Az - Processes Memory Access Token
Informations de base
Comme expliqué dans cette vidéo, certains logiciels Microsoft synchronisés avec le cloud (Excel, Teams...) pourraient stocker des jetons d'accès en texte clair dans la mémoire. Donc, simplement dumping la mémoire du processus et grepping pour des jetons JWT pourrait vous donner accès à plusieurs ressources de la victime dans le cloud en contournant la MFA.
Étapes :
Dump les processus Excel synchronisés avec l'utilisateur EntraID avec votre outil préféré.
Exécutez :
string excel.dmp | grep 'eyJ0'
et trouvez plusieurs jetons dans la sortie.Trouvez les jetons qui vous intéressent le plus et exécutez des outils dessus :
Notez que ces types de jetons d'accès peuvent également être trouvés à l'intérieur d'autres processus.
Last updated