mirror of
https://github.com/HackTricks-wiki/hacktricks-cloud.git
synced 2026-01-10 12:13:17 -08:00
Translated ['src/pentesting-cloud/aws-security/aws-services/aws-cognito-
This commit is contained in:
Translator
@@ -4,12 +4,12 @@
|
||||
|
||||
## Basic Information
|
||||
|
||||
Identity pools hutoa jukumu muhimu kwa kuwezesha watumiaji wako **kupata akreditivu za muda mfupi**. Akreditivu hizi ni muhimu kwa kupata huduma mbalimbali za AWS, ikiwa ni pamoja na lakini sio tu Amazon S3 na DynamoDB. Kipengele muhimu cha identity pools ni msaada wao kwa watumiaji wa wageni wasiojulikana na anuwai ya watoa huduma za utambulisho kwa uthibitishaji wa mtumiaji. Watoa huduma wa utambulisho wanaoungwa mkono ni pamoja na:
|
||||
Identity pools hutoa jukumu muhimu kwa kuwezesha watumiaji wako **kupata akreditivu za muda mfupi**. Akreditivu hizi ni muhimu kwa kufikia huduma mbalimbali za AWS, ikiwa ni pamoja na lakini sio tu Amazon S3 na DynamoDB. Kipengele muhimu cha identity pools ni msaada wao kwa watumiaji wa wageni wasiojulikana na anuwai ya watoa huduma za utambulisho kwa uthibitishaji wa mtumiaji. Watoa huduma wa utambulisho wanaoungwa mkono ni pamoja na:
|
||||
|
||||
- Amazon Cognito user pools
|
||||
- Chaguzi za kuingia za kijamii kama Facebook, Google, Login with Amazon, na Sign in with Apple
|
||||
- Watoa huduma wanaofuata OpenID Connect (OIDC)
|
||||
- Watoa huduma za utambulisho za SAML (Security Assertion Markup Language)
|
||||
- Watoa huduma wa utambulisho wa SAML (Security Assertion Markup Language)
|
||||
- Utambulisho wa watengenezaji walioidhinishwa
|
||||
```python
|
||||
# Sample code to demonstrate how to integrate an identity provider with an identity pool can be structured as follows:
|
||||
@@ -35,11 +35,11 @@ print(response)
|
||||
```
|
||||
### Cognito Sync
|
||||
|
||||
Ili kuunda vikao vya Identity Pool, unahitaji kwanza **kuunda na Identity ID**. Hii Identity ID ni **kitambulisho cha kikao cha mtumiaji huyo**. Vitambulisho hivi vinaweza kuwa na hadi seti 20 za data ambazo zinaweza kuhifadhi hadi 1MB ya jozi za funguo-thamani.
|
||||
Ili kuunda vikao vya Identity Pool, kwanza unahitaji **kuunda na Identity ID**. Hii Identity ID ni **kitambulisho cha kikao cha mtumiaji huyo**. Vitambulisho hivi vinaweza kuwa na hadi seti 20 za data ambazo zinaweza kuhifadhi hadi 1MB ya jozi za funguo-thamani.
|
||||
|
||||
Hii ni **faida kwa kuhifadhi taarifa za mtumiaji** (ambaye atakuwa akitumia kila wakati Identity ID ile ile).
|
||||
|
||||
Zaidi ya hayo, huduma **cognito-sync** ni huduma inayoruhusu **kusimamia na kusawazisha taarifa hizi** (katika seti za data, kutuma taarifa katika mitiririko na ujumbe wa SNS...).
|
||||
Zaidi ya hayo, huduma ya **cognito-sync** ni huduma inayoruhusu **kusimamia na kusawazisha taarifa hizi** (katika seti za data, kutuma taarifa katika mitiririko na ujumbe wa SNS...).
