Az - Key Vault

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Basic Information

Azure Key Vault, Microsoft Azure tarafından sağlanan, gizli bilgiler, anahtarlar, sertifikalar ve şifreler gibi hassas bilgileri güvenli bir şekilde depolamak ve yönetmek için kullanılan bir bulut hizmetidir. Merkezi bir depo olarak işlev görür ve Azure Active Directory (Azure AD) kullanarak güvenli erişim ve ince ayar kontrolü sunar. Güvenlik açısından, Key Vault, kriptografik anahtarlar için donanım güvenlik modülü (HSM) koruması sağlar, gizli bilgilerin hem dinlenirken hem de iletim sırasında şifrelenmesini garanti eder ve rol tabanlı erişim kontrolü (RBAC) ve politikalar aracılığıyla sağlam erişim yönetimi sunar. Ayrıca denetim günlüğü, erişimi izlemek için Azure Monitor ile entegrasyon ve uzun süreli anahtar maruziyetinden kaynaklanan riski azaltmak için otomatik anahtar döngüsü özelliklerine sahiptir.

Tam detaylar için Azure Key Vault REST API overview sayfasını inceleyin.

docs sayfasına göre, Vault'lar yazılım ve HSM destekli anahtarlar, gizli bilgiler ve sertifikalar depolamayı destekler. Yönetilen HSM havuzları yalnızca HSM destekli anahtarları destekler.

Vault'lar için URL formatı https://{vault-name}.vault.azure.net/{object-type}/{object-name}/{object-version} ve yönetilen HSM havuzları için: https://{hsm-name}.managedhsm.azure.net/{object-type}/{object-name}/{object-version} şeklindedir.

Burada:

• vault-name, anahtar kasasının küresel olarak benzersiz adıdır.

• object-type, "keys", "secrets" veya "certificates" olabilir.

• object-name, anahtar kasası içindeki nesnenin benzersiz adıdır.

• object-version, sistem tarafından üretilir ve isteğe bağlı olarak bir nesnenin benzersiz versiyonuna erişmek için kullanılır.

Kasada depolanan gizli bilgilere erişmek için, kasayı oluştururken 2 izin modeli arasında seçim yapmak mümkündür:

• Vault erişim politikası

• Azure RBAC (en yaygın ve önerilen)

• Desteklenen tüm ayrıntılı izinleri https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/security#microsoftkeyvault adresinde bulabilirsiniz.

Access Control

Key Vault kaynağına erişim, iki düzlemle kontrol edilir:

• yönetim düzlemi, hedefi management.azure.com olan.

• Anahtar kasasını ve erişim politikalarını yönetmek için kullanılır. Sadece Azure rol tabanlı erişim kontrolü (RBAC) desteklenir.

• veri düzlemi, hedefi <vault-name>.vault.azure.com olan.

• Anahtar kasasındaki verileri (anahtarlar, gizli bilgiler ve sertifikalar) yönetmek ve erişmek için kullanılır. Bu, anahtar kasası erişim politikalarını veya Azure RBAC'yi destekler.

Erişim politikalarını yönetmek için yönetim düzleminde izinleri olan Katkıda Bulunan gibi bir rol, erişim politikalarını değiştirerek gizli bilgilere erişim sağlayabilir.

Key Vault RBAC Built-In Roles

Network Access

Azure Key Vault'ta, veri düzlemi işlemlerine yalnızca belirli sanal ağlardan veya IPv4 adres aralıklarından izin vermek için güvenlik duvarı kuralları ayarlanabilir. Bu kısıtlama, Azure yönetim portalı üzerinden erişimi de etkiler; kullanıcılar, giriş IP adresleri yetkilendirilmiş aralıkta değilse bir anahtar kasasındaki anahtarları, gizli bilgileri veya sertifikaları listeleyemezler.

Bu ayarları analiz etmek ve yönetmek için Azure CLI'yi kullanabilirsiniz:

az keyvault show --name name-vault --query networkAcls

The previous command will display the firewall settings of name-vault, including enabled IP ranges and policies for denied traffic.

Ayrıca, bir kasaya özel bir bağlantı sağlamak için özel bir uç nokta oluşturmak mümkündür.

