Az - ARM Templates / Deployments

Dowiedz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Dowiedz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Wesprzyj HackTricks

• Sprawdź plany subskrypcyjne!

• Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @hacktricks_live.

• Udostępnij sztuczki hackingu, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów na GitHubie.

Podstawowe informacje

Z dokumentacji: Aby wdrożyć infrastrukturę jako kod dla swoich rozwiązań w Azure, użyj szablonów Azure Resource Manager (ARM). Szablon to plik JavaScript Object Notation (JSON), który definiuje infrastrukturę i konfigurację dla twojego projektu. Szablon używa składni deklaratywnej, która pozwala określić, co chcesz wdrożyć, nie pisząc sekwencji poleceń programistycznych do jego utworzenia. W szablonie określasz zasoby do wdrożenia i właściwości tych zasobów.

Historia

Jeśli masz do niego dostęp, możesz uzyskać informacje o zasobach, które nie są obecne, ale mogą zostać wdrożone w przyszłości. Ponadto, jeśli parametr zawierający informacje poufne został oznaczony jako "String" zamiast "SecureString", będzie on obecny w czystym tekście.

Wyszukiwanie informacji poufnych

Użytkownicy z uprawnieniami Microsoft.Resources/deployments/read i Microsoft.Resources/subscriptions/resourceGroups/read mogą czytać historię wdrożeń.

Get-AzResourceGroup
Get-AzResourceGroupDeployment -ResourceGroupName <name>

# Export
Save-AzResourceGroupDeploymentTemplate -ResourceGroupName <RESOURCE GROUP> -DeploymentName <DEPLOYMENT NAME>
cat <DEPLOYMENT NAME>.json # search for hardcoded password
cat <PATH TO .json FILE> | Select-String password

Odnośniki

• https://app.gitbook.com/s/5uvPQhxNCPYYTqpRwsuS/~/changes/argKsv1NUBY9l4Pd28TU/pentesting-cloud/azure-security/az-services/az-arm-templates#references

Dowiedz się i praktykuj Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Dowiedz się i praktykuj Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Wesprzyj HackTricks

• Sprawdź plan subskrypcji!

• Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @hacktricks_live.

• Udostępnij sztuczki hackingu, przesyłając PR-y do HackTricks i HackTricks Cloud github repos.