Az - Local Cloud Credentials
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Τα διαπιστευτήρια και τα ευαίσθητα δεδομένα αποθηκεύονται τοπικά από το Azure CLI, εγείροντας ανησυχίες ασφαλείας:
Διαπιστευτήρια Πρόσβασης: Αποθηκεύονται σε απλό κείμενο μέσα στο accessTokens.json που βρίσκεται στο C:\Users\<username>\.Azure.
Πληροφορίες Συνδρομής: Το azureProfile.json, στον ίδιο φάκελο, περιέχει λεπτομέρειες συνδρομής.
Αρχεία Καταγραφής: Ο φάκελος ErrorRecords μέσα στο .azure μπορεί να περιέχει αρχεία καταγραφής με εκτεθειμένα διαπιστευτήρια, όπως:
Εκτελεσμένες εντολές με ενσωματωμένα διαπιστευτήρια.
URLs που προσπελάστηκαν χρησιμοποιώντας διαπιστευτήρια, ενδεχομένως αποκαλύπτοντας ευαίσθητες πληροφορίες.
Το Azure PowerShell αποθηκεύει επίσης διαπιστευτήρια και ευαίσθητα δεδομένα, τα οποία μπορούν να προσπελαστούν τοπικά:
Διαπιστευτήρια Πρόσβασης: Το TokenCache.dat, που βρίσκεται στο C:\Users\<username>\.Azure, αποθηκεύει τα διαπιστευτήρια πρόσβασης σε απλό κείμενο.
Μυστικά Υπηρεσιακού Principal: Αυτά αποθηκεύονται χωρίς κρυπτογράφηση στο AzureRmContext.json.
Δυνατότητα Αποθήκευσης Διαπιστευτηρίων: Οι χρήστες έχουν τη δυνατότητα να διατηρούν τα διαπιστευτήρια χρησιμοποιώντας την εντολή Save-AzContext, η οποία θα πρέπει να χρησιμοποιείται προσεκτικά για να αποτραπεί η μη εξουσιοδοτημένη πρόσβαση.
Λαμβάνοντας υπόψη την αποθήκευση ευαίσθητων δεδομένων σε απλό κείμενο, είναι κρίσιμο να ασφαλίσετε αυτά τα αρχεία και τους φακέλους με:
Περιορισμό των δικαιωμάτων πρόσβασης σε αυτά τα αρχεία.
Τακτική παρακολούθηση και έλεγχο αυτών των φακέλων για μη εξουσιοδοτημένη πρόσβαση ή απροσδόκητες αλλαγές.
Χρήση κρυπτογράφησης για ευαίσθητα αρχεία όπου είναι δυνατόν.
Εκπαίδευση χρηστών σχετικά με τους κινδύνους και τις βέλτιστες πρακτικές για τη διαχείριση τέτοιων ευαίσθητων πληροφοριών.
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
