diff --git a/src/pentesting-cloud/azure-security/az-services/az-misc.md b/src/pentesting-cloud/azure-security/az-services/az-misc.md index c9a1258dc..c4a72ef20 100644 --- a/src/pentesting-cloud/azure-security/az-services/az-misc.md +++ b/src/pentesting-cloud/azure-security/az-services/az-misc.md @@ -4,12 +4,12 @@ ## Power Apps -Power Apps može da se poveže sa lokalnim SQL serverima, i čak i ako je to u početku neočekivano, postoji način da se ova veza izvrši proizvoljne SQL upite koji bi mogli omogućiti napadačima da kompromituju lokalne SQL servere. +Power Apps može da se poveže sa lokalnim SQL serverima, i čak i ako je to prvobitno neočekivano, postoji način da se ova veza izvrši proizvoljne SQL upite koji bi mogli omogućiti napadačima da kompromituju lokalne SQL servere. Ovo je rezime iz posta [https://www.ibm.com/think/x-force/abusing-power-apps-compromise-on-prem-servers](https://www.ibm.com/think/x-force/abusing-power-apps-compromise-on-prem-servers) gde možete pronaći detaljno objašnjenje kako zloupotrebiti Power Apps za kompromitovanje lokalnih SQL servera: - Korisnik kreira aplikaciju koja koristi **lokalnu SQL vezu i deli je sa svima**, bilo namerno ili nenamerno. - Napadač kreira novi tok i dodaje **akciju “Transformiši podatke pomoću Power Query” koristeći postojeću SQL vezu**. -- Ako je povezani korisnik SQL administrator ili ima privilegije impersonacije, ili postoje bilo koje privilegovane SQL veze ili lozinke u čistom tekstu u bazama podataka, ili ste dobili druge privilegovane lozinke u čistom tekstu, sada možete preći na lokalni SQL server. +- Ako je povezani korisnik SQL administrator ili ima privilegije impersonacije, ili postoje bilo koje privilegovane SQL veze ili plaintext akreditivi u bazama podataka, ili ste dobili druge privilegovane plaintext akreditive, sada možete preći na lokalni SQL server. {{#include ../../../banners/hacktricks-training.md}}