Azure Blob storage conserve des objets dans des conteneurs à l'intérieur d'un compte de stockage, adressés à https://<account>.blob.core.windows.net/<container>. L'accès se fait de trois façons, et chacune est un chemin d'attaque : anonyme lorsque le niveau d'accès public d'un conteneur est réglé sur blob ou container, une clé de compte (le credential maître de l'ensemble du compte), ou des rôles de données Azure RBAC tels que Storage Blob Data Reader. Le travail consiste à trouver le compte, à trouver un conteneur, et à atteindre ses blobs par celle des trois voies qui est ouverte.
Ce qui se rattache ici#
- Énumération : découvrir les comptes de stockage et les conteneurs publics par devinette de noms et listage anonyme.
- Accès : lire et écrire des blobs via des clés de compte, des rôles de données RBAC ou un accès anonyme mal configuré.