Access Control: Azure

如果在使用用户控制的值且没有适当访问控制的情形下访问 Azure Queue/Blob，则会允许攻击者查看/修改/删除未经授权的 Queue/Blob 及其消息/内容。

Azure Cloud 访问控制错误在以下情况下出现：

1. 数据从一个不可信赖的数据源进入程序。


2. 数据用于查看/修改/删除未经授权的 Queue/Blob 及其消息/内容。
示例 1：以下代码可删除给定 Queue 及其消息。

    ...
    var queueName = queryStringData['name'];
    var queueSvc;
    queueSvc = azureStorage.createQueueService();
    ...
    queueSvc.deleteQueue(queueName, option, function(error, response){
      if(!error){
          // all the messages has been deleted
      }
    });
    ...
    

示例 2：以下代码可删除给定 Blob 容器及其内容。

    ...
    var containerName = queryStringData['name'];
    var blobSvc;
    blobSvc = azureStorage.createBlobService();
    ...
    blobSvc.deleteContainer(containerName, function (error, response) {
      if (!error) {
          // all the content in the given container has been deleted
      }
    });
    ...
    

虽然Example 1 和Example 2 中的代码会删除给定队列/Blob 容器及其属于当前用户/程序的消息/内容，但攻击者可删除该 Azure 帐户的任何队列/Blob。由于此示例中的代码不会执行检查以确保该用户/程序有权清除请求的队列/Blob，因此即使该队列/Blob 不属于当前用户/程序，它也会被清除。