启用“本地身份验证”**，因此所有来自共享策略的密钥将有效。
|
||||
```bash
|
||||
az servicebus namespace update --disable-local-auth false -n <namespace-name> --resource-group <res-group>
|
||||
```
|
||||
### 发送带有密钥的消息 (Microsoft.ServiceBus/namespaces/authorizationRules/listkeys/action OR Microsoft.ServiceBus/namespaces/authorizationRules/regenerateKeys/action)
|
||||
|
||||
您可以检索 `PrimaryConnectionString`，它作为 Service Bus 命名空间的凭据。使用此连接字符串，您可以完全以 Service Bus 命名空间的身份进行身份验证，使您能够向任何队列或主题发送消息，并可能以可能干扰操作、冒充有效用户或将恶意数据注入消息工作流的方式与系统进行交互。如果 `--disable-local-auth` 设置为 false，则此方法有效。
|
||||
您可以检索 `PrimaryConnectionString`，它作为 Service Bus 命名空间的凭据。使用此连接字符串，您可以完全以 Service Bus 命名空间的身份进行身份验证，使您能够向任何队列或主题发送消息，并可能以可能干扰操作、冒充有效用户或将恶意数据注入消息工作流的方式与系统交互。如果将 `--disable-local-auth` 设置为 false，则此方法有效。
|
||||
```python
|
||||
import asyncio
|
||||
from azure.servicebus.aio import ServiceBusClient
|
||||
@@ -101,7 +101,7 @@ print("Sent message")
|
||||
|
||||
asyncio.run(send_message())
|
||||
```
|
||||
此外，您可以使用 az rest 发送消息，在这种情况下，您需要生成一个 sas 令牌来使用。
|
||||
此外，您可以使用 az rest 发送消息，在这种情况下，您需要生成一个 sas 令牌以供使用。
|
||||
```python
|
||||
import time, urllib.parse, hmac, hashlib, base64
|
||||
|
||||
@@ -162,7 +162,7 @@ await receiver.complete_message(msg)
|
||||
asyncio.run(receive())
|
||||
print("Done receiving messages")
|
||||
```
|
||||
此外，您可以使用 az rest 发送消息，在这种情况下，您需要生成一个 sas 令牌来使用。
|
||||
此外，您可以使用 az rest 发送消息，在这种情况下，您需要生成一个 sas 令牌以供使用。
|
||||
```python
|
||||
import time, urllib.parse, hmac, hashlib, base64
|
||||
|
||||
|
||||
@@ -4,7 +4,7 @@
|
||||
|
||||
## 基本信息
|
||||
|
||||
Azure Queue Storage 是微软 Azure 云平台中的一项服务，旨在实现应用组件之间的消息排队，**实现异步通信和解耦**。它允许您存储无限数量的消息，每条消息最大为 64 KB，并支持创建和删除队列、添加、检索、更新和删除消息，以及管理元数据和访问策略等操作。虽然它通常以先进先出（FIFO）的方式处理消息，但不保证严格的 FIFO。
|
||||
Azure Queue Storage 是微软 Azure 云平台中的一项服务，旨在实现应用组件之间的消息排队，**支持异步通信和解耦**。它允许您存储无限数量的消息，每条消息最大为 64 KB，并支持创建和删除队列、添加、检索、更新和删除消息，以及管理元数据和访问策略等操作。虽然它通常以先进先出（FIFO）的方式处理消息，但不保证严格的 FIFO。
|
||||
|
||||
### 枚举
|
||||
|
||||
|
||||
@@ -11,9 +11,9 @@ Azure Service Bus 是一个基于云的 **消息服务**，旨在实现 **应用
|
||||
1. **Namespaces:** 消息系统中的命名空间是一个逻辑容器，用于组织和管理消息组件、队列和主题。它提供一个隔离的环境，应用程序可以在其中发送、接收和处理消息。队列和主题在 Service Bus 命名空间内共享相同的基础设施和配置，但它们独立操作而不相互交互。
|
||||
2. **Queues:** 其目的是存储消息，直到接收者准备好。
