Translated ['src/pentesting-cloud/azure-security/az-enumeration-tools.md

2025-12-31 07:00:38 -08:00 · 2025-01-09 08:11:33 +00:00
parent 52dd2d3b11
commit feb265ae8e
373 changed files with 4 additions and 556 deletions
--- a/src/pentesting-cloud/azure-security/az-enumeration-tools.md
+++ b/src/pentesting-cloud/azure-security/az-enumeration-tools.md
@@ -24,7 +24,7 @@ pwsh
 # Az cli
 curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash
 ```
-## Installare PowerShell in MacOS
+## Installa PowerShell su MacOS

 Istruzioni dalla [**documentazione**](https://learn.microsoft.com/en-us/powershell/scripting/install/installing-powershell-on-macos?view=powershell-7.4):

@@ -121,9 +121,11 @@ Get-MgUser -Debug
 ```
 ### ~~**AzureAD Powershell**~~

-Il modulo Azure Active Directory (AD), ora **deprecato**, fa parte di Azure PowerShell per la gestione delle risorse di Azure AD. Fornisce cmdlet per attività come la gestione di utenti, gruppi e registrazioni di applicazioni in Entra ID.
+Il modulo Azure Active Directory (AD), ora **deprecato**, fa parte di Azure PowerShell per gestire le risorse di Azure AD. Fornisce cmdlet per attività come la gestione di utenti, gruppi e registrazioni di applicazioni in Entra ID.

 > [!TIP]
 > Questo è sostituito da Microsoft Graph PowerShell

 Follow this link for the [**installation instructions**](https://www.powershellgallery.com/packages/AzureAD).
+
+{{#include ../../banners/hacktricks-training.md}}
--- a/src/pentesting-cloud/azure-security/az-post-exploitation/az-static-web-apps-post-exploitation.md
+++ b/src/pentesting-cloud/azure-security/az-post-exploitation/az-static-web-apps-post-exploitation.md
@@ -1,162 +0,0 @@
-# Az - Static Web Apps Post Exploitation
-
-{{#include ../../../banners/hacktricks-training.md}}
-
-## Azure Static Web Apps
-
-Per ulteriori informazioni su questo servizio, controlla:
-
-{{#ref}}
-../az-services/az-static-web-apps.md
-{{#endref}}
-
-### Microsoft.Web/staticSites/snippets/write
-
-È possibile far caricare a una pagina web statica codice HTML arbitrario creando uno snippet. Questo potrebbe consentire a un attaccante di iniettare codice JS all'interno dell'app web e rubare informazioni sensibili come credenziali o chiavi mnemoniche (in portafogli web3).
-
-Il seguente comando crea uno snippet che sarà sempre caricato dall'app web::
-```bash
-az rest \
--method PUT \
--uri "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Web/staticSites/<app-name>/snippets/<snippet-name>?api-version=2022-03-01" \
--headers "Content-Type=application/json" \
--body '{
-"properties": {
-"name": "supersnippet",
-"location": "Body",
-"applicableEnvironmentsMode": "AllEnvironments",
-"content": "PHNjcmlwdD4KYWxlcnQoIkF6dXJlIFNuaXBwZXQiKQo8L3NjcmlwdD4K",
-"environments": [],
-"insertBottom": false
-}
-}'
-```
-### Leggi le credenziali di terze parti configurate
-
-Come spiegato nella sezione App Service:
-
-{{#ref}}
-../az-privilege-escalation/az-app-services-privesc.md
-{{#endref}}
-
-Eseguendo il seguente comando è possibile **leggere le credenziali di terze parti** configurate nell'account attuale. Nota che, ad esempio, se alcune credenziali di Github sono configurate in un utente diverso, non sarai in grado di accedere al token da un altro.
-```bash
-az rest --method GET \
--url "https://management.azure.com/providers/Microsoft.Web/sourcecontrols?api-version=2024-04-01"
-```
-Questo comando restituisce token per Github, Bitbucket, Dropbox e OneDrive.
-
-Ecco alcuni esempi di comandi per controllare i token:
-```bash
-# GitHub – List Repositories
-curl -H "Authorization: token <token>" \
-H "Accept: application/vnd.github.v3+json" \
-https://api.github.com/user/repos
-
-# Bitbucket – List Repositories
-curl -H "Authorization: Bearer <token>" \
-H "Accept: application/json" \
-https://api.bitbucket.org/2.0/repositories
-
-# Dropbox – List Files in Root Folder
-curl -X POST https://api.dropboxapi.com/2/files/list_folder \
-H "Authorization: Bearer <token>" \
-H "Content-Type: application/json" \
--data '{"path": ""}'
-
-# OneDrive – List Files in Root Folder
-curl -H "Authorization: Bearer <token>" \
-H "Accept: application/json" \
-https://graph.microsoft.com/v1.0/me/drive/root/children
-```
-### Sovrascrivere file - Sovrascrivere percorsi, HTML, JS...
