Az - Storage Accounts & Blobs

Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Ucz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie dla HackTricks

• Sprawdź plany subskrypcyjne!

• Dołącz do 💬 grupy Discord lub grupy telegram lub śledź nas na Twitterze 🐦 @hacktricks_live.

• Dziel się sztuczkami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów github.

Podstawowe informacje

Konta magazynowe Azure to podstawowe usługi w Microsoft Azure, które zapewniają skalowalny, bezpieczny i wysoko dostępny magazyn w chmurze dla różnych typów danych, w tym blobów (dużych obiektów binarnych), plików, kolejek i tabel. Służą jako kontenery, które grupują te różne usługi magazynowe pod jedną przestrzenią nazw dla łatwego zarządzania.

Główne opcje konfiguracji:

• Każde konto magazynowe musi mieć unikalną nazwę w całym Azure.

• Każde konto magazynowe jest wdrażane w regionie lub w rozszerzonej strefie Azure.

• Można wybrać wersję premium konta magazynowego dla lepszej wydajności.

• Można wybrać spośród 4 typów redundancji, aby chronić przed awariami szafek, dysków i centrów danych.

Opcje konfiguracji bezpieczeństwa:

• Wymagaj bezpiecznego transferu dla operacji REST API: Wymagaj TLS w każdej komunikacji z magazynem.

• Zezwalaj na włączenie dostępu anonimowego do poszczególnych kontenerów: Jeśli nie, nie będzie możliwe włączenie dostępu anonimowego w przyszłości.

• Włącz dostęp do klucza konta magazynowego: Jeśli nie, dostęp za pomocą kluczy współdzielonych będzie zabroniony.

• Minimalna wersja TLS.

• Dozwolony zakres dla operacji kopiowania: Zezwól z dowolnego konta magazynowego, z dowolnego konta magazynowego z tej samej dzierżawy Entra lub z konta magazynowego z prywatnymi punktami końcowymi w tej samej sieci wirtualnej.

Opcje przechowywania blobów:

• Zezwalaj na replikację między dzierżawami.

• Warstwa dostępu: Gorąca (często dostępne dane), Chłodna i Zimna (rzadko dostępne dane).

Opcje sieciowe:

• Dostęp do sieci:

• Zezwól z wszystkich sieci.

• Zezwól z wybranych sieci wirtualnych i adresów IP.

• Wyłącz dostęp publiczny i użyj dostępu prywatnego.

• Prywatne punkty końcowe: Umożliwia prywatne połączenie z kontem magazynowym z sieci wirtualnej.

Opcje ochrony danych:

• Przywracanie w punkcie w czasie dla kontenerów: Umożliwia przywrócenie kontenerów do wcześniejszego stanu.

• Wymaga włączenia wersjonowania, strumienia zmian i miękkiego usuwania blobów.

• Włącz miękkie usuwanie dla blobów: Umożliwia okres przechowywania w dniach dla usuniętych blobów (nawet nadpisanych).

• Włącz miękkie usuwanie dla kontenerów: Umożliwia okres przechowywania w dniach dla usuniętych kontenerów.

• Włącz miękkie usuwanie dla współdzielonych plików: Umożliwia okres przechowywania w dniach dla usuniętych współdzielonych plików.

• Włącz wersjonowanie dla blobów: Utrzymuj poprzednie wersje swoich blobów.

• Włącz strumień zmian blobów: Zachowuj logi tworzenia, modyfikacji i usuwania zmian w blobach.

• Włącz wsparcie dla niezmienności na poziomie wersji: Umożliwia ustawienie polityki przechowywania opartej na czasie na poziomie konta, która będzie miała zastosowanie do wszystkich wersji blobów.

• Wsparcie dla niezmienności na poziomie wersji i przywracanie w punkcie w czasie dla kontenerów nie mogą być włączone jednocześnie.

Opcje konfiguracji szyfrowania:

• Typ szyfrowania: Można używać kluczy zarządzanych przez Microsoft (MMK) lub kluczy zarządzanych przez klienta (CMK).

• Włącz szyfrowanie infrastruktury: Umożliwia podwójne szyfrowanie danych "dla większego bezpieczeństwa".

