Az - Logic Apps

Naucz się i ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Naucz się i ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Wspieraj HackTricks

• Sprawdź plany subskrypcji!

• Dołącz do 💬 grupy Discord lub grupy telegram lub śledź nas na Twitterze 🐦 @hacktricks_live.

• Dziel się trikami hakerskimi, przesyłając PR do HackTricks i HackTricks Cloud repozytoriów na githubie.

Podstawowe Informacje

Azure Logic Apps to usługa w chmurze oferowana przez Microsoft Azure, która umożliwia deweloperom tworzenie i uruchamianie przepływów pracy integrujących różne usługi, źródła danych i aplikacje. Te przepływy pracy są zaprojektowane do automatyzacji procesów biznesowych, orkiestracji zadań i wykonywania integracji danych na różnych platformach.

Logic Apps oferuje wizualny projektant do tworzenia przepływów pracy z szeroką gamą wbudowanych konektorów, co ułatwia łączenie się i interakcję z różnymi usługami, takimi jak Office 365, Dynamics CRM, Salesforce i wiele innych. Możesz również tworzyć niestandardowe konektory dla swoich specyficznych potrzeb.

Przykłady

• Automatyzacja Przepływów Danych: Logic Apps mogą automatyzować procesy transferu i transformacji danych w połączeniu z Azure Data Factory. Jest to przydatne do tworzenia skalowalnych i niezawodnych przepływów danych, które przenoszą i przekształcają dane między różnymi magazynami danych, takimi jak Azure SQL Database i Azure Blob Storage, wspierając analitykę i operacje business intelligence.

• Integracja z Azure Functions: Logic Apps mogą współpracować z Azure Functions, aby rozwijać zaawansowane, zdarzeniowe aplikacje, które skalują się w miarę potrzeb i integrują się bezproblemowo z innymi usługami Azure. Przykładem użycia jest użycie Logic App do wywołania Azure Function w odpowiedzi na określone zdarzenia, takie jak zmiany w koncie Azure Storage, co pozwala na dynamiczne przetwarzanie danych.

Wizualizacja LogicAPP

Możliwe jest wyświetlenie LogicApp za pomocą grafiki:

lub sprawdzenie kodu w sekcji "Logic app code view".

Ochrona przed SSRF

Nawet jeśli znajdziesz Logic App podatny na SSRF, nie będziesz w stanie uzyskać dostępu do poświadczeń z metadanych, ponieważ Logic Apps na to nie pozwala.

Na przykład, coś takiego nie zwróci tokenu:

# The URL belongs to a Logic App vulenrable to SSRF
curl -XPOST 'https://prod-44.westus.logic.azure.com:443/workflows/2d8de4be6e974123adf0b98159966644/triggers/manual/paths/invoke?api-version=2016-10-01&sp=%2Ftriggers%2Fmanual%2Frun&sv=1.0&sig=_8_oqqsCXc0u2c7hNjtSZmT0uM4Xi3hktw6Uze0O34s' -d '{"url": "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/"}' -H "Content-type: application/json" -v

Enumeracja

az cli

# List
az logic workflow list --resource-group <ResourceGroupName> --subscription <SubscriptionID> --output table
# Get info
az logic workflow show --name <LogicAppName> --resource-group <ResourceGroupName> --subscription <SubscriptionID>
# Get Logic App config
az logic workflow definition show --name <LogicAppName> --resource-group <ResourceGroupName> --subscription <SubscriptionID>
# Get service ppal used
az logic workflow identity show --name <LogicAppName> --resource-group <ResourceGroupName> --subscription <SubscriptionID>

Az PowerSHell

# List
Get-AzLogicApp -ResourceGroupName <ResourceGroupName>
# Get info
Get-AzLogicApp -ResourceGroupName <ResourceGroupName> -Name <LogicAppName>
# Get Logic App config
(Get-AzLogicApp -ResourceGroupName <ResourceGroupName> -Name <LogicAppName>).Definition | ConvertTo-Json
# Get service ppal used
(Get-AzLogicApp -ResourceGroupName <ResourceGroupName> -Name <LogicAppName>).Identity

Ucz się i ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Ucz się i ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Wspieraj HackTricks

• Sprawdź plany subskrypcji!

• Dołącz do 💬 grupy Discord lub grupy telegram albo śledź nas na Twitterze 🐦 @hacktricks_live.

• Dziel się trikami hakerskimi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów na githubie.