|
||||
|
||||
### Tools for pentesting
|
||||
|
||||
@@ -55,7 +55,7 @@ Pacu (new:test) > run cognito__attack --username randomuser --email XX+sdfs2@gma
|
||||
us-east-2:a06XXXXX-c9XX-4aXX-9a33-9ceXXXXXXXXX --user_pool_clients
|
||||
59f6tuhfXXXXXXXXXXXXXXXXXX@us-east-2_0aXXXXXXX
|
||||
```
|
||||
Sample cognito\_\_enum matumizi ya kukusanya kila mzunguko wa mtumiaji, wateja wa mzunguko wa mtumiaji, mizunguko ya kitambulisho, watumiaji, nk. wanaoonekana katika akaunti ya sasa ya AWS:
|
||||
Mfano wa cognito\_\_enum matumizi ya kukusanya kila mzunguko wa mtumiaji, wateja wa mzunguko wa mtumiaji, mizunguko ya utambulisho, watumiaji, nk. wanaoonekana katika akaunti ya sasa ya AWS:
|
||||
```bash
|
||||
Pacu (new:test) > run cognito__enum
|
||||
```
|
||||
@@ -78,9 +78,9 @@ Kwa maelezo zaidi angalia https://github.com/padok-team/cognito-scanner
|
||||
Jambo pekee ambalo mshambuliaji anahitaji kujua ili **kupata AWS credentials** katika programu ya Cognito kama mtumiaji asiye na uthibitisho ni **Identity Pool ID**, na **ID hii inapaswa kuwa imeandikwa kwa nguvu** katika **programu** ya wavuti/mobail ili kuitumia. ID inaonekana kama hii: `eu-west-1:098e5341-8364-038d-16de-1865e435da3b` (haiwezi kufanywa kwa nguvu).
|
||||
|
||||
> [!TIP]
|
||||
> **IAM Cognito unathenticated role iliyoundwa kupitia inaitwa** kwa default `Cognito_<Identity Pool name>Unauth_Role`
|
||||
> **IAM Cognito unauthenticated role iliyoundwa kupitia inaitwa** kwa default `Cognito_<Identity Pool name>Unauth_Role`
|
||||
|
||||
Ikiwa utapata Identity Pools ID imeandikwa kwa nguvu na inaruhusu watumiaji wasiothibitishwa, unaweza kupata AWS credentials kwa:
|
||||
Ikiwa utapata Identity Pools ID iliyowekwa kwa nguvu na inaruhusu watumiaji wasiothibitishwa, unaweza kupata AWS credentials kwa:
|
||||
```python
|
||||
import requests
|
||||
|
||||
@@ -116,9 +116,9 @@ aws cognito-identity get-credentials-for-identity --identity-id <identity_id> --
|
||||
|
||||
### Mchakato wa Uthibitishaji wa Juu vs Msingi
|
||||
|
||||
Sehemu ya awali ilifuata **mchakato wa uthibitishaji wa juu wa kawaida**. Mchakato huu unakagua **sera ya kikao** [**iliyopangwa**](../../aws-basic-information/#session-policies) kwa kikao cha jukumu la IAM kilichoundwa. Sera hii itaruhusu kikao [**kutumia huduma kutoka orodha hii**](https://docs.aws.amazon.com/cognito/latest/developerguide/iam-roles.html#access-policies-scope-down-services) (hata kama jukumu lilikuwa na ufikiaji wa huduma nyingine).
|
||||
Sehemu ya awali ilifuata **mchakato wa uthibitishaji wa juu wa kawaida**. Mchakato huu unakamilisha **sera ya kikao** [**iliyopunguza**](../../aws-basic-information/index.html#session-policies) kwa kikao cha jukumu la IAM kilichoundwa. Sera hii itaruhusu kikao [**kutumia huduma kutoka orodha hii**](https://docs.aws.amazon.com/cognito/latest/developerguide/iam-roles.html#access-policies-scope-down-services) (hata kama jukumu lilikuwa na ufikiaji wa huduma nyingine).