|
||||
- 消息是有序的、带时间戳的，并且持久存储。
|
||||
- 以拉取模式交付（按需检索）。
|
||||
- 以拉取模式（按需检索）交付。
|
||||
- 支持点对点通信。
|
||||
3. **Topics:** 发布-订阅消息用于广播。
|
||||
3. **Topics:** 发布-订阅消息，用于广播。
|
||||
- 多个独立的订阅接收消息的副本。
|
||||
- 订阅可以有规则/过滤器来控制交付或添加元数据。
|
||||
- 支持多对多通信。
|
||||
@@ -29,17 +29,17 @@ https://<namespace>.servicebus.windows.net:443/
|
||||
- **消息会话**：确保FIFO处理并支持请求-响应模式。
|
||||
- **自动转发**：在同一命名空间内在队列或主题之间转移消息。
|
||||
- **死信处理**：捕获无法送达的消息以供审查。
|
||||
- **定时投递**：延迟消息处理以进行未来任务。
|
||||
- **定时交付**：延迟消息处理以进行未来任务。
|
||||
- **消息延迟**：推迟消息检索直到准备好。
|
||||
- **事务**：将操作分组为原子执行。
|
||||
- **过滤器和操作**：应用规则以过滤或注释消息。
|
||||
- **空闲时自动删除**：在不活动后删除队列（最少：5分钟）。
|
||||
- **重复检测**：在重发期间移除重复消息。
|
||||
- **空闲时自动删除**：在不活动后删除队列（最小：5分钟）。
|
||||
- **重复检测**：在重发期间删除重复消息。
|
||||
- **批量删除**：批量删除过期或不必要的消息。
|
||||
|
||||
### 授权规则 / SAS 策略
|
||||
|
||||
SAS 策略定义了 Azure Service Bus 实体命名空间（最重要的一个）、队列和主题的访问权限。每个策略包含以下组件：
|
||||
SAS 策略定义了 Azure Service Bus 实体命名空间（最重要的一个）、队列和主题的访问权限。每个策略具有以下组件：
|
||||
|
||||
- **权限**：复选框以指定访问级别：
|
||||
- 管理：授予对实体的完全控制，包括配置和权限管理。
|
||||
@@ -49,14 +49,14 @@ SAS 策略定义了 Azure Service Bus 实体命名空间（最重要的一个）
|
||||
- **主连接字符串和次连接字符串**：预配置的连接字符串，包括端点和密钥，便于在应用程序中使用。
|
||||
- **SAS 策略 ARM ID**：用于程序识别的策略的 Azure 资源管理器（ARM）路径。
|
||||
|
||||
需要注意的是，一个命名空间只有一个 SAS 策略，这会影响其中的每个实体，而队列和主题可以拥有各自的单独 SAS 策略，以实现更细粒度的控制。
|
||||
需要注意的是，一个命名空间只有一个 SAS 策略，这会影响其中的每个实体，而队列和主题可以拥有各自的单独 SAS 策略，以便进行更细粒度的控制。
|
||||
|
||||
### "--disable-local-auth"
|
||||
|
||||
--disable-local-auth 参数用于控制是否为您的 Service Bus 命名空间启用本地身份验证（即使用共享访问签名（SAS）密钥）。以下是您需要了解的内容：
|
||||
|
||||
- 设置为 true 时：禁用使用 SAS 密钥的本地身份验证，允许使用 Azure Active Directory（Azure AD）身份验证。
|
||||
- 设置为 false 时：同时可用 SAS（本地）身份验证和 Azure AD 身份验证，您可以使用包含 SAS 密钥的连接字符串访问您的 Service Bus 资源。
|
||||
- 设置为 true 时：禁用使用 SAS 密钥的本地身份验证，并允许 Azure Active Directory（Azure AD）身份验证。
|
||||
- 设置为 false 时：本地（SAS）身份验证和 Azure AD 身份验证均可用，您可以使用包含 SAS 密钥的连接字符串访问您的 Service Bus 资源。
|
||||
|
||||
### 枚举
|
||||
|
||||
@@ -142,6 +142,7 @@ Get-AzServiceBusTopic -ResourceGroupName <ResourceGroupName> -NamespaceName <Nam
|
||||
{{#endtab }}
|
||||
{{#endtabs }}
|
||||
|
||||
|
||||
### 权限提升
|
||||
|
||||
{{#ref}}
|
||||
|
||||
@@ -4,18 +4,18 @@
|
||||
|
||||
## Azure SQL
|
||||
|
||||