-
-È possibile **sovrascrivere un file all'interno del repository Github** contenente l'app tramite Azure inviando una richiesta come la seguente, che indicherà il percorso del file da sovrascrivere, il contenuto del file e il messaggio di commit.
-
-Questo può essere sfruttato dagli attaccanti per **cambiare il contenuto dell'app web** per servire contenuti dannosi (rubare credenziali, chiavi mnemoniche...) o semplicemente per **reindirizzare determinati percorsi** ai propri server sovrascrivendo il file `staticwebapp.config.json`.
-
-> [!WARNING]
-> Nota che se un attaccante riesce a compromettere il repository Github in qualsiasi modo, può anche sovrascrivere il file direttamente da Github.
-```bash
-curl -X PUT "https://functions.azure.com/api/github/updateGitHubContent" \
-H "Content-Type: application/json" \
-d '{
-"commit": {
-"message": "Update static web app route configuration",
-"branchName": "main",
-"committer": {
-"name": "Azure App Service",
-"email": "donotreply@microsoft.com"
-},
-"contentBase64Encoded": "ewogICJuYXZpZ2F0aW9uRmFsbGJhY2siOiB7CiAgICAicmV3cml0ZSI6ICIvaW5kZXguaHRtbCIKICB9LAogICJyb3V0ZXMiOiBbCiAgICB7CiAgICAgICJyb3V0ZSI6ICIvcHJvZmlsZSIsCiAgICAgICJtZXRob2RzIjogWwogICAgICAgICJnZXQiLAogICAgICAgICJoZWFkIiwKICAgICAgICAicG9zdCIKICAgICAgXSwKICAgICAgInJld3JpdGUiOiAiL3AxIiwKICAgICAgInJlZGlyZWN0IjogIi9sYWxhbGEyIiwKICAgICAgInN0YXR1c0NvZGUiOiAzMDEsCiAgICAgICJhbGxvd2VkUm9sZXMiOiBbCiAgICAgICAgImFub255bW91cyIKICAgICAgXQogICAgfQogIF0KfQ==",
-"filePath": "staticwebapp.config.json",
-"message": "Update static web app route configuration",
-"repoName": "carlospolop/my-first-static-web-app",
-"sha": "4b6165d0ad993a5c705e8e9bb23b778dff2f9ca4"
-},
-"gitHubToken": "gho_1OSsm834ai863yKkdwHGj31927PCFk44BAXL"
-}'
-```
-### Microsoft.Web/staticSites/config/write
-
-Con questo permesso, è possibile **modificare la password** che protegge un'app web statica o addirittura rimuovere la protezione da ogni ambiente inviando una richiesta come la seguente:
-```bash
-# Change password
-az rest --method put \
--url "/subscriptions/<subcription-id>/resourceGroups/<res-group>/providers/Microsoft.Web/staticSites/<app-name>/config/basicAuth?api-version=2021-03-01" \
--headers 'Content-Type=application/json' \
--body '{
-"name": "basicAuth",
-"type": "Microsoft.Web/staticSites/basicAuth",
-"properties": {
-"password": "SuperPassword123.",
-"secretUrl": "",
-"applicableEnvironmentsMode": "AllEnvironments"
-}
-}'
-
-# Remove the need of a password
-az rest --method put \
--url "/subscriptions/<subcription-id>/resourceGroups/<res-group>/providers/Microsoft.Web/staticSites/<app-name>/config/basicAuth?api-version=2021-03-01" \
--headers 'Content-Type=application/json' \
--body '{
-"name": "basicAuth",
-"type": "Microsoft.Web/staticSites/basicAuth",
-"properties": {
-"secretUrl": "",
-"applicableEnvironmentsMode": "SpecifiedEnvironments",
-"secretState": "None"
-}
-}'
-```
-### Microsoft.Web/staticSites/listSecrets/action
-
-Questo permesso consente di ottenere il **token di distribuzione della chiave API** per l'app statica.
-
-Questo token consente di distribuire l'app.
