gitea-mirror/hacktricks-cloud
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks-cloud.git synced 2026-07-28 22:51:09 -07:00
Code Issues Packages Projects Releases Wiki Activity

Translated ['', 'src/pentesting-cloud/azure-security/az-services/az-stor

Browse Source
This commit is contained in:
Translator
2026-01-18 15:04:25 +00:00
parent f9e753fc91
commit d9a482f4ee
1 changed files with 92 additions and 76 deletions
Download Patch File Download Diff File Expand all files Collapse all files
src/pentesting-cloud/azure-security/az-services/az-storage.md
+92 -76
View File
@@ -1,32 +1,32 @@
# Az - Contas de Armazenamento & Blobs
# Az - Storage Accounts & Blobs
{{#include ../../../banners/hacktricks-training.md}}
## Informações Básicas
Azure Storage Accounts são serviços fundamentais no Microsoft Azure que fornecem armazenamento em nuvem escalável, seguro e altamente disponível para vários tipos de dados, incluindo blobs (binary large objects), files, queues e tables. Eles servem como contêineres que agrupam esses diferentes serviços de armazenamento sob um único namespace para facilitar o gerenciamento.
Azure Storage Accounts são serviços fundamentais na Microsoft Azure que fornecem **armazenamento em nuvem escalável, seguro e altamente disponível para vários tipos de dados**, incluindo blobs (binary large objects), files, queues, and tables. Eles funcionam como contêineres que agrupam esses diferentes serviços de storage sob um único namespace para facilitar o gerenciamento.
**Principais opções de configuração**:
- Toda storage account deve ter um **nome único em todo o Azure**.
- Cada storage account é implantada em uma **região** ou em uma zona estendida do Azure.
- É possível selecionar a versão **premium** da storage account para melhor performance.
- É possível selecionar entre **4 tipos de redundância para proteger** contra falhas de rack, disco e datacenter.
- Cada storage account deve ter um **nome único em todo o Azure**.
- Cada storage account é implantada em uma **região** ou em uma Azure extended zone
- É possível selecionar a versão **premium** da storage account para melhor desempenho
- É possível escolher entre **4 tipos de redundância para proteger** contra falhas de rack, drive e datacenter.
**Opções de configuração de segurança**:
- **Require secure transfer for REST API operations**: Exigir TLS em qualquer comunicação com o storage.
- **Allows enabling anonymous access on individual containers**: Se não habilitado, não será possível ativar acesso anônimo no futuro.
- **Enable storage account key access**: Se não habilitado, o acesso com Shared Keys será proibido.
- **Require secure transfer for REST API operations**: Exigir TLS em qualquer comunicação com o storage
- **Allows enabling anonymous access on individual containers**: Se não estiver habilitado, não será possível ativar acesso anônimo no futuro
- **Enable storage account key access**: Se desabilitado, o acesso com Shared Keys será proibido
- **Minimum TLS version**
- **Permitted scope for copy operations**: Permitir de qualquer storage account, de qualquer storage account do mesmo Entra tenant ou de storage accounts com private endpoints na mesma virtual network.
- **Permitted scope for copy operations**: Allow from any storage account, from any storage account from the same Entra tenant or from storage account with private endpoints in the same virtual network.
**Opções do Blob Storage**:
- **Allow cross-tenant replication**
- **Access tier**: Hot (dados acessados com frequência), Cool e Cold (dados raramente acessados)
- **Access tier**: Hot (dados acessados frequentemente), Cool e Cold (dados raramente acessados)
**Opções de Rede**:
**Opções de rede**:
- **Network access**:
- Allow from all networks
@@ -36,36 +36,51 @@ Azure Storage Accounts são serviços fundamentais no Microsoft Azure que fornec
**Opções de proteção de dados**:
- **Point-in-time restore for containers**: Permite restaurar containers para um estado anterior.
- Requer que versioning, change feed e blob soft delete estejam habilitados.
- **Enable soft delete for blobs**: Habilita um período de retenção em dias para blobs deletados (mesmo sobrescritos).
- **Enable soft delete for containers**: Habilita um período de retenção em dias para containers deletados.
- **Enable soft delete for file shares**: Habilita um período de retenção em dias para file shares deletados.
- **Enable versioning for blobs**: Mantém versões anteriores dos seus blobs.
- **Enable blob change feed**: Mantém logs de criação, modificação e exclusão de blobs.
