Az - Lateral Movement (Cloud - On-Prem)
Last updated
Last updated
Apprenez et pratiquez le Hacking AWS :Formation HackTricks AWS Red Team Expert (ARTE) Apprenez et pratiquez le Hacking GCP : Formation HackTricks GCP Red Team Expert (GRTE)
Il existe différentes manières dont une machine peut être connectée au cloud :
Dans Azure AD, il existe différents types de jetons avec des limitations spécifiques :
Jetons d'accès : Utilisés pour accéder aux API et aux ressources comme Microsoft Graph. Ils sont liés à un client et une ressource spécifiques.
Jetons de rafraîchissement : Émis aux applications pour obtenir de nouveaux jetons d'accès. Ils ne peuvent être utilisés que par l'application à laquelle ils ont été émis ou un groupe d'applications.
Jetons de rafraîchissement principaux (PRT) : Utilisés pour l'authentification unique sur les appareils joints à Azure AD, enregistrés ou joints de manière hybride. Ils peuvent être utilisés dans les flux de connexion par navigateur et pour se connecter à des applications mobiles et de bureau sur l'appareil.
Clés Windows Hello for Business (WHFB) : Utilisées pour l'authentification sans mot de passe. Elles sont utilisées pour obtenir des jetons de rafraîchissement principaux.
Le type de jeton le plus intéressant est le jeton de rafraîchissement principal (PRT).
Az - Primary Refresh Token (PRT)Depuis la machine compromise vers le cloud :
Pass the Cookie : Voler les cookies Azure du navigateur et les utiliser pour se connecter
Dump processes access tokens : Dump la mémoire des processus locaux synchronisés avec le cloud (comme excel, Teams...) et trouver des jetons d'accès en texte clair.
Phishing Primary Refresh Token: Phisher le PRT pour en abuser
Pass the PRT : Voler le PRT de l'appareil pour accéder à Azure en l'usurpant.
Pass the Certificate: Générer un certificat basé sur le PRT pour se connecter d'une machine à une autre
Depuis la compromission de AD vers la compromission du Cloud et depuis la compromission du Cloud vers la compromission de AD :
Une autre façon de pivoter du cloud vers Sur Site est d'abuser d'Intune
Cet outil permet d'effectuer plusieurs actions comme enregistrer une machine dans Azure AD pour obtenir un PRT, et utiliser des PRT (légitimes ou volés) pour accéder à des ressources de plusieurs manières différentes. Ce ne sont pas des attaques directes, mais cela facilite l'utilisation des PRT pour accéder à des ressources de différentes manières. Trouvez plus d'infos sur https://dirkjanm.io/introducing-roadtools-token-exchange-roadtx/
Apprenez et pratiquez le Hacking AWS :Formation HackTricks AWS Red Team Expert (ARTE) Apprenez et pratiquez le Hacking GCP : Formation HackTricks GCP Red Team Expert (GRTE)
