滥用 Azure Hybrid Workers 提权（一）

介绍拥有 Subscription Reader 角色的 Azure 用户如何从 Automation Accounts 窃取凭据或证书，并提权至 Contributor 级别角色。

云渗透测试专家 Karl Fosaaen 发现并报告了一个 Microsoft Azure 漏洞：Azure AD 用户可从 Log Analytics Contributor 角色提权至完整的 Subscription Contributor 角色。

Get-AzPasswords 通过 runbook 输出提取 Azure 自动化账户凭据，但明文日志会把秘密暴露给可读输出的低权限用户。新版引入运行时自签证书与 CMS 消息加密，保证凭据在日志与传输中受保护。

NetSPI 介绍 Azure 环境中的权限维持手法：攻击者提权为 Global Administrator 后，可创建高权限 Automation Account 并导入 Runbook，通过 webhook 触发器用一个 POST 请求新建订阅 Owner 账户，实现长期后门驻留，示例脚本发布于 MicroBurst。

NetSPI 讲解滥用 Azure Automation Accounts 读取 Key Vaults 的攻击路径：拥有 runbook 创建/修改权限的 Contributor 账户可添加或篡改 runbook，以自动化账户身份导出 Key Vault 中的密钥与机密，无需 Owner 权限即可进一步横向扩展。

NetSPI Azure Automation 系列首篇：拥有 runbook 权限的攻击者可创建自动化任务导出 RunAs 证书与 Automation 凭据，进而以高权限持续访问 Azure 订阅。文中解释了 Automation Account、Runbook 与密码/证书两类凭据的机制。