|
||||
|
||||
Hata hivyo, kuna njia ya kupita hii, ikiwa **kikundi cha Utambulisho kina "Mchakato wa Msingi (Classic) ulioanzishwa"**, mtumiaji ataweza kupata kikao kwa kutumia mchakato huo ambao **hautakuwa na sera hiyo ya kikao ya kikandamiza**.
|
||||
Hata hivyo, kuna njia ya kupita hii, ikiwa **kikundi cha Utambulisho kina "Mchakato wa Msingi (Classic) ulioanzishwa"**, mtumiaji ataweza kupata kikao kwa kutumia mchakato huo ambao **hautakuwa na sera hiyo ya kikao inayopunguza**.
|
||||
```bash
|
||||
# Get auth ID
|
||||
aws cognito-identity get-id --identity-pool-id <identity_pool_id> --no-sign
|
||||
@@ -133,40 +133,40 @@ aws sts assume-role-with-web-identity --role-arn "arn:aws:iam::<acc_id>:role/<ro
|
||||
> [!WARNING]
|
||||
> Ikiwa unapokea **makosa** haya, ni kwa sababu **mchakato wa msingi haujawezeshwa (default)**
|
||||
|
||||
> `Makosa yamefanyika (InvalidParameterException) wakati wa kuita operesheni ya GetOpenIdToken: Mchakato wa msingi (classic) haujawezeshwa, tafadhali tumia mchakato ulioimarishwa.`
|
||||
> `An error occurred (InvalidParameterException) when calling the GetOpenIdToken operation: Basic (classic) flow is not enabled, please use enhanced flow.`
|
||||
|
||||
Kuwa na seti ya akreditivu za IAM unapaswa kuangalia [ni upatikanaji gani unao](../../#whoami) na kujaribu [kuinua mamlaka](../../aws-privilege-escalation/).
|
||||
Kuwa na seti ya akreditif za IAM unapaswa kuangalia [ni upatikanaji gani unao](../../index.html#whoami) na kujaribu [kuinua mamlaka](../../aws-privilege-escalation/index.html).
|
||||
|
||||
### Authenticated
|
||||
|
||||
> [!NOTE]
|
||||
> Kumbuka kwamba **watumiaji walioidhinishwa** huenda wakapewa **idhini tofauti**, hivyo ikiwa unaweza **kujiandikisha ndani ya programu**, jaribu kufanya hivyo na kupata akreditivu mpya.
|
||||
> Kumbuka kwamba **watumiaji walioidhinishwa** huenda wakapewa **idhini tofauti**, hivyo ikiwa unaweza **kujiandikisha ndani ya programu**, jaribu kufanya hivyo na kupata akreditif mpya.
|
||||
|
||||
Pia kunaweza kuwa na **majukumu** yanayopatikana kwa **watumiaji walioidhinishwa wanaofikia Hifadhi ya Utambulisho**.
|
||||
|
||||
Kwa hili unaweza kuhitaji kuwa na ufikiaji wa **mtoa huduma wa utambulisho**. Ikiwa hiyo ni **Cognito User Pool**, labda unaweza kutumia tabia ya kawaida na **kuunda mtumiaji mpya mwenyewe**.
|
||||
Kwa hili unaweza kuhitaji kuwa na ufikiaji wa **mtoa huduma wa utambulisho**. Ikiwa hiyo ni **Cognito User Pool**, labda unaweza kutumia tabia ya default na **kuunda mtumiaji mpya mwenyewe**.
|
||||
|
||||
> [!TIP]
|
||||
> **IAM Cognito athenticated role iliyoundwa kupitia inaitwa** kwa default `Cognito_<Identity Pool name>Auth_Role`
|
||||
> **IAM Cognito authenticated role iliyoundwa kupitia inaitwa** kwa default `Cognito_<Identity Pool name>Auth_Role`
|
||||
|
||||
Hata hivyo, **mfano ufuatao** unatarajia kwamba tayari umeingia ndani ya **Cognito User Pool** inayotumika kufikia Hifadhi ya Utambulisho (usisahau kwamba aina nyingine za watoa huduma wa utambulisho zinaweza pia kuwekewa mipangilio).