Azure SQL 是一系列托管、安全和智能的产品，使用 **Azure 云中的 SQL Server 数据库引擎**。这意味着您不必担心服务器的物理管理，可以专注于管理数据。
|
||||
Azure SQL 是一系列托管、安全和智能的产品，使用 **Azure 云中的 SQL Server 数据库引擎**。这意味着您不必担心服务器的物理管理，您可以专注于管理您的数据。
|
||||
|
||||
Azure SQL 由四个主要产品组成：
|
||||
|
||||
1. **Azure SQL Server**：Azure SQL Server 是一种托管关系数据库服务，简化了 SQL Server 数据库的部署和管理，具有内置的安全性和性能特性。
|
||||
2. **Azure SQL Database**：这是一个 **完全托管的数据库服务**，允许您在 Azure 云中托管单个数据库。它提供内置智能，学习您独特的数据库模式，并提供定制的建议和自动调优。
|
||||
3. **Azure SQL Managed Instance**：这是针对更大规模的整个 SQL Server 实例范围的部署。它提供与最新的 SQL Server 本地（企业版）数据库引擎近 100% 的兼容性，提供本地虚拟网络（VNet）实现，解决常见的安全问题，并为本地 SQL Server 客户提供有利的商业模式。
|
||||
4. **Azure SQL Server on Azure VMs**：这是基础设施即服务（IaaS），最适合您希望 **控制操作系统和 SQL Server 实例** 的迁移，就像在本地运行的服务器一样。
|
||||
3. **Azure SQL Managed Instance**：这是针对更大规模、整个 SQL Server 实例范围的部署。它提供与最新的 SQL Server 本地（企业版）数据库引擎近 100% 的兼容性，提供本地虚拟网络（VNet）实现，解决常见的安全问题，并为本地 SQL Server 客户提供有利的商业模式。
|
||||
4. **Azure SQL Server on Azure VMs**：这是基础设施即服务（IaaS），最适合您希望 **控制操作系统和 SQL Server 实例** 的迁移，就像它是一个在本地运行的服务器。
|
||||
|
||||
### Azure SQL Server
|
||||
|
||||
Azure SQL Server 是一种关系数据库管理系统（RDBMS），使用 Transact-SQL 进行数据操作，旨在处理企业级系统。它提供强大的性能、安全性、可扩展性和与各种 Microsoft 应用程序的集成功能。Azure SQL 数据库依赖于此服务器，因为这些数据库是基于此服务器构建的，它是用户访问数据库的入口点。
|
||||
Azure SQL Server 是一种关系数据库管理系统（RDBMS），使用 Transact-SQL 进行数据操作，旨在处理企业级系统。它提供强大的性能、安全性、可扩展性和与各种 Microsoft 应用程序集成的功能。Azure SQL 数据库依赖于此服务器，因为这些数据库是建立在此服务器上的，它是用户访问数据库的入口点。
|
||||
|
||||
#### 网络
|
||||
|
||||
@@ -29,12 +29,12 @@ Azure SQL Server 是一种关系数据库管理系统（RDBMS），使用 Transa
|
||||
- 代理：通过 Azure SQL 数据库网关路由所有客户端连接。
|
||||
- 重定向：客户端直接连接到托管数据库的节点。
|
||||
|
||||
#### 身份验证方法
|
||||
Azure SQL 支持多种身份验证方法以保护数据库访问：
|
||||
#### 认证方法
|
||||
Azure SQL 支持多种认证方法以保护数据库访问：
|
||||
|
||||
- **仅 Microsoft Entra 身份验证**：使用 Microsoft Entra（以前的 Azure AD）进行集中身份管理和单点登录。
|
||||
- **SQL 和 Microsoft Entra 身份验证**：允许您将传统 SQL 身份验证与 Microsoft Entra 一起使用。
|
||||
- **SQL 身份验证**：仅依赖 SQL Server 用户名和密码。
|
||||
- **仅 Microsoft Entra 认证**：使用 Microsoft Entra（以前称为 Azure AD）进行集中身份管理和单点登录。
|
||||
- **SQL 和 Microsoft Entra 认证**：允许您将传统 SQL 认证与 Microsoft Entra 一起使用。
|
||||
- **SQL 认证**：仅依赖于 SQL Server 用户名和密码。
|
||||
|
||||
#### 安全特性
|
||||
|
||||
@@ -51,11 +51,11 @@ SQL 服务器的其他安全特性包括：
|
||||
Azure SQL 数据库支持灵活的部署选项，以满足各种需求：