Punkty końcowe magazynu

Magazyn blobów	https://<storage-account>.blob.core.windows.net https://<stg-acc>.blob.core.windows.net/<container-name>?restype=container&comp=list
Magazyn Data Lake	https://<storage-account>.dfs.core.windows.net
Pliki Azure	https://<storage-account>.file.core.windows.net
Magazyn kolejek	https://<storage-account>.queue.core.windows.net
Magazyn tabel	https://<storage-account>.table.core.windows.net

Ekspozycja publiczna

Jeśli "Zezwalaj na publiczny dostęp do blobów" jest włączone (domyślnie wyłączone), podczas tworzenia kontenera można:

• Umożliwić publiczny dostęp do odczytu blobów (musisz znać nazwę).

• Wylistować bloby kontenera i je odczytać.

• Uczynić go całkowicie prywatnym.

Połączenie z magazynem

Jeśli znajdziesz jakikolwiek magazyn, z którym możesz się połączyć, możesz użyć narzędzia Microsoft Azure Storage Explorer, aby to zrobić.

Dostęp do magazynu

RBAC

Można używać zasad Entra ID z rolami RBAC do uzyskania dostępu do kont magazynowych i jest to zalecany sposób.

Klucze dostępu

Konta magazynowe mają klucze dostępu, które można wykorzystać do uzyskania dostępu. To zapewnia pełny dostęp do konta magazynowego.

Klucze współdzielone i lekkie klucze współdzielone

Można generować klucze współdzielone podpisane kluczami dostępu, aby autoryzować dostęp do określonych zasobów za pomocą podpisanego URL.

Zauważ, że część CanonicalizedResource reprezentuje zasób usług magazynowych (URI). A jeśli jakakolwiek część w URL jest zakodowana, powinna być również zakodowana w CanonicalizedResource.

To jest domyślnie używane przez az cli do uwierzytelniania żądań. Aby użyć poświadczeń głównych Entra ID, wskaż parametr --auth-mode login.

• Można wygenerować klucz współdzielony dla usług blobów, kolejek i plików, podpisując następujące informacje:

StringToSign = VERB + "\n" +
Content-Encoding + "\n" +
Content-Language + "\n" +
Content-Length + "\n" +
Content-MD5 + "\n" +
Content-Type + "\n" +
Date + "\n" +
If-Modified-Since + "\n" +
If-Match + "\n" +
If-None-Match + "\n" +
If-Unmodified-Since + "\n" +
Range + "\n" +
CanonicalizedHeaders +
CanonicalizedResource;

• Możliwe jest wygenerowanie klucza współdzielonego dla usług tabel podpisując następujące informacje:

StringToSign = VERB + "\n" +
Content-MD5 + "\n" +
Content-Type + "\n" +
Date + "\n" +
CanonicalizedResource;

• Możliwe jest wygenerowanie lite shared key dla usług blob, queue i file, podpisując następujące informacje:

StringToSign = VERB + "\n" +
Content-MD5 + "\n" +
Content-Type + "\n" +
Date + "\n" +
CanonicalizedHeaders +
CanonicalizedResource;

• Możliwe jest wygenerowanie lite shared key dla usług tabel podpisując następujące informacje:

StringToSign = Date + "\n"
CanonicalizedResource

Aby użyć klucza, można to zrobić w nagłówku Authorization, stosując następującą składnię:

Authorization="[SharedKey|SharedKeyLite] <AccountName>:<Signature>"
#e.g.
Authorization: SharedKey myaccount:ctzMq410TV3wS7upTBcunJTDLEJwMAZuFPfr0mrrA08=

PUT http://myaccount/mycontainer?restype=container&timeout=30 HTTP/1.1
x-ms-version: 2014-02-14
x-ms-date: Fri, 26 Jun 2015 23:39:12 GMT
Authorization: SharedKey myaccount:ctzMq410TV3wS7upTBcunJTDLEJwMAZuFPfr0mrrA08=
Content-Length: 0

Shared Access Signature (SAS)

Shared Access Signatures (SAS) to bezpieczne, ograniczone czasowo URL-e, które przyznają określone uprawnienia do dostępu do zasobów w koncie Azure Storage bez ujawniania kluczy dostępu do konta. Podczas gdy klucze dostępu zapewniają pełny dostęp administracyjny do wszystkich zasobów, SAS pozwala na szczegółową kontrolę poprzez określenie uprawnień (takich jak odczyt lub zapis) i zdefiniowanie czasu wygaśnięcia.

