Az - Logic Apps

Apprenez le piratage AWS de zéro à héros avec htARTE (Expert en équipe rouge HackTricks AWS)!

Autres façons de soutenir HackTricks :

• Si vous souhaitez voir votre entreprise annoncée dans HackTricks ou télécharger HackTricks en PDF, consultez les PLANS D'ABONNEMENT !

• Obtenez le swag officiel PEASS & HackTricks

• Découvrez La famille PEASS, notre collection exclusive de NFTs

• Rejoignez le 💬 groupe Discord ou le groupe Telegram ou suivez-nous sur Twitter 🐦 @hacktricks_live.

• Partagez vos astuces de piratage en soumettant des PR aux HackTricks et HackTricks Cloud dépôts GitHub.

Informations de base

Azure Logic Apps est un service basé sur le cloud fourni par Microsoft Azure qui permet aux développeurs de créer et d'exécuter des workflows intégrant divers services, sources de données et applications. Ces workflows sont conçus pour automatiser les processus métier, orchestrer des tâches et effectuer des intégrations de données entre différentes plateformes.

Logic Apps fournit un concepteur visuel pour créer des workflows avec une large gamme de connecteurs pré-construits, ce qui facilite la connexion et l'interaction avec divers services, tels que Office 365, Dynamics CRM, Salesforce, et bien d'autres. Vous pouvez également créer des connecteurs personnalisés pour vos besoins spécifiques.

Exemples

• Automatisation des pipelines de données : Logic Apps peut automatiser les processus de transfert et de transformation des données en combinaison avec Azure Data Factory. Cela est utile pour créer des pipelines de données évolutifs et fiables qui déplacent et transforment des données entre divers magasins de données, comme Azure SQL Database et Azure Blob Storage, aidant ainsi aux opérations d'analyse et de business intelligence.

• Intégration avec Azure Functions : Logic Apps peut fonctionner aux côtés d'Azure Functions pour développer des applications sophistiquées basées sur des événements qui s'adaptent selon les besoins et s'intègrent parfaitement avec d'autres services Azure. Un cas d'utilisation exemple est d'utiliser une Logic App pour déclencher une Azure Function en réponse à certains événements, tels que des changements dans un compte de stockage Azure, permettant un traitement dynamique des données.

Visualiser une LogicAPP

Il est possible de visualiser une LogicApp avec des graphiques :

ou de vérifier le code dans la section "Vue du code de l'application logique".

Protection contre les SSRF

Même si vous trouvez que la Logic App est vulnérable aux SSRF, vous ne pourrez pas accéder aux informations d'identification à partir des métadonnées car Logic Apps ne le permet pas.

Par exemple, quelque chose comme ceci ne renverra pas le jeton :

# The URL belongs to a Logic App vulenrable to SSRF
curl -XPOST 'https://prod-44.westus.logic.azure.com:443/workflows/2d8de4be6e974123adf0b98159966644/triggers/manual/paths/invoke?api-version=2016-10-01&sp=%2Ftriggers%2Fmanual%2Frun&sv=1.0&sig=_8_oqqsCXc0u2c7hNjtSZmT0uM4Xi3hktw6Uze0O34s' -d '{"url": "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/"}' -H "Content-type: application/json" -v

Énumération

az cli

# List
az logic workflow list --resource-group <ResourceGroupName> --subscription <SubscriptionID> --output table
# Get info
az logic workflow show --name <LogicAppName> --resource-group <ResourceGroupName> --subscription <SubscriptionID>
# Get Logic App config
az logic workflow definition show --name <LogicAppName> --resource-group <ResourceGroupName> --subscription <SubscriptionID>
# Get service ppal used
az logic workflow identity show --name <LogicAppName> --resource-group <ResourceGroupName> --subscription <SubscriptionID>

Az PowerSHell

# List
Get-AzLogicApp -ResourceGroupName <ResourceGroupName>
# Get info
Get-AzLogicApp -ResourceGroupName <ResourceGroupName> -Name <LogicAppName>
# Get Logic App config
(Get-AzLogicApp -ResourceGroupName <ResourceGroupName> -Name <LogicAppName>).Definition | ConvertTo-Json
# Get service ppal used
(Get-AzLogicApp -ResourceGroupName <ResourceGroupName> -Name <LogicAppName>).Identity

Apprenez le piratage AWS de zéro à héros avec htARTE (Expert Red Team AWS de HackTricks)!

Autres façons de soutenir HackTricks:

• Si vous souhaitez voir votre entreprise annoncée dans HackTricks ou télécharger HackTricks en PDF, consultez les PLANS D'ABONNEMENT!

• Obtenez le swag officiel PEASS & HackTricks

• Découvrez La famille PEASS, notre collection exclusive de NFT

• Rejoignez le 💬 groupe Discord ou le groupe Telegram ou suivez-nous sur Twitter 🐦 @hacktricks_live.

• Partagez vos astuces de piratage en soumettant des PR aux HackTricks et HackTricks Cloud dépôts GitHub.