-```bash
-az rest --method POST \
--url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Web/staticSites/<app-name>/listSecrets?api-version=2023-01-01"
-```
-Poi, per aggiornare un'app, puoi eseguire il seguente comando. Nota che questo comando è stato estratto controllando **come funziona Github Action [https://github.com/Azure/static-web-apps-deploy](https://github.com/Azure/static-web-apps-deploy)**, poiché è quello impostato da Azure per impostazione predefinita. Quindi l'immagine e i parametri potrebbero cambiare in futuro.
-
-1. Scarica il repo [https://github.com/staticwebdev/react-basic](https://github.com/staticwebdev/react-basic) (o qualsiasi altro repo che desideri distribuire) ed esegui `cd react-basic`.
-2. Modifica il codice che desideri distribuire
-3. Distribuiscilo eseguendo (Ricorda di cambiare il `<api-token>`):
-```bash
-docker run -it --rm -v $(pwd):/mnt mcr.microsoft.com/appsvc/staticappsclient:stable INPUT_AZURE_STATIC_WEB_APPS_API_TOKEN=<api-token> INPUT_APP_LOCATION="/mnt" INPUT_API_LOCATION="" INPUT_OUTPUT_LOCATION="build" /bin/staticsites/StaticSitesClient upload --verbose
-```
-### Microsoft.Web/staticSites/write
-
-Con questo permesso è possibile **cambiare la sorgente dell'app web statica in un diverso repository Github**, tuttavia, non verrà automaticamente fornito poiché questo deve essere fatto da un'azione Github di solito con il token che ha autorizzato l'azione poiché questo token non viene aggiornato automaticamente all'interno dei segreti Github del repository (viene semplicemente aggiunto automaticamente quando l'app viene creata).
-```bash
-az staticwebapp update --name my-first-static-web-app --resource-group Resource_Group_1 --source https://github.com/carlospolop/my-first-static-web-app -b main
-```
-### Microsoft.Web/staticSites/resetapikey/action
-
-Con questo permesso è possibile **reimpostare la chiave API dell'app web statica**, potenzialmente causando un DoS ai flussi di lavoro che distribuiscono automaticamente l'app.
-```bash
-az rest --method POST \
--url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Web/staticSites/<app-name>/resetapikey?api-version=2019-08-01"
-```
-{{#include ../../../banners/hacktricks-training.md}}
--- a/src/pentesting-cloud/azure-security/az-services/az-app-service.md
+++ b/src/pentesting-cloud/azure-security/az-services/az-app-service.md
@@ -1,273 +0,0 @@
-# Az - App Services
-
-{{#include ../../../banners/hacktricks-training.md}}
-
-## App Service Basic Information
-
-Azure App Services consente agli sviluppatori di **creare, distribuire e scalare applicazioni web, backend di app mobili e API senza soluzione di continuità**. Supporta più linguaggi di programmazione e si integra con vari strumenti e servizi Azure per funzionalità e gestione avanzate.
-
-Ogni app viene eseguita all'interno di un sandbox, ma l'isolamento dipende dai piani App Service
-
- Le app nei livelli Free e Shared vengono eseguite su VM condivise
- Le app nei livelli Standard e Premium vengono eseguite su VM dedicate
-
-> [!WARNING]
-> Nota che **nessuno** di questi isolamenti **previene** altre comuni **vulnerabilità web** (come il caricamento di file o le iniezioni). E se viene utilizzata un'**identità di gestione**, potrebbe essere in grado di **escalare i privilegi a esse**.
-
-Le app hanno alcune configurazioni interessanti:
-
- **Always On**: Garantisce che l'app sia sempre in esecuzione. Se non abilitato, l'app smetterà di funzionare dopo 20 minuti di inattività e riprenderà quando viene ricevuta una richiesta.
- Questo è essenziale se hai un webjob che deve essere eseguito continuamente, poiché il webjob si fermerà se l'app si ferma.
- **SSH**: Se abilitato, un utente con permessi sufficienti può connettersi all'app utilizzando SSH.
- **Debugging**: Se abilitato, un utente con permessi sufficienti può eseguire il debug dell'app. Tuttavia, questo viene disabilitato automaticamente ogni 48 ore.
- **Web App + Database**: La console web consente di creare un'app con un database. In questo caso è possibile selezionare il database da utilizzare (SQLAzure, PostgreSQL, MySQL, MongoDB) e consente anche di creare una Cache di Azure per Redis.
- L'URL contenente le credenziali per il database e Redis sarà memorizzato nelle **appsettings**.
- **Container**: È possibile distribuire un container nel App Service indicando l'URL del container e le credenziali per accedervi.