|
||||
Hata hivyo, **mfano ufuatao** unatarajia kwamba tayari umeingia ndani ya **Cognito User Pool** inayotumika kufikia Hifadhi ya Utambulisho (usisahau kwamba aina nyingine za watoa huduma wa utambulisho zinaweza pia kuanzishwa).
|
||||
|
||||
<pre class="language-bash"><code class="lang-bash">aws cognito-identity get-id \
|
||||
--identity-pool-id <identity_pool_id> \
|
||||
--logins cognito-idp.<region>.amazonaws.com/<YOUR_USER_POOL_ID>=<ID_TOKEN>
|
||||
--identity-pool-id <identity_pool_id> \
|
||||
--logins cognito-idp.<region>.amazonaws.com/<YOUR_USER_POOL_ID>=<ID_TOKEN>
|
||||
|
||||
# Pata identity_id kutoka kwa jibu la amri ya awali
|
||||
aws cognito-identity get-credentials-for-identity \
|
||||
--identity-id <identity_id> \
|
||||
--logins cognito-idp.<region>.amazonaws.com/<YOUR_USER_POOL_ID>=<ID_TOKEN>
|
||||
--identity-id <identity_id> \
|
||||
--logins cognito-idp.<region>.amazonaws.com/<YOUR_USER_POOL_ID>=<ID_TOKEN>
|
||||
|
||||
|
||||
# Katika IdToken unaweza kupata majukumu ambayo mtumiaji ana ufikiaji kwa sababu ya Makundi ya User Pool
|
||||
# Tumia --custom-role-arn kupata akreditivu kwa jukumu maalum
|
||||
# Tumia --custom-role-arn kupata akreditif kwa jukumu maalum
|
||||
aws cognito-identity get-credentials-for-identity \
|
||||
--identity-id <identity_id> \
|
||||
<strong> --custom-role-arn <role_arn> \
|
||||
</strong> --logins cognito-idp.<region>.amazonaws.com/<YOUR_USER_POOL_ID>=<ID_TOKEN>
|
||||
--identity-id <identity_id> \
|
||||
<strong> --custom-role-arn <role_arn> \
|
||||
</strong> --logins cognito-idp.<region>.amazonaws.com/<YOUR_USER_POOL_ID>=<ID_TOKEN>
|
||||
</code></pre>
|
||||
|
||||
> [!WARNING]
|
||||
|
||||
@@ -2,7 +2,7 @@
|
||||
|
||||
{{#include ../../../../banners/hacktricks-training.md}}
|
||||
|
||||
## Taarifa za Msingi za Azure Networking
|
||||
## Taarifa za Msingi za Mtandao wa Azure
|
||||
|
||||
Mitandao ya Azure ina **vitu tofauti na njia za kuviunda.** Unaweza kupata **maelezo mafupi,** **mfano** na **amri za kuhesabu** za vitu tofauti vya mtandao wa Azure katika:
|
||||
|
||||
@@ -12,7 +12,7 @@ az-azure-network.md
|
||||
|
||||
## Taarifa za Msingi za VMs
|
||||
|
||||
Mashine za Kijijini za Azure (VMs) ni seva za **wingu zinazoweza kubadilishwa, zinazohitajika kwa wakati wowote** ambazo zinakuwezesha kuendesha mifumo ya uendeshaji ya Windows au Linux. Zinakuwezesha kupeleka programu na mizigo bila kusimamia vifaa halisi. VMs za Azure zinaweza kuundwa kwa chaguzi mbalimbali za CPU, kumbukumbu, na uhifadhi ili kukidhi mahitaji maalum na kuunganishwa na huduma za Azure kama mitandao ya virtual, uhifadhi, na zana za usalama.
