Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
From the docs: Azure Blob storage ni suluhisho la hifadhi ya vitu kwa wingu kutoka Microsoft. Hifadhi ya blob imeandaliwa kwa ajili ya kuhifadhi kiasi kikubwa cha data zisizo na muundo. Data zisizo na muundo ni data ambayo haiwezi kufuata mfano maalum wa data au ufafanuzi, kama vile maandiko au data ya binary.
Hifadhi ya blob inatoa aina tatu za rasilimali:
akaunti ya hifadhi (jina la kipekee)
konteina katika akaunti ya hifadhi (folda)
blob katika konteina
Blob storage |
|
Azure Data Lake Storage Gen2 |
|
Azure Files |
|
Queue storage |
|
Table storage |
|
Tumia wahusika wa Azure AD kupitia RBAC roles zinazoungwa mkono.
Funguo za Ufikiaji: Tumia funguo za ufikiaji za akaunti ya hifadhi. Hii inatoa ufikiaji kamili kwa akaunti ya hifadhi.
Saini ya Ufikiaji Iliyojumuishwa (SAS): Muda uliowekwa na ruhusa maalum.
Unaweza kuunda url ya SAS kwa kutumia funguo za ufikiaji (ngumu zaidi kugundua).
Kadri SAS inavyoundwa kutoka kwa funguo za ufikiaji, ikiwa itarejelewa SAS inakoma kufanya kazi.
Ikiwa "Ruhusu ufikiaji wa umma wa blob" ime wezeshwa (imezimwa kwa chaguo-msingi), inawezekana:
Kutoa ufikiaji wa umma kusoma blobs (unahitaji kujua jina).
Orodhesha blobs za konteina na uzisome.
Ikiwa unapata hifadhi yoyote unayoweza kuunganishwa nayo unaweza kutumia chombo Microsoft Azure Storage Explorer kufanya hivyo.
From the docs: Saini ya ufikiaji iliyoshirikiwa (SAS) inatoa ufikiaji salama wa rasilimali katika akaunti yako ya hifadhi. Kwa SAS, una udhibiti wa kina juu ya jinsi mteja anaweza kufikia data yako. Kwa mfano:
Rasilimali zipi mteja anaweza kufikia.
Ni ruhusa zipi walizonazo kwa rasilimali hizo.
SAS itakuwa halali kwa muda gani.
URL ya SAS inaonekana kama hii: https://<container_name>.blob.core.windows.net/newcontainer?sp=r&st=2021-09-26T18:15:21Z&se=2021-10-27T02:14:21Z&spr=https&sv=2021-07-08&sr=c&sig=7S%2BZySOgy4aA3Dk0V1cJyTSIf1cW%2Fu3WFkhHV32%2B4PE%3D
Tumia Storage Explorer kufikia data au python:
Unaweza kulinda saini ya ufikiaji wa pamoja (SAS) kwa ajili ya ufikiaji wa kontena, saraka, au blob kwa kutumia akili za Azure Active Directory (Azure AD) au ufunguo wa akaunti. Ili kuunda user delegation SAS, lazima kwanza uombe ufunguo wa uwakilishi wa mtumiaji, ambao kisha utatumika kusaini SAS.
Msaada unapatikana kwa User Delegation Shared Access Signature (SAS) katika Azure Blob Storage na Azure Data Lake Storage Gen2. Hata hivyo, ni muhimu kutambua kwamba Sera za Ufikiaji Zilizohifadhiwa hazifai na User Delegation SAS.
Kumbuka kwamba user delegation SAS imehifadhiwa kwa akili za Azure AD badala ya ufunguo wa akaunti ya hifadhi. Hii inazuia wateja/programu kuhifadhi/kupata ufunguo wa hifadhi ili kuunda SAS.
Service SAS imehifadhiwa kwa ufunguo wa akaunti ya hifadhi. Service SAS inasimamia ufikiaji wa rasilimali katika moja tu ya huduma za Azure Storage: Hifadhi ya Blob, Hifadhi ya Queue, Hifadhi ya Jedwali, au Faili za Azure. URI ya service-level SAS inajumuisha URI ya rasilimali ambayo SAS itasimamia ufikiaji, ikifuatiwa na token ya SAS.
Ili kutumia akili za Azure Active Directory (Azure AD) kulinda SAS kwa kontena au blob, tumia user delegation SAS.
Account SAS imehifadhiwa kwa mmoja wa ufunguo wa akaunti ya hifadhi (kuna 2). Account SAS inasimamia ufikiaji wa rasilimali katika moja au zaidi ya huduma za hifadhi. Operesheni zote zinazopatikana kupitia service au user delegation SAS pia zinapatikana kupitia account SAS.
from the docs: Kwa kuunda account SAS, unaweza:
Kuweka ufikiaji wa operesheni za kiwango cha huduma ambazo hazipatikani kwa sasa na service-specific SAS, kama vile Get/Set Service Properties na Get Service Stats operesheni.
Kuweka ufikiaji wa huduma zaidi ya moja katika akaunti ya hifadhi kwa wakati mmoja. Kwa mfano, unaweza kuweka ufikiaji wa rasilimali katika Azure Blob Storage na Azure Files kwa kutumia account SAS.
Kuweka ufikiaji wa operesheni za kuandika na kufuta kwa kontena, foleni, jedwali, na sehemu za faili, ambazo hazipatikani na object-specific SAS.
Kuweka anwani ya IP au anuwai ya anwani za IP ambazo zitakubali maombi.
Kuweka itifaki ya HTTP ambayo itakubali maombi (iwe HTTPS au HTTP/HTTPS).
Jifunze na fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze na fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
