Az - Pass the Cookie

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Γιατί Cookies;

Οι cookies του προγράμματος περιήγησης είναι ένας εξαιρετικός μηχανισμός για να παρακάμψετε την αυθεντικοποίηση και το MFA. Επειδή ο χρήστης έχει ήδη αυθεντικοποιηθεί στην εφαρμογή, το cookie της συνεδρίας μπορεί απλώς να χρησιμοποιηθεί για να πρόσβαση σε δεδομένα ως αυτός ο χρήστης, χωρίς να χρειάζεται να ξανααυθεντικοποιηθεί.

Μπορείτε να δείτε πού βρίσκονται οι cookies του προγράμματος περιήγησης σε:

Browser ArtifactsHackTricks

Επίθεση

Το προκλητικό μέρος είναι ότι αυτές οι cookies είναι κρυπτογραφημένες για τον χρήστη μέσω του Microsoft Data Protection API (DPAPI). Αυτό κρυπτογραφείται χρησιμοποιώντας κρυπτογραφικά κλειδιά που συνδέονται με τον χρήστη στον οποίο ανήκουν οι cookies. Μπορείτε να βρείτε περισσότερες πληροφορίες σχετικά με αυτό σε:

DPAPI - Extracting PasswordsHackTricks

Με το Mimikatz στο χέρι, μπορώ να εξάγω τα cookies ενός χρήστη αν και είναι κρυπτογραφημένα με αυτή την εντολή:

mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%\google\chrome\USERDA~1\default\cookies /unprotect" exit

Για το Azure, μας ενδιαφέρουν τα cookies αυθεντικοποίησης συμπεριλαμβανομένων των ESTSAUTH, ESTSAUTHPERSISTENT και ESTSAUTHLIGHT. Αυτά υπάρχουν επειδή ο χρήστης έχει δραστηριοποιηθεί πρόσφατα στο Azure.

Απλώς πλοηγηθείτε στο login.microsoftonline.com και προσθέστε το cookie ESTSAUTHPERSISTENT (που δημιουργήθηκε από την επιλογή “Stay Signed In”) ή ESTSAUTH. Και θα είστε αυθεντικοποιημένοι.

Αναφορές

• https://stealthbits.com/blog/bypassing-mfa-with-pass-the-cookie/

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.