Az - Blob Storage
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
From the docs: Azure Blob storage ni suluhisho la uhifadhi la Microsoft kwa wingu. Uhifadhi wa blob umeundwa kwa ajili ya kuhifadhi kiasi kikubwa cha data zisizo na muundo. Data zisizo na muundo ni data ambazo hazifuati mfano maalum wa data au ufafanuzi, kama vile maandiko au data ya binary.
Uhifadhi wa blob unatoa aina tatu za rasilimali:
akaunti ya uhifadhi (jina la kipekee)
konteina katika akaunti ya uhifadhi (folda)
blob katika konteina
Tumia wahusika wa Azure AD kupitia RBAC roles zinazoungwa mkono.
Funguo za Ufikiaji: Tumia funguo za ufikiaji za akaunti ya uhifadhi. Hii inatoa ufikiaji kamili kwa akaunti ya uhifadhi.
Saini ya Ufikiaji wa Kshared (SAS): Muda uliowekwa na ruhusa maalum.
Unaweza kuunda url ya SAS kwa kutumia funguo za ufikiaji (ngumu zaidi kugundua).
Kadri SAS inavyoundwa kutoka kwa funguo za ufikiaji, ikiwa itarejelewa SAS inakoma kufanya kazi.
Ikiwa "Ruhusu ufikiaji wa umma wa blob" ime wezeshwa (imezimwa kwa chaguo-msingi), inawezekana:
Kutoa ufikiaji wa umma kusoma blobs (unahitaji kujua jina).
Orodha ya blobs za konteina na zisome.
Ikiwa unapata uhifadhi wowote unaweza kuungana nao unaweza kutumia chombo Microsoft Azure Storage Explorer kufanya hivyo.
From the docs: Saini ya ufikiaji wa pamoja (SAS) inatoa ufikiaji salama wa rasilimali katika akaunti yako ya uhifadhi. Kwa SAS, una udhibiti wa kina juu ya jinsi mteja anaweza kufikia data yako. Kwa mfano:
Rasilimali zipi mteja anaweza kufikia.
Ni ruhusa zipi wanao kwa rasilimali hizo.
SAS itakuwa halali kwa muda gani.
URL ya SAS inaonekana kama hii: https://<container_name>.blob.core.windows.net/newcontainer?sp=r&st=2021-09-26T18:15:21Z&se=2021-10-27T02:14:21Z&spr=https&sv=2021-07-08&sr=c&sig=7S%2BZySOgy4aA3Dk0V1cJyTSIf1cW%2Fu3WFkhHV32%2B4PE%3D
Tumia Storage Explorer kufikia data au python:
Unaweza kulinda saini ya ufikiaji wa pamoja (SAS) kwa ajili ya ufikiaji wa kontena, saraka, au blob kwa kutumia akili za Azure Active Directory (Azure AD) au ufunguo wa akaunti. Ili kuunda user delegation SAS, lazima kwanza uombe ufunguo wa uwakilishi wa mtumiaji, ambao kisha utatumika kusaini SAS.
Msaada unapatikana kwa User Delegation Shared Access Signature (SAS) katika Azure Blob Storage na Azure Data Lake Storage Gen2. Hata hivyo, ni muhimu kutambua kwamba Sera za Ufikiaji Zilizohifadhiwa hazifai na User Delegation SAS.
Kumbuka kwamba user delegation SAS imehifadhiwa kwa akili za Azure AD badala ya ufunguo wa akaunti ya hifadhi. Hii inazuia wateja/programu kuhifadhi/kupata ufunguo wa hifadhi ili kuunda SAS.
Service SAS imehifadhiwa kwa ufunguo wa akaunti ya hifadhi. Service SAS inasimamia ufikiaji wa rasilimali katika moja tu ya huduma za Azure Storage: Hifadhi ya Blob, Hifadhi ya Foleni, Hifadhi ya Jedwali, au Faili za Azure. URI ya service-level SAS inajumuisha URI ya rasilimali ambayo SAS itasimamia ufikiaji, ikifuatiwa na token ya SAS.
Ili kutumia akili za Azure Active Directory (Azure AD) kulinda SAS kwa kontena au blob, tumia user delegation SAS.
Account SAS imehifadhiwa kwa mmoja wa ufunguo wa akaunti ya hifadhi (kuna 2). Account SAS inasimamia ufikiaji wa rasilimali katika moja au zaidi ya huduma za hifadhi. Operesheni zote zinazopatikana kupitia service au user delegation SAS pia zinapatikana kupitia account SAS.
from the docs: Kwa kuunda account SAS, unaweza:
Kuweka ufikiaji wa operesheni za kiwango cha huduma ambazo hazipatikani kwa sasa na service-specific SAS, kama vile Get/Set Service Properties
na Get Service Stats
operesheni.
Kuweka ufikiaji wa huduma zaidi ya moja katika akaunti ya hifadhi kwa wakati mmoja. Kwa mfano, unaweza kuweka ufikiaji wa rasilimali katika Azure Blob Storage na Azure Files kwa kutumia account SAS.
Kuweka ufikiaji wa operesheni za kuandika na kufuta kwa kontena, foleni, jedwali, na sehemu za faili, ambazo hazipatikani na object-specific SAS.
Kuweka anwani ya IP au anuwai ya anwani za IP ambazo zitakubali maombi.
Kuweka itifaki ya HTTP ambayo itakubali maombi (iwe HTTPS au HTTP/HTTPS).
Jifunze na fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze na fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Blob storage
https://<storage-account>.blob.core.windows.net
https://<stg-acc>.blob.core.windows.net/<container-name>?restype=container&comp=list
Azure Data Lake Storage Gen2
https://<storage-account>.dfs.core.windows.net
Azure Files
https://<storage-account>.file.core.windows.net
Queue storage
https://<storage-account>.queue.core.windows.net
Table storage
https://<storage-account>.table.core.windows.net