- **Enable version-level immutability support**: Permite definir uma política de retenção baseada em tempo no nível da conta que se aplicará a todas as versões de blob.
- **Point-in-time restore for containers**: Permite restaurar containers para um estado anterior
- Requer que versioning, change feed, e blob soft delete estejam habilitados.
- **Enable soft delete for blobs**: Habilita um período de retenção em dias para blobs deletados (mesmo sobrescritos)
- **Enable soft delete for containers**: Habilita um período de retenção em dias para containers deletados
- **Enable soft delete for file shares**: Habilita um período de retenção em dias para file shares deletados
- **Enable versioning for blobs**: Mantém versões anteriores dos seus blobs
- **Enable blob change feed**: Mantém logs de criação, modificação e exclusão de blobs
- **Enable version-level immutability support**: Permite configurar uma política de retenção baseada em tempo no nível da conta que se aplicará a todas as versões de blob.
- Version-level immutability support e point-in-time restore for containers não podem ser habilitados simultaneamente.
**Opções de criptografia**:
**Opções de configuração de criptografia**:
- **Encryption type**: É possível usar chaves gerenciadas pela Microsoft (MMK) ou chaves gerenciadas pelo cliente (CMK).
- **Enable infrastructure encryption**: Permite criptografar os dados duas vezes "para mais segurança".
- **Encryption type**: É possível usar Microsoft-managed keys (MMK) ou Customer-managed keys (CMK)
- **Enable infrastructure encryption**: Permite dupla criptografia dos dados "para mais segurança"
### Storage endpoints
<table data-header-hidden><thead><tr><th width="197">Serviço de Armazenamento</th><th>Endpoint</th></tr></thead><tbody><tr><td><strong>Blob storage</strong></td><td><code>https://<storage-account>.blob.core.windows.net</code><br><br><code>https://<stg-acc>.blob.core.windows.net/<container-name>?restype=container&comp=list</code></td></tr><tr><td><strong>Data Lake Storage</strong></td><td><code>https://<storage-account>.dfs.core.windows.net</code></td></tr><tr><td><strong>Azure Files</strong></td><td><code>https://<storage-account>.file.core.windows.net</code></td></tr><tr><td><strong>Queue storage</strong></td><td><code>https://<storage-account>.queue.core.windows.net</code></td></tr><tr><td><strong>Table storage</strong></td><td><code>https://<storage-account>.table.core.windows.net</code></td></tr></tbody></table>
<table data-header-hidden><thead><tr><th width="197">Serviço de Storage</th><th>Endpoint</th></tr></thead><tbody><tr><td><strong>Blob storage</strong></td><td><code>https://<storage-account>.blob.core.windows.net</code><br><br><code>https://<stg-acc>.blob.core.windows.net/<container-name>?restype=container&comp=list</code></td></tr><tr><td><strong>Data Lake Storage</strong></td><td><code>https://<storage-account>.dfs.core.windows.net</code></td></tr><tr><td><strong>Azure Files</strong></td><td><code>https://<storage-account>.file.core.windows.net</code></td></tr><tr><td><strong>Queue storage</strong></td><td><code>https://<storage-account>.queue.core.windows.net</code></td></tr><tr><td><strong>Table storage</strong></td><td><code>https://<storage-account>.table.core.windows.net</code></td></tr></tbody></table>
### Exposição Pública
Se "Allow Blob public access" estiver **enabled** (disabled por padrão), ao criar um container é possível:
Se "Allow Blob public access" estiver **habilitado** (desabilitado por padrão), ao criar um container é possível:
- Conceder **acesso público para leitura de blobs** (é necessário conhecer o nome).
- **Listar blobs do container** e **lê-los**.
- Tornar o container totalmente **privado**.
- Dar **public access to read blobs** (você precisa saber o nome).
- **List container blobs** e **lê-los**.
- Torná-lo totalmente **privado**
<figure><img src="https://lh7-rt.googleusercontent.com/slidesz/AGV_vUfoetUnYBPWQpRrWNnnlbqWpl8Rdoaeg5uBrCVlvcNDlnKwQHjZe8nUb2SfPspBgbu-lCZLmUei-hFi_Jl2eKbaxUtBGTjdUSDmkrcwr90VZkmuMjk9tyh92p75btfyzGiUTa0-=s2048?key=m8TV59TrCFPlkiNnmhYx3aZt" alt=""><figcaption></figcaption></figure>
#### Auditando exposição anônima de blobs
### Static website (`$web`) exposure & leaked secrets
- **Static websites** são servidos a partir do contêiner especial `$web` através de um endpoint específico por região, como `https://<account>.z13.web.core.windows.net/`.