Typy SAS

• User delegation SAS: Jest tworzony z Entra ID principal, który podpisuje SAS i deleguje uprawnienia od użytkownika do SAS. Może być używany tylko z blob i data lake storage (docs). Możliwe jest cofnięcie wszystkich wygenerowanych SAS delegowanych przez użytkownika.

• Nawet jeśli możliwe jest wygenerowanie SAS delegacji z "większymi" uprawnieniami niż te, które ma użytkownik. Jednak jeśli principal ich nie ma, nie zadziała (brak privesc).

• Service SAS: Jest podpisywany za pomocą jednego z kluczy dostępu do konta storage. Może być używany do przyznawania dostępu do określonych zasobów w pojedynczej usłudze storage. Jeśli klucz zostanie odnowiony, SAS przestanie działać.

• Account SAS: Jest również podpisywany jednym z kluczy dostępu do konta storage. Przyznaje dostęp do zasobów w ramach usług konta storage (Blob, Queue, Table, File) i może obejmować operacje na poziomie usługi.

URL SAS podpisany przez klucz dostępu wygląda tak:

• https://<container_name>.blob.core.windows.net/newcontainer?sp=r&st=2021-09-26T18:15:21Z&se=2021-10-27T02:14:21Z&spr=https&sv=2021-07-08&sr=c&sig=7S%2BZySOgy4aA3Dk0V1cJyTSIf1cW%2Fu3WFkhHV32%2B4PE%3D

URL SAS podpisany jako user delegation wygląda tak:

• https://<container_name>.blob.core.windows.net/testing-container?sp=r&st=2024-11-22T15:07:40Z&se=2024-11-22T23:07:40Z&skoid=d77c71a1-96e7-483d-bd51-bd753aa66e62&sktid=fdd066e1-ee37-49bc-b08f-d0e152119b04&skt=2024-11-22T15:07:40Z&ske=2024-11-22T23:07:40Z&sks=b&skv=2022-11-02&spr=https&sv=2022-11-02&sr=c&sig=7s5dJyeE6klUNRulUj9TNL0tMj2K7mtxyRc97xbYDqs%3D

Zauważ niektóre parametry http:

• Parametr se wskazuje na datę wygaśnięcia SAS

• Parametr sp wskazuje na uprawnienia SAS

• sig to podpis weryfikujący SAS

Uprawnienia SAS

Podczas generowania SAS należy wskazać uprawnienia, które powinny być przyznawane. W zależności od obiektu, na którym generowany jest SAS, mogą być uwzględnione różne uprawnienia. Na przykład:

• (a)dd, (c)reate, (d)elete, (e)xecute, (f)ilter_by_tags, (i)set_immutability_policy, (l)ist, (m)ove, (r)ead, (t)ag, (w)rite, (x)delete_previous_version, (y)permanent_delete

SFTP Support for Azure Blob Storage

Azure Blob Storage teraz obsługuje protokół SSH File Transfer Protocol (SFTP), umożliwiając bezpieczny transfer i zarządzanie plikami bezpośrednio do Blob Storage bez potrzeby stosowania niestandardowych rozwiązań lub produktów firm trzecich.

Kluczowe funkcje

• Wsparcie protokołu: SFTP działa z kontami Blob Storage skonfigurowanymi z hierarchiczną przestrzenią nazw (HNS). Organizuje bloby w katalogi i podkatalogi dla łatwiejszej nawigacji.

• Bezpieczeństwo: SFTP używa lokalnych tożsamości użytkowników do uwierzytelniania i nie integruje się z RBAC ani ABAC. Każdy lokalny użytkownik może uwierzytelnić się za pomocą:

• Haseł generowanych przez Azure

• Par kluczy SSH publicznych-prywatnych

• Szczegółowe uprawnienia: Uprawnienia takie jak Odczyt, Zapis, Usunięcie i Lista mogą być przypisane lokalnym użytkownikom do maksymalnie 100 kontenerów.

