Az - Grupos de Gerenciamento, Assinaturas e Grupos de Recursos

Reading time: 2 minutes

tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks

Power Apps

Power Apps pode se conectar a servidores SQL locais e, mesmo que inicialmente inesperado, há uma maneira de fazer essa conexão executar consultas SQL arbitrárias que poderiam permitir que atacantes comprometessem servidores SQL locais.

Este é o resumo do post https://www.ibm.com/think/x-force/abusing-power-apps-compromise-on-prem-servers onde você pode encontrar uma explicação detalhada de como abusar do Power Apps para comprometer servidores SQL locais:

  • Um usuário cria um aplicativo que usa uma conexão SQL local e a compartilha com todos, seja intencionalmente ou inadvertidamente.
  • Um atacante cria um novo fluxo e adiciona uma ação “Transformar dados com Power Query” usando a conexão SQL existente.
  • Se o usuário conectado for um administrador SQL ou tiver privilégios de impersonação, ou houver links SQL privilegiados ou credenciais em texto claro em bancos de dados, ou você obteve outras credenciais privilegiadas em texto claro, agora você pode pivotar para um servidor SQL local.

tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks