误认身份：从 Azure Function Apps 提取托管标识凭据

NetSPI Azure Automation 系列首篇：拥有 runbook 权限的攻击者可创建自动化任务导出 RunAs 证书与 Automation 凭据，进而以高权限持续访问 Azure 订阅。文中解释了 Automation Account、Runbook 与密码/证书两类凭据的机制。

拿到 Azure 容器注册表（ACR）Admin 凭据后的攻击路径：用 docker login 认证，通过 _catalog 与 tags API 枚举镜像，再拉取镜像挖掘源码与密钥实现进一步提权；MicroBurst 新增 Get-AzACR 函数自动化全流程。

NetSPI 介绍 Azure 环境中的权限维持手法：攻击者提权为 Global Administrator 后，可创建高权限 Automation Account 并导入 Runbook，通过 webhook 触发器用一个 POST 请求新建订阅 Owner 账户，实现长期后门驻留，示例脚本发布于 MicroBurst。

NetSPI 发布 MicroBurst 组件 Get-AzurePasswords：该 PowerShell 脚本自动化导出 Azure 订阅中的凭据，覆盖 Key Vaults 密钥/机密/证书、App Services 配置及 Automation Accounts 凭据，帮助测试者快速收集云环境敏感信息用于横向移动。

探讨将红队钓鱼页面与载荷托管在微软受信任域名之下的 Azure 服务上，借助其良好的域名声誉绕过 Web 过滤，作为 Domain Fronting 式微后的替代方案，并给出各服务的 Talos 信誉评分参考。

Azure 托管标识滥用研究：VM 的托管标识若被授予 Contributor/Owner 等过高权限，任何能在该 VM 执行命令的人（RDP 登录、应用漏洞、VM Contributor 角色等）都可请求其令牌并以此身份操作订阅，实现提权；附 az vm list 枚举一行命令。