-
-## Basic Authentication
-
-Quando si crea un'app web (e una funzione Azure di solito) è possibile indicare se si desidera abilitare l'autenticazione di base. Questo abilita sostanzialmente **SCM e FTP** per l'applicazione, quindi sarà possibile distribuire l'applicazione utilizzando queste tecnologie.\
-Inoltre, per connettersi a esse, Azure fornisce un'**API che consente di ottenere il nome utente, la password e l'URL** per connettersi ai server SCM e FTP.
-
-È possibile connettersi allo SCM utilizzando un browser web in `https://<SMC-URL>/BasicAuth` e controllare tutti i file e le distribuzioni lì.
-
-### Kudu
-
-Kudu è un **motore di distribuzione e piattaforma di gestione per Azure App Service e Function Apps**, che fornisce distribuzioni basate su Git, debug remoto e capacità di gestione dei file per le applicazioni web. È accessibile tramite l'URL SCM dell'app web.
-
-Nota che le versioni Kudu utilizzate da App Services e da Function Apps sono diverse, con la versione delle Function Apps molto più limitata.
-
-Alcuni endpoint interessanti che puoi trovare in Kudu sono:
- `/DebugConsole`: Una console che consente di eseguire comandi nell'ambiente in cui Kudu è in esecuzione.
- Nota che questo ambiente **non ha accesso** al servizio di metadata per ottenere token.
- `/webssh/host`: Un client SSH basato su web che consente di connettersi all'interno del container in cui l'app è in esecuzione.
- Questo ambiente **ha accesso al servizio di metadata** per ottenere token dalle identità gestite assegnate.
- `/Env`: Ottieni informazioni sul sistema, impostazioni dell'app, variabili d'ambiente, stringhe di connessione e intestazioni HTTP.
- `/wwwroot/`: La directory radice dell'app web. Puoi scaricare tutti i file da qui.
-
-## Sources
-
-App Services consentono di caricare il codice come file zip per impostazione predefinita, ma consentono anche di connettersi a un servizio di terze parti e ottenere il codice da lì.
-
- Le fonti di terze parti attualmente supportate sono **Github** e **Bitbucket**.
- Puoi ottenere i token di autenticazione eseguendo `az rest --url "https://management.azure.com/providers/Microsoft.Web/sourcecontrols?api-version=2024-04-01"`
- Azure per impostazione predefinita configurerà un **Github Action** per distribuire il codice nel App Service ogni volta che il codice viene aggiornato.
- È anche possibile indicare un **repository git remoto** (con nome utente e password) per ottenere il codice da lì.
- Puoi ottenere le credenziali per il repository remoto eseguendo `az webapp deployment source show --name <app-name> --resource-group <res-group>` o `az rest --method POST --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Web/sites/<app-name>/config/metadata/list?api-version=2022-03-01" --resource "https://management.azure.com"`
- È anche possibile utilizzare un **Azure Repository**.
- È anche possibile configurare un **repository git locale**.
- Puoi ottenere l'URL del repository git con `az webapp deployment source show --name <app-name> --resource-group <res-group>` e sarà l'URL SCM dell'app.
- Per clonarlo avrai bisogno delle credenziali SCM che puoi ottenere con `az webapp deployment list-publishing-profiles --resource-group <res-group> -n <name>`
-
-
-## Webjobs
-
-Azure WebJobs sono **compiti in background che vengono eseguiti nell'ambiente Azure App Service**. Consentono agli sviluppatori di eseguire script o programmi insieme alle loro applicazioni web, facilitando la gestione di operazioni asincrone o intensive in termini di tempo come l'elaborazione di file, la gestione dei dati o compiti programmati.
-Ci sono 2 tipi di web jobs:
- **Continuous**: Esegue indefinitamente in un ciclo ed è attivato non appena viene creato. È ideale per compiti che richiedono un'elaborazione costante. Tuttavia, se l'app smette di funzionare perché Always On è disabilitato e non ha ricevuto una richiesta negli ultimi 20 minuti, il web job si fermerà anche.
- **Triggered**: Esegue su richiesta o in base a un programma. È più adatto per compiti periodici, come aggiornamenti batch dei dati o routine di manutenzione.
-
-I webjobs sono molto interessanti da una prospettiva di attacco poiché potrebbero essere utilizzati per **eseguire codice** nell'ambiente e **escalare privilegi** alle identità gestite collegate.
-
-Inoltre, è sempre interessante controllare i **log** generati dai Webjobs poiché potrebbero contenere **informazioni sensibili**.
