Generated by Answer me with HTML 0.5.10 · 2026-10-31 14:18 · ★ Star on GitHub

Azure 最弱的一環：五起跨租戶淪陷

A

核心一句

API Connections 共用 APIM 代管、ARM 又有全權限。任何人用路徑遍歷或覆寫 runtimeUrl，就能盜用任意連線的後端 token。Key Vault、SQL、Jira 照拿，五洞共 20 萬美元。

B

攻擊路徑怎麼走

C

四連破：修一次、繞一次

波次	手法	微軟修法	結果
一	DynamicInvoke 路徑遍歷讀 Key Vault	限制路徑黑名單	繞過
二	未公開 DynamicList 等三端點，跨租戶寫 SQL	整組端點封掉	封死但治標
三	Consumption V1 無身份＋host.api.runtimeUrl 覆寫	runtimeUrl 必須完全相符	看似合理
四	驗證發生在正規化前＋舊檢查遺失	修了又破	再淪陷

D

為何擋不住

ARM 對一切有完整存取，APIM 只認連線 id 不認主人。
修法只擋路徑、不動 token 越權本體，邊界案例永遠有漏。
OAuth 連線＝建立者個人 token；金鑰少有人做最小權限。

E

HN 在吵什麼（294 分、56 則）

主題	一句話
跨租戶特別多	Azure 外洩數遙遙領先，修一次破一次像小丑秀
企業為何不走	Teams／授權綁定＋credits，本國機房，換雲要多養採購人力
獎金與文化	外部鏈式拿 $$$，內部通報被盤問
新線頭	adminconsent 回呼可偽造，有人自稱可轉交 MSRC

F

譯註

金額 20 萬美元、五個嚴重權限提升，皆原文自述。
留言數為抓取時 live 值，descendants 含已刪。
原文截圖多為回應封包與流程圖，譯文以文字重述，不猜圖中未載文字。

---
title: Azure 最弱的一環：五起跨租戶淪陷
lang: zh-Hant
---

## 核心一句

> API Connections 共用 APIM 代管、ARM 又有全權限。任何人用路徑遍歷或覆寫 runtimeUrl，就能盜用任意連線的後端 token。Key Vault、SQL、Jira 照拿，五洞共 20 萬美元。

## 攻擊路徑怎麼走

```flow
A: 你的 Logic App -> B: ARM DynamicInvoke/proxy: 用自己的連線打 API
B -> C: 共用 APIM: 路徑遍歷跳到受害者連線 id
C -> D: 金鑰交換: 換出受害者的後端 token
D -> E: 後端服務: 讀 Key Vault／寫 SQL
```

## 四連破：修一次、繞一次

| 波次 | 手法 | 微軟修法 | 結果 |
| --- | --- | --- | --- |
| 一 | DynamicInvoke 路徑遍歷讀 Key Vault | 限制路徑黑名單 | 繞過 |
| 二 | 未公開 DynamicList 等三端點，跨租戶寫 SQL | 整組端點封掉 | 封死但治標 |
| 三 | Consumption V1 無身份＋host.api.runtimeUrl 覆寫 | runtimeUrl 必須完全相符 | 看似合理 |
| 四 | 驗證發生在正規化前＋舊檢查遺失 | 修了又破 | 再淪陷 |

## 為何擋不住

- ARM 對一切有完整存取，APIM 只認連線 id 不認主人。
- 修法只擋路徑、不動 token 越權本體，邊界案例永遠有漏。
- OAuth 連線＝建立者個人 token；金鑰少有人做最小權限。

## HN 在吵什麼（294 分、56 則）

| 主題 | 一句話 |
| --- | --- |
| 跨租戶特別多 | Azure 外洩數遙遙領先，修一次破一次像小丑秀 |
| 企業為何不走 | Teams／授權綁定＋credits，本國機房，換雲要多養採購人力 |
| 獎金與文化 | 外部鏈式拿 $$$，內部通報被盤問 |
| 新線頭 | adminconsent 回呼可偽造，有人自稱可轉交 MSRC |

## 譯註

- 金額 20 萬美元、五個嚴重權限提升，皆原文自述。
- 留言數為抓取時 live 值，descendants 含已刪。
- 原文截圖多為回應封包與流程圖，譯文以文字重述，不猜圖中未載文字。