Azure API 连接的持续暴露扫描器
持续审计 Azure Logic Apps 的 API 连接，查找权限过大的令牌和已知的跨租户攻击路径，抢在他人发现之前处理。
可直接粘贴到 Claude Code、Cursor 或任何编程助手的需求说明（英文）。
总分6.5/10
痛点7
付费意愿6
时机8
市场空白6
护城河6
可行性6
支持
- 谁会付费
- 员工超过 500 人、大量使用 Azure 的企业中，负责 Logic Apps 和 Power Platform 的云安全负责人或应用安全经理；费用从云安全态势管理预算中支出，每月 1000 至 3000 美元。
- 讨论中的声音 · 4
- 文章展示了通过 API 连接实现的五条不同跨租户入侵路径，可以访问受害者的 Key Vault、SQL 数据库、Jira 和 Salesforce；作者推测，连接令牌几乎从未按最小权限进行范围限定。 源自文章 ↗
- 微软对所报告的漏洞修复有误，随后的一次修复又让之前的问题重新出现，系统再次暴露。 查看评论 ↗
- Azure 在跨租户泄露方面似乎领先于竞争对手，但企业仍在持续采用。 查看评论 ↗
- 这些缺陷属于基础的路径遍历和 IDOR 问题，很可能从功能上线起就一直存在。 查看评论 ↗
内容转述自讨论，原评论请点击链接查看。
- 竞争对手与空白
CSPM 工具能标记通用的错误配置，但没有一款能深入建模 Logic Apps 和 API 连接的攻击面，例如 DynamicInvoke 类代理端点、host.api.RuntimeUrl 覆盖、V1 与 V2 连接的隐式访问，以及每个连接器令牌的权限范围。Defender for Cloud 恰恰是在这一攻击面上反复推出有缺陷修复的厂商。
- 为什么是现在
- 同一连接器子系统上的五条跨租户利用链被集中发表；修复多次出现回归；评论者预计，由 LLM 驱动的漏洞发现会让此类问题成倍增加。防守方需要的是持续测试，而不是一次性渗透测试。
- 护城河 · 6/10
- 持续更新的规则与攻击图谱库，覆盖数百种 Azure 连接器类型和未公开文档的端点，由原创研究积累而来；复现工具和租户遥测数据会随时间不断增值，通用 CSPM 很难快速复制。
反对
- 红队
- CSPM 的确漏掉了 Logic Apps 和 API 连接这一特定攻击面，研究也证明了其真实的可利用性；而大量使用 Azure 的企业本来就在为 Wiz 级别的态势管理工具付费。
- 最可能的失败原因
- 微软最终彻底重构 API 连接（强制所有连接使用托管身份或 V2），导致这一特定攻击面消失，其速度快于客户转化的速度。
起步
- 最初三步
- 开发一个只读的 Azure 审计工具，枚举租户内的 API 连接，标记 V1 连接、带有宽泛后端权限范围的非托管 OAuth 令牌，以及可被访问的动态端点。
- 针对已公布的攻击类别（如 DynamicInvoke 路径遍历、RuntimeUrl 覆盖），在客户自有连接上执行安全、非破坏性的复现检查。
- 提供仪表盘和告警功能，在配置变更后以及微软发布修复后自动重新运行检查，并附上每个连接器令牌权限范围收窄的整改指导。
- 原始讨论
- Azure's Weakest Link – Five Full Cross-Tenant Compromises ↗ 329 点60 条评论源自帖子原文链接
本文译自英文。 阅读原文