滥用 Azure Hybrid Workers 提权（二）：一个 Azure 提权故事

Azure Hybrid Workers 若配置 Automation Account “Run as” 证书，本地管理员即可提取订阅级 Contributor 凭据，形成多条 Azure RBAC 提权路径。

NetSPI 讲解滥用 Azure Automation Accounts 读取 Key Vaults 的攻击路径：拥有 runbook 创建/修改权限的 Contributor 账户可添加或篡改 runbook，以自动化账户身份导出 Key Vault 中的密钥与机密，无需 Owner 权限即可进一步横向扩展。

NetSPI Azure Automation 系列首篇：拥有 runbook 权限的攻击者可创建自动化任务导出 RunAs 证书与 Automation 凭据，进而以高权限持续访问 Azure 订阅。文中解释了 Automation Account、Runbook 与密码/证书两类凭据的机制。

NetSPI 演示在 Azure 中规模化执行命令的手法：拥有 Contributor 权限的账户可调用 Invoke-AzureRmVMRunCommand，以 NT AUTHORITY\SYSTEM 身份在订阅内任意 VM 上运行 PowerShell 脚本，无需开放 RDP 或防火墙端口。

NetSPI 发布匿名枚举 Azure 服务的脚本：通过 DNS 爆破 azurewebsites.net、blob.core.windows.net、database.windows.net 等常见域名的排列组合变体，无需凭据即可发现目标组织暴露在公网的 App Services、存储账户等 Azure 资源。

NetSPI 发布 MicroBurst 组件 Get-AzurePasswords：该 PowerShell 脚本自动化导出 Azure 订阅中的凭据，覆盖 Key Vaults 密钥/机密/证书、App Services 配置及 Automation Accounts 凭据，帮助测试者快速收集云环境敏感信息用于横向移动。