|
||||
Mashine za Kijijini za Azure (VMs) ni seva za **wingu zinazoweza kubadilishwa, zinazohitajika kwa wakati wowote** ambazo zinakuwezesha kuendesha mifumo ya uendeshaji ya Windows au Linux. Zinakuwezesha kupeleka programu na mizigo bila kusimamia vifaa halisi. VMs za Azure zinaweza kuundwa kwa chaguzi mbalimbali za CPU, kumbukumbu, na uhifadhi ili kukidhi mahitaji maalum na kuunganishwa na huduma za Azure kama vile mitandao ya virtual, uhifadhi, na zana za usalama.
|
||||
|
||||
### Mipangilio ya Usalama
|
||||
|
||||
@@ -30,7 +30,7 @@ Mashine za Kijijini za Azure (VMs) ni seva za **wingu zinazoweza kubadilishwa, z
|
||||
- **Juu**: Chagua kikundi cha usalama
|
||||
- **Nakala**: Inawezekana kuwezesha **Msingi** nakala (moja kwa siku) na **Imara** (mara nyingi kwa siku)
|
||||
- **Chaguzi za uratibu wa patch**: Hii inaruhusu kutekeleza patch kiotomatiki katika VMs kulingana na sera iliyochaguliwa kama ilivyoelezwa katika [**docs**](https://learn.microsoft.com/en-us/azure/virtual-machines/automatic-vm-guest-patching).
|
||||
- **Arifa**: Inawezekana kupata arifa kiotomatiki kwa barua pepe au programu ya simu wakati kitu kinatokea katika VM. Kanuni za msingi:
|
||||
- **Alerts**: Inawezekana kupata arifa kiotomatiki kwa barua pepe au programu ya simu wakati kitu kinatokea katika VM. Sheria za msingi:
|
||||
- Asilimia ya CPU ni kubwa kuliko 80%
|
||||
- Kumbukumbu Inapatikana Bytes ni chini ya 1GB
|
||||
- Asilimia ya IOPS za Diski za Data zinazotumika ni kubwa kuliko 95%
|
||||
@@ -38,19 +38,19 @@ Mashine za Kijijini za Azure (VMs) ni seva za **wingu zinazoweza kubadilishwa, z
|
||||
- Mtandao kwa Jumla ni mkubwa kuliko 500GB
|
||||
- Mtandao wa Nje kwa Jumla ni mkubwa kuliko 200GB
|
||||
- VmAvailabilityMetric ni chini ya 1
|
||||
- **Kikaguzi cha Afya**: Kwa kawaida inakagua itifaki ya HTTP kwenye bandari 80
|
||||
- **Vizui**: Inaruhusu kufunga vizui kwenye VM ili iweze kusomwa tu (**ReadOnly** lock) au inaweza kusomwa na kusasishwa lakini si kufutwa (**CanNotDelete** lock).
|
||||
- Rasilimali nyingi zinazohusiana na VM **pia zinaunga mkono vizui** kama diski, picha za snapshot...
|
||||
- Vizui vinaweza pia kutumika kwenye **kikundi cha rasilimali na viwango vya usajili**
|
||||
- **Kikaguzi cha Afya**: Kwa kawaida inakagua itifaki ya HTTP katika bandari 80
|
||||
- **Locks**: Inaruhusu kufunga VM ili iweze kusomwa tu (**ReadOnly** lock) au inaweza kusomwa na kusasishwa lakini si kufutwa (**CanNotDelete** lock).
|
||||
- Rasilimali nyingi zinazohusiana na VM **pia zinaunga mkono locks** kama vile diski, picha za snapshot...
|
||||
- Locks zinaweza pia kutumika katika **kikundi cha rasilimali na viwango vya usajili**
|
||||
|
||||
## Diski & picha za snapshot
|
||||
|
||||
- Inawezekana **kuwezesha kuunganisha diski kwa VMs 2 au zaidi**
|
||||
- Kwa kawaida kila diski inasimbwa **kwa funguo za jukwaa.**
|
||||
- Vivyo hivyo katika picha za snapshot
|
||||
- Kwa kawaida inawezekana **kushiriki diski kutoka mitandao yote**, lakini pia inaweza **kuzuiwa** kwa ufikiaji fulani **binafsi** au **kuondoa kabisa** ufikiaji wa umma na binafsi.