• Rozważania dotyczące sieci: Połączenia SFTP są realizowane przez port 22. Azure wspiera konfiguracje sieciowe, takie jak zapory, prywatne punkty końcowe lub sieci wirtualne, aby zabezpieczyć ruch SFTP.

Wymagania dotyczące konfiguracji

• Hierarchiczna przestrzeń nazw: HNS musi być włączona podczas tworzenia konta storage.

• Wspierane szyfrowanie: Wymaga zatwierdzonych przez Microsoft Security Development Lifecycle (SDL) algorytmów kryptograficznych (np. rsa-sha2-256, ecdsa-sha2-nistp256).

• Konfiguracja SFTP:

• Włącz SFTP na koncie storage.

• Utwórz lokalne tożsamości użytkowników z odpowiednimi uprawnieniami.

• Skonfiguruj katalogi domowe dla użytkowników, aby zdefiniować ich początkową lokalizację w kontenerze.

Uprawnienia

Uprawnienie	Symbol	Opis
Odczyt	r	Odczyt zawartości pliku.
Zapis	w	Przesyłanie plików i tworzenie katalogów.
Lista	l	Lista zawartości katalogów.
Usunięcie	d	Usunięcie plików lub katalogów.
Tworzenie	c	Tworzenie plików lub katalogów.
Zmiana właściciela	o	Zmiana użytkownika lub grupy właściciela.
Zmiana uprawnień	p	Zmiana ACL na plikach lub katalogach.

Enumeration

az cli

# Get storage accounts
az storage account list #Get the account name from here

# BLOB STORAGE
## List containers
az storage container list --account-name <name>
## Check if public access is allowed
az storage container show-permission \
--account-name <acc-name> \
-n <container-name>
## Make a container public
az storage container set-permission \
--public-access container \
--account-name <acc-name> \
-n <container-name>
## List blobs in a container
az storage blob list \
--container-name <container name> \
--account-name <account name>
## Download blob
az storage blob download \
--account-name <account name> \
--container-name <container name> \
--name <blob name> \
--file </path/to/local/file>
## Create container policy
az storage container policy create \
--account-name mystorageaccount \
--container-name mycontainer \
--name fullaccesspolicy \
--permissions racwdl \
--start 2023-11-22T00:00Z \
--expiry 2024-11-22T00:00Z

# QUEUE
az storage queue list --account-name <name>
az storage message peek --account-name <name> --queue-name <queue-name>

# ACCESS KEYS
az storage account keys list --account-name <name>
## Check key policies (expiration time?)
az storage account show -n <name> --query "{KeyPolicy:keyPolicy}"
## Once having the key, it's possible to use it with the argument --account-key
## Enum blobs with account key
az storage blob list \
--container-name <container name> \
--account-name <account name> \
--account-key "ZrF40pkVKvWPUr[...]v7LZw=="
## Download a file using an account key
az storage blob download \
--account-name <account name> \
--account-key "ZrF40pkVKvWPUr[...]v7LZw==" \
--container-name <container name> \
--name <blob name> \
--file </path/to/local/file>
## Upload a file using an account key
az storage blob upload \
--account-name <account name> \
--account-key "ZrF40pkVKvWPUr[...]v7LZw==" \
--container-name <container name> \
--file </path/to/local/file>

# SAS
## List access policies
az storage <container|queue|share|table> policy list \
--account-name <acc name> \
--container-name <container name>

## Generate SAS with all permissions using an access key
az storage <container|queue|share|table|blob> generate-sas \
--permissions acdefilmrtwxy \
--expiry 2024-12-31T23:59:00Z \
--account-name <acc-name> \
-n <container-name>

## Generate SAS with all permissions using via user delegation
az storage <container|queue|share|table|blob> generate-sas \
--permissions acdefilmrtwxy \
--expiry 2024-12-31T23:59:00Z \
--account-name <acc-name> \
--as-user --auth-mode login \
-n <container-name>

## Generate account SAS
az storage account generate-sas \
--expiry 2024-12-31T23:59:00Z \
--account-name <acc-name>  \
--services qt \
--resource-types sco \
--permissions acdfilrtuwxy

## Use the returned SAS key with the param --sas-token
## e.g.
az storage blob show \
--account-name <account name> \
--container-name <container name> \
--sas-token 'se=2024-12-31T23%3A59%3A00Z&sp=racwdxyltfmei&sv=2022-11-02&sr=c&sig=ym%2Bu%2BQp5qqrPotIK5/rrm7EMMxZRwF/hMWLfK1VWy6E%3D' \
--name 'asd.txt'