-
-### Slots
-
-Gli Azure App Service Slots vengono utilizzati per **distribuire diverse versioni dell'applicazione** nello stesso App Service. Questo consente agli sviluppatori di testare nuove funzionalità o modifiche in un ambiente separato prima di distribuirle nell'ambiente di produzione.
-
-Inoltre, è possibile instradare una **percentuale del traffico** a uno slot specifico, utile per **A/B testing** e per scopi di backdoor.
-
-### Azure Function Apps
-
-Fondamentalmente, **le Azure Function apps sono un sottoinsieme di Azure App Service** nel web e se vai alla console web e elenchi tutti i servizi app o esegui `az webapp list` in az cli, sarai in grado di **vedere anche le Function apps elencate qui**.
-
-In realtà, alcune delle **funzionalità di sicurezza** relative ai servizi App (`webapp` nell'az cli) sono **anche utilizzate dalle Function apps**.
-
-
-### Enumeration
-
-{{#tabs }}
-{{#tab name="az" }}
-```bash
-# List webapps
-az webapp list
-## Less information
-az webapp list --query "[].{hostName: defaultHostName, state: state, name: name, resourcegroup: resourceGroup}" -o table
-## Get SCM URL of each webapp
-az webapp list | grep '"name"' | grep "\.scm\." | awk '{print $2}' | sed 's/"//g'
-
-# Get info about 1 app
-az webapp show --name <name> --resource-group <res-group>
-
-# Get instances of a webapp
-az webapp list-instances --name <name> --resource-group <res-group>
-## If you have enough perm you can go to the "consoleUrl" and access a shell inside the instance form the web
-
-# Get access restrictions of an app
-az webapp config access-restriction show --name <name> --resource-group <res-group>
-
-# Remove access restrictions
-az webapp config access-restriction remove --resource-group <res-group> -n <name> --rule-name <rule-name>
-
-# Get connection strings of a webapp
-az webapp config connection-string list --name <name> --resource-group <res-group>
-
-# Get appsettings of an app
-az webapp config appsettings list --name <name> --resource-group <res-group>
-
-# Get SCM and FTP credentials
-az webapp deployment list-publishing-profiles --name <name> --resource-group <res-group>
-
-# Get configured Auth information
-az webapp auth show --name <app-name> --resource-group <res-group>
-
-# Get backups of a webapp
-az webapp config backup list --webapp-name <name> --resource-group <res-group>
-
-# Get backups scheduled for a webapp
-az webapp config backup show --webapp-name <name> --resource-group <res-group>
-
-# Get snapshots
-az webapp config snapshot list --resource-group <res-group> -n <name>
-
-# Restore snapshot
-az webapp config snapshot restore -g <res-group> -n <name> --time 2018-12-11T23:34:16.8388367
-
-# Get slots
-az webapp deployment slot list --name <AppName> --resource-group <ResourceGroupName> --output table
-az webapp show --slot <SlotName> --name <AppName> --resource-group <ResourceGroupName>
-
-# Get traffic-routing
-az webapp traffic-routing show --name <AppName> --resource-group <ResourceGroupName>
-
-# Get used container by the app
-az webapp config container show --name <name> --resource-group <res-group>
-
-# Get storage account configurations of a webapp
-az webapp config storage-account list --name <name> --resource-group <res-group>
-
-# Get configured container (if any) in the webapp, it could contain credentials
-az webapp config container show --name <name> --resource-group <res-group>
-
-# Get Webjobs
-az webapp webjob continuous list --resource-group <res-group> --name <app-name>
-az webapp webjob triggered list --resource-group <res-group> --name <app-name>
-
-# Read webjobs logs with Azure permissions
-az rest --method GET --url "<SCM-URL>/vfs/data/jobs/<continuous | triggered>/rev5/job_log.txt"  --resource "https://management.azure.com/"
-az rest --method GET --url "https://lol-b5fyaeceh4e9dce0.scm.canadacentral-01.azurewebsites.net/vfs/data/jobs/continuous/rev5/job_log.txt"  --resource "https://management.azure.com/"
-
-# Read webjobs logs with SCM credentials
-curl "https://windowsapptesting-ckbrg3f0hyc8fkgp.scm.canadacentral-01.azurewebsites.net/vfs/data/jobs/continuous/lala/job_log.txt" \
--user '<username>:<password>' -v
-
-# Get connections of a webapp