- O contêiner `$web` pode reportar `publicAccess: null` via the blob API, mas arquivos ainda estão alcançáveis através do static site endpoint, então ao droppar config/IaC artifacts ali pode leak secrets.
- Workflow rápido de auditoria:
```bash
# Identify storage accounts with static website hosting enabled
az storage blob service-properties show --account-name <acc-name> --auth-mode login
# Enumerate containers (including $web) and their public flags
az storage container list --account-name <acc-name> --auth-mode login
# List files served by the static site even when publicAccess is null
az storage blob list --container-name '$web' --account-name <acc-name> --auth-mode login
# Pull suspicious files directly (e.g., IaC tfvars containing secrets/SAS)
az storage blob download -c '$web' --name iac/terraform.tfvars --file /dev/stdout --account-name <acc-name> --auth-mode login
```
### Auditoria da exposição anônima de blobs
- **Localizar storage accounts** que podem expor dados: `az storage account list | jq -r '.[] | select(.properties.allowBlobPublicAccess==true) | .name'`. Se `allowBlobPublicAccess` for `false` você não pode tornar containers públicos.
- **Inspecionar contas arriscadas** para confirmar a flag e outras configurações fracas: `az storage account show --name <acc> --query '{allow:properties.allowBlobPublicAccess, minTls:properties.minimumTlsVersion}'`.
@@ -75,11 +90,11 @@ az storage container list --account-name <acc> \
--query '[].{name:name, access:properties.publicAccess}'
```
- `"Blob"`: leituras anônimas permitidas **somente quando o nome do blob é conhecido** (sem listagem).
- `"Container"`: listagem + leitura anônimas de cada blob.
- `"Container"`: **listagem + leitura** anônima de todos os blobs.
- `null`: privado; autenticação necessária.
- **Comprovar acesso** sem credenciais:
- Se `publicAccess` for `Container`, a listagem anônima funciona: `curl "https://<acc>.blob.core.windows.net/<container>?restype=container&comp=list"`.
- Para `Blob` e `Container`, o download anônimo do blob funciona quando o nome é conhecido:
- **Provar acesso** sem credenciais:
- Se `publicAccess` é `Container`, a listagem anônima funciona: `curl "https://<acc>.blob.core.windows.net/<container>?restype=container&comp=list"`.
- Para ambos `Blob` e `Container`, o download anônimo do blob funciona quando o nome é conhecido:
```bash
az storage blob download -c <container> -n <blob> --account-name <acc> --file /dev/stdout
# or via raw HTTP
@@ -87,29 +102,29 @@ curl "https://<acc>.blob.core.windows.net/<container>/<blob>"
```
### Conectar ao Storage
Se encontrar qualquer **storage** ao qual possa conectar-se, pode usar a ferramenta [**Microsoft Azure Storage Explorer**](https://azure.microsoft.com/es-es/products/storage/storage-explorer/) para isso.
Se encontrar qualquer **storage** ao qual possa conectar, pode usar a ferramenta [**Microsoft Azure Storage Explorer**](https://azure.microsoft.com/es-es/products/storage/storage-explorer/) para isso.
## Acesso ao Storage <a href="#about-blob-storage" id="about-blob-storage"></a>
### RBAC
É possível usar principals do Entra ID com **RBAC roles** para acessar contas de Storage e esse é o método recomendado.
É possível usar principals do Entra ID com **RBAC roles** para acessar as contas de storage; esta é a forma recomendada.
### Access Keys
As storage accounts têm access keys que podem ser usadas para acessá-las. Isso fornece **acesso completo à conta de Storage.**
As contas de storage têm access keys que podem ser usadas para acessá-las. Isto fornece **acesso total à conta de storage.**
<figure><img src="../../../images/image (5).png" alt=""><figcaption></figcaption></figure>
### **Shared Keys & Lite Shared Keys**
É possível [**generate Shared Keys**](https://learn.microsoft.com/en-us/rest/api/storageservices/authorize-with-shared-key) assinadas com as access keys para autorizar o acesso a certos recursos via uma URL assinada.