#Local-Users
## List users
az storage account local-user list \
--account-name <storage-account-name> \
--resource-group <resource-group-name>
## Get user
az storage account local-user show \
--account-name <storage-account-name> \
--resource-group <resource-group-name> \
--name <local-user-name>

## List keys
az storage account local-user list \
--account-name <storage-account-name> \
--resource-group <resource-group-name>

Az PowerShell

# Get storage accounts
Get-AzStorageAccount | fl
# Get rules to access the storage account
Get-AzStorageAccount | select -ExpandProperty NetworkRuleSet
# Get IPs
(Get-AzStorageAccount | select -ExpandProperty NetworkRuleSet).IPRules
# Get containers of a storage account
Get-AzStorageContainer -Context (Get-AzStorageAccount -name <NAME> -ResourceGroupName <NAME>).context
# Get blobs inside container
Get-AzStorageBlob -Container epbackup-planetary -Context (Get-AzStorageAccount -name <name> -ResourceGroupName <name>).context
# Get a blob from a container
Get-AzStorageBlobContent -Container <NAME> -Context (Get-AzStorageAccount -name <NAME> -ResourceGroupName <NAME>).context -Blob <blob_name> -Destination .\Desktop\filename.txt

# Create a Container Policy
New-AzStorageContainerStoredAccessPolicy `
-Context (Get-AzStorageAccount -Name <NAME> -ResourceGroupName <NAME>).Context `
-Container <container-name> `
-Policy <policy-name> `
-Permission racwdl `
-StartTime (Get-Date "2023-11-22T00:00Z") `
-ExpiryTime (Get-Date "2024-11-22T00:00Z")
#Get Container policy
Get-AzStorageContainerStoredAccessPolicy `
-Context (Get-AzStorageAccount -Name <NAME> -ResourceGroupName <NAME>).Context `
-Container "storageaccount1994container"

# Queue Management
Get-AzStorageQueue -Context (Get-AzStorageAccount -Name <NAME> -ResourceGroupName <NAME>).Context
(Get-AzStorageQueue -Name <NAME> -Context (Get-AzStorageAccount -name <NAME> -ResourceGroupName <NAME>).Context).QueueClient.PeekMessage().Value

#Blob Container
Get-AzStorageBlob -Container <container-name> -Context $(Get-AzStorageAccount -name "teststorageaccount1998az" -ResourceGroupName "testStorageGroup").Context
Get-AzStorageBlobContent `
-Container <container-name> `
-Blob <blob-name> `
-Destination <local-path> `
-Context $(Get-AzStorageAccount -name "teststorageaccount1998az" -ResourceGroupName "testStorageGroup").Context

Set-AzStorageBlobContent `
-Container <container-name> `
-File <local-file-path> `
-Blob <blob-name> `
-Context $(Get-AzStorageAccount -name "teststorageaccount1998az" -ResourceGroupName "testStorageGroup").Context

# Shared Access Signatures (SAS)
Get-AzStorageContainerAcl `
-Container <container-name> `
-Context (Get-AzStorageAccount -Name <NAME> -ResourceGroupName <NAME>).Context

New-AzStorageBlobSASToken `
-Context $ctx `
-Container <container-name> `
-Blob <blob-name> `
-Permission racwdl `
-ExpiryTime (Get-Date "2024-12-31T23:59:00Z")

Udostępnianie plików

Az - File Shares

Eskalacja uprawnień

Az - Storage Privesc

Po wykorzystaniu

Az - Blob Storage Post Exploitation

Utrzymywanie dostępu

Az - Storage Persistence

Źródła

• https://learn.microsoft.com/en-us/azure/storage/blobs/storage-blobs-introduction

• https://learn.microsoft.com/en-us/azure/storage/common/storage-sas-overview

• https://learn.microsoft.com/en-us/azure/storage/blobs/secure-file-transfer-protocol-support

Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Ucz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie dla HackTricks

• Sprawdź plany subskrypcyjne!

• Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @hacktricks_live.

• Dziel się trikami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów na GitHubie.