Korean - Ht Cloud
HackTricks Training Twitter Linkedin Sponsor

Az - Dynamic Groups Privesc

HackTricks 지원하기

기본 정보

동적 그룹은 설정된 규칙이 있는 그룹으로, 규칙에 맞는 모든 사용자 또는 장치가 그룹에 추가됩니다. 사용자 또는 장치의 속성이 변경될 때마다 동적 규칙이 재확인됩니다. 그리고 새 규칙이 생성되면 모든 장치와 사용자가 확인됩니다.

동적 그룹에는 Azure RBAC 역할을 할당할 수 있지만, AzureAD 역할을 동적 그룹에 추가하는 것은 불가능합니다.

이 기능은 Azure AD 프리미엄 P1 라이센스가 필요합니다.

권한 상승

기본적으로 모든 사용자가 Azure AD에서 게스트를 초대할 수 있으므로, 동적 그룹의 규칙이 속성에 따라 사용자에게 권한을 부여하는 경우, 이러한 속성을 가진 게스트를 생성하여 권한을 상승시킬 수 있습니다. 게스트는 자신의 프로필을 관리하고 이러한 속성을 변경할 수도 있습니다.

동적 멤버십을 허용하는 그룹 가져오기: Get-AzureADMSGroup | ?{$_.GroupTypes -eq 'DynamicMembership'}

예시

  • 규칙 예시: (user.otherMails -any (_ -contains "tester")) -and (user.userType -eq "guest")

  • 규칙 설명: 'tester' 문자열이 포함된 보조 이메일을 가진 모든 게스트 사용자가 그룹에 추가됩니다.

  1. Azure Active Directory -> 사용자로 이동하고 레거시 사용자 목록 경험으로 돌아가시겠습니까? 미리보기를 종료하려면 여기를 클릭하세요를 클릭합니다.

  2. **새 게스트 사용자**를 클릭하고 이메일을 초대합니다.

  3. 초대가 전송되면 사용자 프로필이 Azure AD에 추가됩니다. 사용자의 프로필을 열고 초대 수락 아래 (관리) 클릭합니다.

  1. **초대 재전송?**를 예로 변경하면 초대 URL을 받게 됩니다:

  1. URL을 복사하고 열기, 초대된 사용자로 로그인하고 초대를 수락합니다.

  2. 사용자로 CLI에 로그인하고 보조 이메일을 설정합니다.

```powershell
# 로그인
$password = ConvertTo-SecureString 'password' -AsPlainText -Force
$creds = New-Object
System.Management.Automation.PSCredential('externaltester@somedomain.onmicrosoft.com', $Password)
Connect-AzureAD -Credential $creds -TenantId <tenant_id_of_attacked_domain>

# OtherMails 설정 변경
Set-AzureADUser -ObjectId <OBJECT-ID> -OtherMails <Username>@<TENANT_NAME>.onmicrosoft.com -Verbose
```

References

HackTricks 지원하기
PreviousAz - Conditional Access Policies / MFA BypassNextDigital Ocean Pentesting

Last updated