É possível [**generate Shared Keys**](https://learn.microsoft.com/en-us/rest/api/storageservices/authorize-with-shared-key) assinadas com as access keys para autorizar o acesso a certos recursos através de uma URL assinada.
> [!NOTE]
> Observe que a parte `CanonicalizedResource` representa o recurso dos storage services (URI). E se qualquer parte na URL estiver codificada, ela também deve estar codificada dentro do `CanonicalizedResource`.
> Note que a parte `CanonicalizedResource` representa o recurso do serviço de storage (URI). E se alguma parte da URL estiver codificada, também deve estar codificada dentro do `CanonicalizedResource`.
> [!NOTE]
> Isto é **usado por padrão pelo `az` cli** para autenticar requisições. Para fazer com que use as credenciais do principal do Entra ID, indique o parâmetro `--auth-mode login`.
> Isto é **usado por padrão pelo `az` cli** para autenticar requisições. Para fazê-lo usar as credenciais do principal Entra ID, indique o parâmetro `--auth-mode login`.
- É possível gerar uma **shared key for blob, queue and file services** assinando a seguinte informação:
```bash
@@ -128,7 +143,7 @@ Range + "\n" +
CanonicalizedHeaders +
CanonicalizedResource;
```
- É possível gerar um **shared key for table services** assinando as seguintes informações:
- É possível gerar uma **chave compartilhada para serviços de tabela** assinando as seguintes informações:
```bash
StringToSign = VERB + "\n" +
Content-MD5 + "\n" +
@@ -145,12 +160,12 @@ Date + "\n" +
CanonicalizedHeaders +
CanonicalizedResource;
```
- É possível gerar uma **lite shared key for table services** assinando a seguinte informação:
- É possível gerar uma **lite shared key for table services** assinando as seguintes informações:
```bash
StringToSign = Date + "\n"
CanonicalizedResource
```
Então, para usar a chave, isso pode ser feito no cabeçalho Authorization seguindo a sintaxe:
Então, para usar a chave, isso pode ser feito no header Authorization seguindo a sintaxe:
```bash
Authorization="[SharedKey|SharedKeyLite] <AccountName>:<Signature>"
#e.g.
@@ -162,70 +177,70 @@ x-ms-date: Fri, 26 Jun 2015 23:39:12 GMT
Authorization: SharedKey myaccount:ctzMq410TV3wS7upTBcunJTDLEJwMAZuFPfr0mrrA08=
Content-Length: 0
```
### **Assinatura de Acesso Compartilhado** (SAS)
### **Assinatura de Acesso Compartilhada** (SAS)
Shared Access Signatures (SAS) são URLs seguras e com tempo limitado que **concedem permissões específicas para acessar recursos** em uma conta Azure Storage sem expor as chaves de acesso da conta. Enquanto as access keys fornecem acesso administrativo completo a todos os recursos, o SAS permite controle granular ao especificar permissões (como leitura ou escrita) e definir um tempo de expiração.
Shared Access Signatures (SAS) são URLs seguras e com tempo limitado que **concedem permissões específicas para acessar recursos** em uma conta Azure Storage sem expor as chaves de acesso da conta. Enquanto as chaves de acesso fornecem acesso administrativo completo a todos os recursos, o SAS permite controle granular ao especificar permissões (como leitura ou escrita) e definindo um tempo de expiração.
#### Tipos de SAS
#### SAS Types
- **User delegation SAS**: Isso é criado a partir de um **Entra ID principal** que assinará o SAS e delegará as permissões do usuário para o SAS. Só pode ser usado com **blob and data lake storage** ([docs](https://learn.microsoft.com/en-us/rest/api/storageservices/create-user-delegation-sas)). É possível **revogar** todos os user delegated SAS gerados.
- Mesmo que seja possível gerar um delegation SAS com "mais" permissões do que as que o usuário possui. No entanto, se o principal não as tiver, não funcionará (sem privesc).
- **Service SAS**: Isso é assinado usando uma das **access keys** da storage account. Pode ser usado para conceder acesso a recursos específicos em um único serviço de storage. Se a key for renovada, o SAS deixará de funcionar.
- **Account SAS**: Também é assinado com uma das **access keys** da storage account. Concede acesso a recursos através dos serviços da storage account (Blob, Queue, Table, File) e pode incluir operações a nível de serviço.