|
||||
|
||||
- **单一数据库**：
|
||||
- 完全隔离的数据库，具有自己的专用资源。
|
||||
- 一个完全隔离的数据库，具有自己的专用资源。
|
||||
- 非常适合微服务或需要单一数据源的应用程序。
|
||||
- **弹性池**：
|
||||
- 允许多个数据库在池内共享资源。
|
||||
- 对于多个数据库之间使用模式波动的应用程序，具有成本效益。
|
||||
- 对于在多个数据库中使用模式波动的应用程序，具有成本效益。
|
||||
|
||||
### Azure SQL Database
|
||||
|
||||
@@ -64,7 +64,7 @@ Azure SQL 数据库支持灵活的部署选项，以满足各种需求：
|
||||
#### 关键特性
|
||||
|
||||
- **始终保持最新**：运行在最新的稳定版本的 SQL Server 上，并自动接收新功能和补丁。
|
||||
- **PaaS 能力**：内置高可用性、备份和更新。
|
||||
- **PaaS 功能**：内置高可用性、备份和更新。
|
||||
- **数据灵活性**：支持关系和非关系数据（例如，图形、JSON、空间和 XML）。
|
||||
|
||||
#### 网络
|
||||
@@ -89,14 +89,14 @@ Azure SQL 数据库支持灵活的部署选项，以满足各种需求：
|
||||
|
||||
#### 购买模型 / 服务层级
|
||||
|
||||
- **基于 vCore**：独立选择计算、内存和存储。适用于通用用途、业务关键（具有高弹性和 OLTP 应用程序性能）并可扩展到 128 TB 存储。
|
||||
- **基于 vCore**：独立选择计算、内存和存储。适用于通用用途、业务关键（具有高弹性和 OLTP 应用程序的性能）并可扩展到 128 TB 存储。
|
||||
- **基于 DTU**：将计算、内存和 I/O 打包成固定层级。为常见任务提供平衡资源。
|
||||
- 标准：为常见任务提供平衡资源。
|
||||
- 高级：为要求苛刻的工作负载提供高性能。
|
||||
|
||||
#### 可扩展性能和池
|
||||
|
||||
- **单一数据库**：每个数据库都是隔离的，具有自己的专用计算、内存和存储资源。资源可以动态扩展（向上或向下），无需停机（1–128 vCores，32 GB–4 TB 存储，最多 128 TB）。
|
||||
- **单一数据库**：每个数据库都是隔离的，具有自己的专用计算、内存和存储资源。资源可以动态扩展（向上或向下），而无需停机（1–128 vCores，32 GB–4 TB 存储，最多 128 TB）。
|
||||
- **弹性池**：在池中跨多个数据库共享资源，以最大化效率并节省成本。资源也可以为整个池动态扩展。
|
||||
- **服务层级灵活性**：从通用用途层中的单一数据库开始。随着需求的增长，升级到业务关键或超大规模层。
|
||||
- **扩展选项**：动态扩展或自动扩展替代方案。
|
||||
@@ -110,13 +110,13 @@ Azure SQL 数据库支持灵活的部署选项，以满足各种需求：
|
||||
#### 灾难恢复与可用性
|
||||
|
||||
- **自动备份**：SQL 数据库自动执行数据库的完整、差异和事务日志备份。
|
||||
- **时间点恢复**：在备份保留期内将数据库恢复到任何过去状态。
|
||||
- **时间点恢复**：在备份保留期内将数据库恢复到任何过去的状态。
|
||||
- **地理冗余**
|
||||
- **故障转移组**：通过将数据库分组以实现跨区域的自动故障转移，简化灾难恢复。
|
||||
|
||||
### Azure SQL Managed Instance
|
||||
|
||||
**Azure SQL Managed Instance** 是一种平台即服务 (PaaS) 数据库引擎，提供与 SQL Server 近 100% 的兼容性，并自动处理大多数管理任务（例如，升级、打补丁、备份、监控）。它为迁移本地 SQL Server 数据库提供了云解决方案，几乎无需更改。
|
||||
**Azure SQL Managed Instance** 是一种平台即服务 (PaaS) 数据库引擎，提供与 SQL Server 近 100% 的兼容性，并自动处理大多数管理任务（例如，升级、修补、备份、监控）。它为迁移本地 SQL Server 数据库提供了最小更改的云解决方案。
|
||||
|
||||
#### 服务层级
|
||||
|
||||
@@ -126,17 +126,17 @@ Azure SQL 数据库支持灵活的部署选项，以满足各种需求：
|
||||
#### 高级安全特性
|
||||
|
||||
* **威胁保护**：高级威胁保护警报可检测可疑活动和 SQL 注入攻击。审计以跟踪和记录数据库事件以确保合规性。
|
||||