|
||||
- Kwa kawaida inawezekana **kushiriki diski kutoka mitandao yote**, lakini pia inaweza **kuzuiwa** kwa ufikiaji fulani **binafsi** au **kukatisha kabisa** ufikiaji wa umma na binafsi.
|
||||
- Vivyo hivyo katika picha za snapshot
|
||||
- Inawezekana **kuunda SAS URI** (ya max siku 60) ili **kuhamasisha diski**, ambayo inaweza kuundwa ili kuhitaji uthibitisho au la
|
||||
- Inawezekana **kuunda SAS URI** (ya max siku 60) ili **kuhamasisha diski**, ambayo inaweza kuundwa ili kuhitaji uthibitishaji au la
|
||||
- Vivyo hivyo katika picha za snapshot
|
||||
|
||||
{{#tabs}}
|
||||
@@ -77,9 +77,9 @@ Get-AzDisk -Name <DiskName> -ResourceGroupName <ResourceGroupName>
|
||||
## Picha, Picha za Galeria & Pointi za Kurejesha
|
||||
|
||||
Picha ya **VM** ni kiolezo kinachojumuisha mfumo wa uendeshaji, mipangilio ya programu na mfumo wa faili unaohitajika ili **kuunda mashine mpya ya virtual (VM)**. Tofauti kati ya picha na snapshot ya diski ni kwamba snapshot ya diski ni nakala ya kusoma tu, ya wakati mmoja ya diski moja inayosimamiwa, inayotumika hasa kwa ajili ya akiba au kutatua matatizo, wakati picha inaweza kuwa na **diski nyingi na imeundwa kutumikia kama kiolezo cha kuunda VMs mpya**.\
|
||||
Picha zinaweza kusimamiwa katika **sehemu ya Picha** ya Azure au ndani ya **galeria za kompyuta za Azure** ambazo zinaruhusu kuunda **matoleo** na **kushiriki** picha hiyo kati ya wapangaji tofauti au hata kuifanya kuwa ya umma.
|
||||
Picha zinaweza kusimamiwa katika **sehemu ya Picha** ya Azure au ndani ya **galeria za kompyuta za Azure** ambazo zinaruhusu kuunda **matoleo** na **kushiriki** picha hiyo kati ya wapangaji tofauti au hata kuifanya iwe ya umma.
|
||||
|
||||
Pointi ya **kurejesha** inahifadhi usanidi wa VM na **snapshot za wakati mmoja** zinazofanana na programu za **diski zote zinazodhibitiwa** zilizounganishwa na VM. Inahusiana na VM na kusudi lake ni kuwa na uwezo wa kurejesha VM hiyo jinsi ilivyokuwa katika wakati huo maalum.
|
||||
Pointi ya **kurejesha** inahifadhi usanidi wa VM na **snapshot za wakati mmoja** zinazofanana na programu za **diski zote zinazosimamiwa** zilizounganishwa na VM. Inahusiana na VM na kusudi lake ni kuwa na uwezo wa kurejesha VM hiyo jinsi ilivyokuwa katika wakati huo maalum.
|
||||
|
||||
{{#tabs}}
|
||||
{{#tab name="az cli"}}
|
||||
@@ -144,13 +144,13 @@ Get-AzRestorePointCollection -Name <CollectionName> -ResourceGroupName <Resource
|
||||
|
||||
## Azure Site Recovery
|
||||
|
||||
Kutoka kwa [**docs**](https://learn.microsoft.com/en-us/azure/site-recovery/site-recovery-overview): Site Recovery husaidia kuhakikisha uendelevu wa biashara kwa kuweka programu za biashara na mizigo ikifanya kazi wakati wa kukatika. Site Recovery **inajirudia mizigo** inayofanya kazi kwenye mashine za kimwili na virtual (VMs) kutoka tovuti ya msingi hadi eneo la pili. Wakati kukatika kunapotokea kwenye tovuti yako ya msingi, unahamia kwenye eneo la pili, na kufikia programu kutoka hapo. Baada ya eneo la msingi kuanza tena, unaweza kurudi huko.