- **User delegation SAS**: Isto é criado a partir de um **Entra ID principal** que assinará o SAS e delegará as permissões do usuário para o SAS. Só pode ser usado com **blob and data lake storage** ([docs](https://learn.microsoft.com/en-us/rest/api/storageservices/create-user-delegation-sas)). É possível **revogar** todos os SAS delegados de usuário gerados.
- Mesmo que seja possível gerar um delegation SAS com "mais" permissões do que as que o usuário possui. Porém, se o principal não tiver essas permissões, não funcionará (no privesc).
- **Service SAS**: É assinado usando uma das **access keys** da conta de armazenamento. Pode ser usado para conceder acesso a recursos específicos em um único serviço de armazenamento. Se a chave for renovada, o SAS deixará de funcionar.
- **Account SAS**: Também é assinado com uma das **access keys** da conta de armazenamento. Concede acesso a recursos através dos serviços de uma conta de armazenamento (Blob, Queue, Table, File) e pode incluir operações em nível de serviço.
Uma URL SAS assinada por uma **access key** se parece com isto:
A SAS URL assinada por uma **access key** parece com isto:
- `https://<container_name>.blob.core.windows.net/newcontainer?sp=r&st=2021-09-26T18:15:21Z&se=2021-10-27T02:14:21Z&spr=https&sv=2021-07-08&sr=c&sig=7S%2BZySOgy4aA3Dk0V1cJyTSIf1cW%2Fu3WFkhHV32%2B4PE%3D`
Uma URL SAS assinada como **user delegation** se parece com isto:
Uma SAS URL assinada como **user delegation** parece com isto:
- `https://<container_name>.blob.core.windows.net/testing-container?sp=r&st=2024-11-22T15:07:40Z&se=2024-11-22T23:07:40Z&skoid=d77c71a1-96e7-483d-bd51-bd753aa66e62&sktid=fdd066e1-ee37-49bc-b08f-d0e152119b04&skt=2024-11-22T15:07:40Z&ske=2024-11-22T23:07:40Z&sks=b&skv=2022-11-02&spr=https&sv=2022-11-02&sr=c&sig=7s5dJyeE6klUNRulUj9TNL0tMj2K7mtxyRc97xbYDqs%3D`
Note alguns **http params**:
Observe alguns **parâmetros HTTP**:
- O parâmetro **`se`** indica a **data de expiração** do SAS
- O parâmetro **`sp`** indica as **permissões** do SAS
- O **`sig`** é a **assinatura** que valida o SAS
#### Permissões do SAS
#### SAS permissions
Ao gerar um SAS é necessário indicar as permissões que ele deve conceder. Dependendo do objeto sobre o qual o SAS está sendo gerado, diferentes permissões podem ser incluídas. Por exemplo:
Ao gerar um SAS é necessário indicar as permissões que ele deve conceder. Dependendo do objeto sobre o qual o SAS está sendo gerado, permissões diferentes podem ser incluídas. Por exemplo:
- (a)dd, (c)reate, (d)elete, (e)xecute, (f)ilter_by_tags, (i)set_immutability_policy, (l)ist, (m)ove, (r)ead, (t)ag, (w)rite, (x)delete_previous_version, (y)permanent_delete
## SFTP Support for Azure Blob Storage
Azure Blob Storage agora suporta o SSH File Transfer Protocol (SFTP), permitindo transferência de arquivos segura e gerenciamento diretamente no Blob Storage sem necessidade de soluções customizadas ou produtos de terceiros.
Azure Blob Storage agora suporta o SSH File Transfer Protocol (SFTP), permitindo transferência e gerenciamento de arquivos de forma segura diretamente no Blob Storage sem exigir soluções customizadas ou produtos de terceiros.
### Principais Recursos
### Key Features
- Protocol Support: SFTP funciona com contas Blob Storage configuradas com hierarchical namespace (HNS). Isso organiza blobs em diretórios e subdiretórios para facilitar a navegação.
- Security: SFTP usa identidades de usuários locais para autenticação e não se integra com RBAC ou ABAC. Cada usuário local pode autenticar via:
- Azure-generated passwords
- Public-private SSH key pairs
- Security: SFTP usa identidades de usuário locais para autenticação e não se integra com RBAC ou ABAC. Cada usuário local pode autenticar-se via:
- Azure-generated passwords
- Public-private SSH key pairs
- Granular Permissions: Permissões como Read, Write, Delete e List podem ser atribuídas a usuários locais para até 100 containers.
