Az - Dynamic Groups Privesc

HackTricks 지원하기

기본 정보

동적 그룹은 설정된 규칙이 있는 그룹으로, 규칙에 맞는 모든 사용자 또는 장치가 그룹에 추가됩니다. 사용자 또는 장치의 속성변경될 때마다 동적 규칙이 재확인됩니다. 그리고 새 규칙생성되면 모든 장치와 사용자가 확인됩니다.

동적 그룹에는 Azure RBAC 역할을 할당할 수 있지만, AzureAD 역할을 동적 그룹에 추가하는 것은 불가능합니다.

이 기능은 Azure AD 프리미엄 P1 라이센스가 필요합니다.

권한 상승

기본적으로 모든 사용자가 Azure AD에서 게스트를 초대할 수 있으므로, 동적 그룹의 규칙속성에 따라 사용자에게 권한을 부여하는 경우, 이러한 속성을 가진 게스트생성하여 권한을 상승시킬 수 있습니다. 게스트는 자신의 프로필을 관리하고 이러한 속성을 변경할 수도 있습니다.

동적 멤버십을 허용하는 그룹 가져오기: Get-AzureADMSGroup | ?{$_.GroupTypes -eq 'DynamicMembership'}

예시

  • 규칙 예시: (user.otherMails -any (_ -contains "tester")) -and (user.userType -eq "guest")

  • 규칙 설명: 'tester' 문자열이 포함된 보조 이메일을 가진 모든 게스트 사용자가 그룹에 추가됩니다.

  1. Azure Active Directory -> 사용자로 이동하고 레거시 사용자 목록 경험으로 돌아가시겠습니까? 미리보기를 종료하려면 여기를 클릭하세요를 클릭합니다.

  2. **새 게스트 사용자**를 클릭하고 이메일을 초대합니다.

  3. 초대가 전송되면 사용자 프로필이 Azure AD에 추가됩니다. 사용자의 프로필을 열고 초대 수락 아래 (관리) 클릭합니다.

  1. **초대 재전송?**를 로 변경하면 초대 URL을 받게 됩니다:

  1. URL을 복사하고 열기, 초대된 사용자로 로그인하고 초대를 수락합니다.

  2. 사용자로 CLI에 로그인하고 보조 이메일을 설정합니다.

```powershell
# 로그인
$password = ConvertTo-SecureString 'password' -AsPlainText -Force
$creds = New-Object
System.Management.Automation.PSCredential('externaltester@somedomain.onmicrosoft.com', $Password)
Connect-AzureAD -Credential $creds -TenantId <tenant_id_of_attacked_domain>

# OtherMails 설정 변경
Set-AzureADUser -ObjectId <OBJECT-ID> -OtherMails <Username>@<TENANT_NAME>.onmicrosoft.com -Verbose
```

References

HackTricks 지원하기

Last updated