-az webapp conection list --name <name> --resource-group <res-group>
-
-# Get hybrid-connections of a webapp
-az webapp hybrid-connections list --name <name> --resource-group <res-group>
-```
-{{#endtab }}
-
-{{#tab name="Az Powershell" }}
-```powershell
-# Get App Services and Function Apps
-Get-AzWebApp
-# Get only App Services
-Get-AzWebApp | ?{$_.Kind -notmatch "functionapp"}
-```
-{{#endtab }}
-
-{{#tab name="az get all" }}
-```bash
-#!/bin/bash
-
-# Get all App Service and Function Apps
-
-# Define Azure subscription ID
-azure_subscription="your_subscription_id"
-
-# Log in to Azure
-az login
-
-# Select Azure subscription
-az account set --subscription $azure_subscription
-
-# Get all App Services in the specified subscription
-list_app_services=$(az appservice list --query "[].{appServiceName: name, group: resourceGroup}" -o tsv)
-
-# Iterate over each App Service
-echo "$list_app_services" | while IFS=$'\t' read -r appServiceName group; do
-# Get the type of the App Service
-service_type=$(az appservice show --name $appServiceName --resource-group $group --query "kind" -o tsv)
-
-# Check if it is a Function App and print its name
-if [ "$service_type" == "functionapp" ]; then
-echo "Function App Name: $appServiceName"
-fi
-done
-```
-{{#endtab }}
-{{#endtabs }}
-
-#### Ottenere credenziali e accedere al codice dell'app web
-```bash
-# Get connection strings that could contain credentials (with DBs for example)
-az webapp config connection-string list --name <name> --resource-group <res-group>
-## Check how to use the DBs connection strings in the SQL page
-
-# Get credentials to access the code and DB credentials if configured.
-az webapp deployment list-publishing-profiles --resource-group <res-group> -n <name>
-
-
-# Get git URL to access the code
-az webapp deployment source config-local-git --resource-group <res-group> -n <name>
-
-# Access/Modify the code via git
-git clone 'https://<username>:<password>@name.scm.azurewebsites.net/repo-name.git'
-## In my case the username was: $nameofthewebapp and the password some random chars
-## If you change the code and do a push, the app is automatically redeployed
-```
-{{#ref}}
-../az-privilege-escalation/az-app-services-privesc.md
-{{#endref}}
-
-## Esempi per generare Web Apps
-
-### Python da locale
-
-Questo tutorial si basa su quello di [https://learn.microsoft.com/en-us/azure/app-service/quickstart-python](https://learn.microsoft.com/en-us/azure/app-service/quickstart-python?tabs=flask%2Cwindows%2Cazure-cli%2Cazure-cli-deploy%2Cdeploy-instructions-azportal%2Cterminal-bash%2Cdeploy-instructions-zip-azcli).
-```bash
-# Clone repository
-git clone https://github.com/Azure-Samples/msdocs-python-flask-webapp-quickstart
-cd msdocs-python-flask-webapp-quickstart
-
-# Create webapp from this code
-az webapp up --runtime PYTHON:3.9 --sku B1 --logs
-```
-Accedendo al portale SCM o accedendo tramite FTP è possibile vedere in `/wwwroot` il file compresso `output.tar.gz` che contiene il codice dell'app web.
-
-> [!TIP]
-> Collegarsi semplicemente tramite FTP e modificare il file `output.tar.gz` non è sufficiente per cambiare il codice eseguito dall'app web.
-
-**Un attaccante potrebbe scaricare questo file, modificarlo e caricarlo di nuovo per eseguire codice arbitrario nell'app web.**
-
-### Python da Github
-
-Questo tutorial si basa sul precedente ma utilizza un repository Github.
-
-1. Forka il repo msdocs-python-flask-webapp-quickstart nel tuo account Github.
-2. Crea una nuova Web App Python in Azure.
-3. Nel `Deployment Center` cambia la sorgente, accedi con Github, seleziona il repo forkato e clicca su `Salva`.
-
-Come nel caso precedente, accedendo al portale SCM o accedendo tramite FTP è possibile vedere in `/wwwroot` il file compresso `output.tar.gz` che contiene il codice dell'app web.
-
-> [!TIP]
-> Collegarsi semplicemente tramite FTP e modificare il file `output.tar.gz` e riattivare un deployment non è sufficiente per cambiare il codice eseguito dall'app web.
-
-
-## Riferimenti
-
- [https://learn.microsoft.com/en-in/azure/app-service/overview](https://learn.microsoft.com/en-in/azure/app-service/overview)
-
-{{#include ../../../banners/hacktricks-training.md}}