* **访问控制**：Microsoft Entra 身份验证用于集中身份管理。行级安全性和动态数据掩码用于细粒度访问控制。
|
||||
* **访问控制**：Microsoft Entra 认证用于集中身份管理。行级安全性和动态数据掩码用于细粒度访问控制。
|
||||
* **备份**：具有时间点恢复能力的自动和手动备份。
|
||||
|
||||
### Azure SQL Virtual Machines
|
||||
|
||||
**Azure SQL Virtual Machines** 最适合您希望 **控制操作系统和 SQL Server 实例** 的迁移，就像在本地运行的服务器一样。它可以有不同的机器大小，以及广泛的 SQL Server 版本和版本选择。
|
||||
**Azure SQL Virtual Machines** 最适合您希望 **控制操作系统和 SQL Server 实例** 的迁移，就像它是一个在本地运行的服务器。它可以具有不同的机器大小，以及广泛的 SQL Server 版本和版本选择。
|
||||
|
||||
#### 关键特性
|
||||
|
||||
**自动备份**：为 SQL 数据库安排备份。
|
||||
**自动打补丁**：在维护窗口期间自动安装 Windows 和 SQL Server 更新。
|
||||
**自动修补**：在维护窗口期间自动安装 Windows 和 SQL Server 更新。
|
||||
**Azure Key Vault 集成**：自动为 SQL Server 虚拟机配置 Key Vault。
|
||||
**云防御者集成**：在门户中查看 SQL 的防御者建议。
|
||||
**版本/版本灵活性**：在不重新部署虚拟机的情况下更改 SQL Server 版本或版本元数据。
|
||||
|
||||
@@ -8,7 +8,7 @@ Google Cloud Compute Instances 是 **可定制的虚拟机，运行在 Google
|
||||
|
||||
### 保密虚拟机
|
||||
|
||||
保密虚拟机使用 **最新一代 AMD EPYC 处理器** 提供的 **基于硬件的安全特性**，包括内存加密和安全加密虚拟化。这些特性使虚拟机能够保护处理和存储的数据，甚至免受主机操作系统和虚拟机监控程序的影响。
|
||||
保密虚拟机使用 **最新一代 AMD EPYC 处理器** 提供的 **基于硬件的安全特性**，包括内存加密和安全加密虚拟化。这些特性使虚拟机能够保护处理和存储的数据，甚至防止宿主操作系统和虚拟机监控程序的访问。
|
||||
|
||||
要运行保密虚拟机，可能需要 **更改** 一些设置，例如 **机器类型**、网络 **接口**、**启动磁盘映像**。
|
||||
|
||||
@@ -62,7 +62,7 @@ Google Cloud Compute Instances 是 **可定制的虚拟机，运行在 Google
|
||||
|
||||
- **安全启动**：安全启动有助于保护您的虚拟机实例免受启动级和内核级恶意软件和根套件的攻击。
|
||||
- **启用 vTPM**：虚拟受信任平台模块（vTPM）验证您的客户虚拟机的预启动和启动完整性，并提供密钥生成和保护。
|
||||
- **完整性监控**：完整性监控允许您使用 Stackdriver 报告监控和验证受保护虚拟机实例的运行时启动完整性。需要启用 vTPM。
|
||||
- **完整性监控**：完整性监控让您可以使用 Stackdriver 报告监控和验证受保护虚拟机实例的运行时启动完整性。需要启用 vTPM。
|
||||
|
||||
### 虚拟机访问
|
||||
|
||||
@@ -86,7 +86,7 @@ curl "http://metadata.google.internal/computeMetadata/v1/project/attributes/?rec
|
||||
curl "http://metadata.google.internal/computeMetadata/v1/instance/attributes/?recursive=true&alt=text" \
|
||||
-H "Metadata-Flavor: Google"
|
||||
```
|
||||
此外，**附加服务帐户的身份验证令牌**和**有关实例、网络和项目的一般信息**也可以从**元数据端点**获取。有关更多信息，请查看：
|
||||
此外，**附加服务帐户的身份验证令牌**和**有关实例、网络和项目的一般信息**也将可以从**元数据端点**获取。有关更多信息，请查看：
|
||||
|
||||
{{#ref}}
|
||||
https://book.hacktricks.wiki/en/pentesting-web/ssrf-server-side-request-forgery/cloud-ssrf.html#gcp
|
||||
|
||||
Reference in New Issue
Block a user