|
||||
Kutoka kwenye [**docs**](https://learn.microsoft.com/en-us/azure/site-recovery/site-recovery-overview): Site Recovery husaidia kuhakikisha uendelevu wa biashara kwa kuweka programu za biashara na mizigo ikifanya kazi wakati wa kukatika. Site Recovery **inajirudia mizigo** inayofanya kazi kwenye mashine za kimwili na virtual (VMs) kutoka kwenye tovuti ya msingi hadi eneo la pili. Wakati kukatika kunapotokea kwenye tovuti yako ya msingi, unahamia kwenye eneo la pili, na kufikia programu kutoka hapo. Baada ya eneo la msingi kuanza tena, unaweza kurudi huko.
|
||||
|
||||
## Azure Bastion
|
||||
|
||||
Azure Bastion inaruhusu ufikiaji salama na usio na mshono wa **Remote Desktop Protocol (RDP)** na **Secure Shell (SSH)** kwa mashine zako za virtual (VMs) moja kwa moja kupitia Azure Portal au kupitia sanduku la jump. Kwa **kuondoa hitaji la anwani za IP za umma** kwenye VMs zako.
|
||||
|
||||
Bastion inapeleka subnet inayoitwa **`AzureBastionSubnet`** yenye netmask ya `/26` katika VNet ambayo inahitaji kufanya kazi. Kisha, inaruhusu **kuungana na VMs za ndani kupitia kivinjari** kwa kutumia `RDP` na `SSH` bila kufichua bandari za VMs kwa Mtandao. Inaweza pia kufanya kazi kama **jump host**.
|
||||
Bastion inapeleka subnet inayoitwa **`AzureBastionSubnet`** yenye netmask ya `/26` katika VNet inayoihitaji kufanya kazi. Kisha, inaruhusu **kuungana na VMs za ndani kupitia kivinjari** kwa kutumia `RDP` na `SSH` bila kufichua bandari za VMs kwa Mtandao. Inaweza pia kufanya kazi kama **jump host**.
|
||||
|
||||
Ili orodhesha Hosts zote za Azure Bastion katika usajili wako na kuungana na VMs kupitia hizo, unaweza kutumia amri zifuatazo:
|
||||
|
||||
@@ -189,7 +189,7 @@ Get-AzBastion
|
||||
|
||||
## Metadata
|
||||
|
||||
Huduma ya Metadata ya Azure Instance (IMDS) **inatoa taarifa kuhusu mifano ya mashine za virtual zinazofanya kazi** kusaidia katika usimamizi na usanidi wao. Inatoa maelezo kama SKU, uhifadhi, usanidi wa mtandao, na taarifa kuhusu matukio ya matengenezo yanayokuja kupitia **REST API inayopatikana kwenye anwani ya IP isiyoweza kuelekezwa 169.254.169.254**, ambayo inapatikana tu kutoka ndani ya VM. Mawasiliano kati ya VM na IMDS yanabaki ndani ya mwenyeji, kuhakikisha ufikiaji salama. Wakati wa kuuliza IMDS, wateja wa HTTP ndani ya VM wanapaswa kupita proxies za wavuti ili kuhakikisha mawasiliano sahihi.
|
||||
Huduma ya Metadata ya Azure Instance (IMDS) **inatoa taarifa kuhusu mifano ya mashine za virtual zinazotembea** kusaidia katika usimamizi na usanidi wao. Inatoa maelezo kama vile SKU, uhifadhi, usanidi wa mtandao, na taarifa kuhusu matukio ya matengenezo yanayokuja kupitia **REST API inayopatikana kwenye anwani ya IP isiyoweza kuelekezwa 169.254.169.254**, ambayo inapatikana tu kutoka ndani ya VM. Mawasiliano kati ya VM na IMDS yanabaki ndani ya mwenyeji, kuhakikisha ufikiaji salama. Wakati wa kuuliza IMDS, wateja wa HTTP ndani ya VM wanapaswa kupita kupitia proxies za wavuti ili kuhakikisha mawasiliano sahihi.
