Az - Logic Apps

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Підтримайте HackTricks

• Перевірте плани підписки!

• Приєднуйтесь до 💬 групи Discord або групи telegram або слідкуйте за нами у Twitter 🐦 @hacktricks_live.

• Діліться хакерськими трюками, подаючи PR до HackTricks та HackTricks Cloud репозиторіїв на github.

Основна інформація

Azure Logic Apps - це хмарний сервіс, наданий Microsoft Azure, який дозволяє розробникам створювати та запускати робочі процеси, що інтегрують різні сервіси, джерела даних та додатки. Ці робочі процеси призначені для автоматизації бізнес-процесів, оркестрації завдань та виконання інтеграції даних між різними платформами.

Logic Apps надає візуальний дизайнер для створення робочих процесів з широким спектром попередньо створених конекторів, що полегшує підключення та взаємодію з різними сервісами, такими як Office 365, Dynamics CRM, Salesforce та багатьма іншими. Ви також можете створювати власні конектори для своїх специфічних потреб.

Приклади

• Автоматизація даних: Logic Apps може автоматизувати процеси передачі та трансформації даних у поєднанні з Azure Data Factory. Це корисно для створення масштабованих та надійних конвеєрів даних, які переміщують та трансформують дані між різними сховищами даних, такими як Azure SQL Database та Azure Blob Storage, сприяючи аналітиці та бізнес-інтелекту.

• Інтеграція з Azure Functions: Logic Apps може працювати разом з Azure Functions для розробки складних, подієво-орієнтованих додатків, які масштабуються за потребою та інтегруються з іншими сервісами Azure. Прикладом використання є використання Logic App для запуску Azure Function у відповідь на певні події, такі як зміни в обліковому записі Azure Storage, що дозволяє динамічно обробляти дані.

Візуалізація LogicAPP

Можливо переглянути LogicApp за допомогою графіки:

або перевірити код у розділі "Logic app code view".

Захист від SSRF

Навіть якщо ви знайдете Logic App вразливим до SSRF, ви не зможете отримати доступ до облікових даних з метаданих, оскільки Logic Apps цього не дозволяє.

Наприклад, щось подібне не поверне токен:

# The URL belongs to a Logic App vulenrable to SSRF
curl -XPOST 'https://prod-44.westus.logic.azure.com:443/workflows/2d8de4be6e974123adf0b98159966644/triggers/manual/paths/invoke?api-version=2016-10-01&sp=%2Ftriggers%2Fmanual%2Frun&sv=1.0&sig=_8_oqqsCXc0u2c7hNjtSZmT0uM4Xi3hktw6Uze0O34s' -d '{"url": "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/"}' -H "Content-type: application/json" -v

Перерахування

az cli

# List
az logic workflow list --resource-group <ResourceGroupName> --subscription <SubscriptionID> --output table
# Get info
az logic workflow show --name <LogicAppName> --resource-group <ResourceGroupName> --subscription <SubscriptionID>
# Get Logic App config
az logic workflow definition show --name <LogicAppName> --resource-group <ResourceGroupName> --subscription <SubscriptionID>
# Get service ppal used
az logic workflow identity show --name <LogicAppName> --resource-group <ResourceGroupName> --subscription <SubscriptionID>

Az PowerSHell

# List
Get-AzLogicApp -ResourceGroupName <ResourceGroupName>
# Get info
Get-AzLogicApp -ResourceGroupName <ResourceGroupName> -Name <LogicAppName>
# Get Logic App config
(Get-AzLogicApp -ResourceGroupName <ResourceGroupName> -Name <LogicAppName>).Definition | ConvertTo-Json
# Get service ppal used
(Get-AzLogicApp -ResourceGroupName <ResourceGroupName> -Name <LogicAppName>).Identity

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Підтримайте HackTricks

• Перегляньте плани підписки!

• Приєднуйтесь до 💬 групи Discord або групи Telegram або слідкуйте за нами у Twitter 🐦 @hacktricks_live.

• Діліться хакерськими трюками, подаючи PR до HackTricks та HackTricks Cloud репозиторіїв на github.