- Networking Considerations: Conexões SFTP são feitas pela porta 22. A Azure suporta configurações de rede como firewalls, private endpoints ou virtual networks para proteger o tráfego SFTP.
- Networking Considerations: Conexões SFTP são feitas pela porta 22. Azure suporta configurações de rede como firewalls, private endpoints ou virtual networks para proteger o tráfego SFTP.
### Requisitos de Configuração
### Setup Requirements
- Hierarchical Namespace: HNS deve estar habilitado ao criar a storage account.
- Hierarchical Namespace: HNS deve estar habilitado ao criar a conta de armazenamento.
- Supported Encryption: Requer algoritmos criptográficos aprovados pelo Microsoft Security Development Lifecycle (SDL) (por exemplo, rsa-sha2-256, ecdsa-sha2-nistp256).
- SFTP Configuration:
- Enable SFTP on the storage account.
- Create local user identities with appropriate permissions.
- Configure home directories for users to define their starting location within the container.
- Enable SFTP on the storage account.
- Create local user identities with appropriate permissions.
- Configure home directories for users to define their starting location within the container.
### Permissões
### Permissions
| Permissão | Símbolo | Descrição |
| ---------------------- | ------- | ------------------------------------- |
| **Leitura** | `r` | Ler o conteúdo do arquivo. |
| **Escrita** | `w` | Fazer upload de arquivos e criar diretórios. |
| **Listar** | `l` | Listar o conteúdo dos diretórios. |
| **Excluir** | `d` | Excluir arquivos ou diretórios. |
| **Criar** | `c` | Criar arquivos ou diretórios. |
| **Modificar Ownership**| `o` | Alterar o usuário ou grupo proprietário. |
| **Modificar Permissions** | `p` | Alterar ACLs em arquivos ou diretórios. |
| **Read** | `r` | Ler o conteúdo do arquivo. |
| **Write** | `w` | Enviar arquivos e criar diretórios. |
| **List** | `l` | Listar o conteúdo de diretórios. |
| **Delete** | `d` | Excluir arquivos ou diretórios. |
| **Create** | `c` | Criar arquivos ou diretórios. |
| **Modify Ownership** | `o` | Alterar o usuário ou grupo proprietário. |
| **Modify Permissions** | `p` | Alterar ACLs em arquivos ou diretórios. |
## Enumeration
@@ -233,7 +248,7 @@ Azure Blob Storage agora suporta o SSH File Transfer Protocol (SFTP), permitindo
{{#tab name="az cli" }}
<details>
<summary>enumeração az cli</summary>
<summary>az cli enumeration</summary>
```bash
# Get storage accounts
az storage account list #Get the account name from here
@@ -357,7 +372,7 @@ az storage account local-user list \
{{#tab name="Az PowerShell" }}
<details>
<summary>Enumeração do Az PowerShell</summary>
<summary>Az PowerShell enumeration</summary>
```powershell
# Get storage accounts
Get-AzStorageAccount | fl
@@ -420,7 +435,7 @@ New-AzStorageBlobSASToken `
{{#endtab }}
{{#endtabs }}
### Compartilhamento de Arquivos
### Compartilhamentos de Arquivos
{{#ref}}
az-file-shares.md
@@ -449,6 +464,7 @@ az-file-shares.md
- [https://learn.microsoft.com/en-us/azure/storage/blobs/storage-blobs-introduction](https://learn.microsoft.com/en-us/azure/storage/blobs/storage-blobs-introduction)
- [https://learn.microsoft.com/en-us/azure/storage/common/storage-sas-overview](https://learn.microsoft.com/en-us/azure/storage/common/storage-sas-overview)
- [https://learn.microsoft.com/en-us/azure/storage/blobs/secure-file-transfer-protocol-support](https://learn.microsoft.com/en-us/azure/storage/blobs/secure-file-transfer-protocol-support)
- [Holiday Hack Challenge 2025 – Spare Key (Azure static website SAS leak)](https://0xdf.gitlab.io/holidayhack2025/act1/spare-key)
- [Holiday Hack Challenge 2025: Blob Storage (Storage Secrets)](https://0xdf.gitlab.io/holidayhack2025/act1/blob-storage)
- [https://learn.microsoft.com/en-us/cli/azure/storage/account](https://learn.microsoft.com/en-us/cli/azure/storage/account)
- [https://learn.microsoft.com/en-us/cli/azure/storage/container](https://learn.microsoft.com/en-us/cli/azure/storage/container)