Silme Koruması

Bir anahtar kasası oluşturulduğunda, silme için izin verilen minimum gün sayısı 7'dir. Bu, o anahtar kasasını silmeye çalıştığınızda silinmesi için en az 7 gün gerektiği anlamına gelir.

Ancak, silme koruması devre dışı bırakılmış bir kasa oluşturmak mümkündür; bu, anahtar kasası ve nesnelerin saklama süresi boyunca silinmesine izin verir. Ancak, bu koruma bir kasa için etkinleştirildiğinde devre dışı bırakılamaz.

Enumeration

az

# List all Key Vaults in the subscription
az keyvault list
# List Key Vaults in a specific Resource Group
az keyvault list --resource-group <ResourceGroupName>
# Show details of a specific Key Vault
az keyvault show --name <KeyVaultName> # If accessPolicies, you can see them here
# List all keys in a Key Vault
az keyvault key list --vault-name <KeyVaultName>
# List all secrets in a Key Vault
az keyvault secret list --vault-name <KeyVaultName>
# Get versions of a secret
az keyvault secret list-versions --vault-name <KeyVaultName> --name <SecretName>
# List all certificates in a Key Vault
az keyvault certificate list --vault-name <KeyVaultName>
# List all deleted Key Vaults in the subscription
az keyvault list-deleted
# Get properties of a deleted Key Vault
az keyvault show-deleted --name <KeyVaultName>
# Get assigned roles
az role assignment list --include-inherited --scope "/subscriptions/<subscription-uuid>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>"

# Get secret value
az keyvault secret show --vault-name <KeyVaultName> --name <SecretName>
# Get old versions secret value
az keyvault secret show --id https://<KeyVaultName>.vault.azure.net/secrets/<KeyVaultName>/<idOldVersion>

Az Powershell

# Get keyvault token
curl "$IDENTITY_ENDPOINT?resource=https://vault.azure.net&api-version=2017-09-01" -H secret:$IDENTITY_HEADER

# Connect with PS AzureAD
## $token from management API
Connect-AzAccount -AccessToken $token -AccountId 1937ea5938eb-10eb-a365-10abede52387 -KeyVaultAccessToken $keyvaulttoken

# Get details of a specific Key Vault
Get-AzKeyVault -VaultName <KeyVaultName>
# List all keys in a Key Vault
Get-AzKeyVaultKey -VaultName <KeyVaultName>
# List all secrets in a Key Vault
Get-AzKeyVaultSecret -VaultName <KeyVaultName>
# List all certificates in a Key Vault
Get-AzKeyVaultCertificate -VaultName <KeyVaultName>
# List all deleted Key Vaults in the subscription
Get-AzKeyVault -InRemovedState
# Get properties of a deleted Key Vault
Get-AzKeyVault -VaultName <KeyVaultName> -InRemovedState
# Get secret values
Get-AzKeyVaultSecret -VaultName <vault_name> -Name <secret_name> -AsPlainText

az script

#!/bin/bash

# Dump all keyvaults from the subscription

# Define Azure subscription ID
AZ_SUBSCRIPTION_ID="your-subscription-id"

# Specify the filename for output
CSV_OUTPUT="vault-names-list.csv"

# Login to Azure account
az login

# Select the desired subscription
az account set --subscription $AZ_SUBSCRIPTION_ID

# Retrieve all resource groups within the subscription
AZ_RESOURCE_GROUPS=$(az group list --query "[].name" -o tsv)

# Initialize the CSV file with headers
echo "Vault Name,Associated Resource Group" > $CSV_OUTPUT

# Iterate over each resource group
for GROUP in $AZ_RESOURCE_GROUPS
do
# Fetch key vaults within the current resource group
VAULT_LIST=$(az keyvault list --resource-group $GROUP --query "[].name" -o tsv)

# Process each key vault
for VAULT in $VAULT_LIST
do
# Extract the key vault's name
VAULT_NAME=$(az keyvault show --name $VAULT --resource-group $GROUP --query "name" -o tsv)

# Append the key vault name and its resource group to the file
echo "$VAULT_NAME,$GROUP" >> $CSV_OUTPUT
done
done

Yetki Yükseltme

Az - Key Vault Privesc

İstismar Sonrası

Az - Key Vault Post Exploitation

AWS Hacking öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!

• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da 🐦 @hacktricks_live'i takip edin.**

• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.