Az - Grupa za upravljanje, pretplate i grupe resursa

Reading time: 2 minutes

tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Učite i vežbajte Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Podržite HackTricks

Power Apps

Power Apps može da se poveže sa lokalnim SQL serverima, i čak i ako je to prvobitno neočekivano, postoji način da se ova veza izvrši proizvoljne SQL upite koji bi mogli omogućiti napadačima da kompromituju lokalne SQL servere.

Ovo je rezime iz posta https://www.ibm.com/think/x-force/abusing-power-apps-compromise-on-prem-servers gde možete pronaći detaljno objašnjenje kako zloupotrebiti Power Apps za kompromitovanje lokalnih SQL servera:

  • Korisnik kreira aplikaciju koja koristi lokalnu SQL vezu i deli je sa svima, bilo namerno ili nenamerno.
  • Napadač kreira novi tok i dodaje akciju “Transformiši podatke pomoću Power Query” koristeći postojeću SQL vezu.
  • Ako je povezani korisnik SQL administrator ili ima privilegije impersonacije, ili postoje bilo koje privilegovane SQL veze ili plaintext akreditivi u bazama podataka, ili ste dobili druge privilegovane plaintext akreditive, sada možete preći na lokalni SQL server.

tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Učite i vežbajte Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Podržite HackTricks