|
||||
|
||||
Zaidi ya hayo, ili kuwasiliana na mwisho wa metadata, ombi la HTTP lazima liwe na kichwa **`Metadata: true`** na halipaswi kuwa na kichwa **`X-Forwarded-For`**.
|
||||
|
||||
@@ -539,7 +539,7 @@ The required permission is still **`Microsoft.Compute/virtualMachines/extensions
|
||||
|
||||
<summary>VMAccess extension</summary>
|
||||
|
||||
Extension hii inaruhusu kubadilisha nenosiri (au kuunda ikiwa haipo) ya watumiaji ndani ya Windows VMs.
|
||||
Extension hii inaruhusu kubadilisha nenosiri (au kuunda ikiwa halipo) la watumiaji ndani ya Windows VMs.
|
||||
```bash
|
||||
# Run VMAccess extension to reset the password
|
||||
$cred=Get-Credential # Username and password to reset (if it doesn't exist it'll be created). "Administrator" username is allowed to change the password
|
||||
@@ -637,7 +637,7 @@ Ruhusa zinazohitajika ni:
|
||||
- `Microsoft.Network/networkInterfaces/join/action`
|
||||
- `Microsoft.Compute/disks/write`
|
||||
|
||||
Mfano wa unyakuzi wa kutekeleza amri zisizo na mipaka:
|
||||
Mfano wa unyakuzi wa kutekeleza amri zisizo za kawaida:
|
||||
|
||||
{{#tabs }}
|
||||
{{#tab name="Linux" }}
|
||||
@@ -721,7 +721,7 @@ az vm application set \
|
||||
|
||||
### User data
|
||||
|
||||
Hii ni **data ya kudumu** ambayo inaweza kupatikana kutoka kwa kiungo cha metadata wakati wowote. Kumbuka katika Azure, data ya mtumiaji ni tofauti na AWS na GCP kwa sababu **ikiwa unaweka script hapa haitekelezwi kwa default**.
|
||||
Hii ni **data ya kudumu** ambayo inaweza kupatikana kutoka kwa kiungo cha metadata wakati wowote. Kumbuka katika Azure, data ya mtumiaji ni tofauti na AWS na GCP kwa sababu **ikiwa utaweka script hapa haitekelezwi kwa default**.
|
||||
|
||||
### Custom data
|
||||
|
||||
@@ -793,7 +793,7 @@ Invoke-AzureRmVMBulkCMD -Script Mimikatz.ps1 -Verbose -output Output.txt
|
||||
## Ufikiaji Usioidhinishwa
|
||||
|
||||
{{#ref}}
|
||||
../../az-unauthenticated-enum-and-initial-entry/az-vms-unath.md
|
||||
../../az-unauthenticated-enum-and-initial-entry/az-vms-unauth.md
|
||||
{{#endref}}
|
||||
|
||||
## Baada ya Kutekeleza
|
||||
@@ -808,7 +808,7 @@ Invoke-AzureRmVMBulkCMD -Script Mimikatz.ps1 -Verbose -output Output.txt
|
||||
../../az-persistence/az-vms-persistence.md
|
||||
{{#endref}}
|
||||
|
||||
## Marejeo
|
||||
## Marejeleo
|
||||
|
||||
- [https://learn.microsoft.com/en-us/azure/virtual-machines/overview](https://learn.microsoft.com/en-us/azure/virtual-machines/overview)
|
||||
- [https://hausec.com/2022/05/04/azure-virtual-machine-execution-techniques/](https://hausec.com/2022/05/04/azure-virtual-machine-execution-techniques/)
|
||||
|
||||
Reference in New Issue
Block a user