Az - Dynamic Groups Privesc

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE) GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks 지원하기

구독 계획 확인하기!
**💬 Discord 그룹 또는 텔레그램 그룹에 참여하거나 Twitter 🐦 @hacktricks_live를 팔로우하세요.
HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.

기본 정보

동적 그룹은 설정된 규칙 세트를 가진 그룹으로, 규칙에 맞는 모든 사용자 또는 장치가 그룹에 추가됩니다. 사용자 또는 장치의 속성이 변경될 때마다 동적 규칙이 재확인됩니다. 그리고 새 규칙이 생성되면 모든 장치와 사용자가 확인됩니다.

동적 그룹에는 Azure RBAC 역할이 할당될 수 있지만, AzureAD 역할을 동적 그룹에 추가하는 것은 불가능합니다.

이 기능은 Azure AD 프리미엄 P1 라이센스가 필요합니다.

권한 상승

기본적으로 모든 사용자가 Azure AD에서 게스트를 초대할 수 있으므로, 동적 그룹의 규칙이 속성에 따라 사용자에게 권한을 부여하는 경우, 이러한 속성을 가진 게스트를 생성하여 권한을 상승시킬 수 있습니다. 게스트는 자신의 프로필을 관리하고 이러한 속성을 변경할 수도 있습니다.

동적 멤버십을 허용하는 그룹 가져오기: Get-AzureADMSGroup | ?{$_.GroupTypes -eq 'DynamicMembership'}

예시

규칙 예시: (user.otherMails -any (_ -contains "tester")) -and (user.userType -eq "guest")
규칙 설명: 'tester' 문자열이 포함된 보조 이메일을 가진 모든 게스트 사용자가 그룹에 추가됩니다.

Azure Active Directory -> 사용자로 이동하고 레거시 사용자 목록 경험으로 돌아가시겠습니까? 미리보기를 종료하려면 여기를 클릭하세요를 클릭합니다.
**새 게스트 사용자**를 클릭하고 이메일을 초대합니다.
초대가 전송되면 사용자 프로필이 Azure AD에 추가됩니다. 사용자의 프로필을 열고 초대 수락 아래 (관리) 클릭합니다.

**초대 재전송?**를 예로 변경하면 초대 URL을 받게 됩니다:

URL을 복사하고 열기, 초대된 사용자로 로그인하고 초대를 수락합니다.
사용자로 CLI에 로그인하고 보조 이메일을 설정합니다.

```powershell
# 로그인
$password = ConvertTo-SecureString 'password' - AsPlainText -Force
$creds = New-Object
System.Management.Automation.PSCredential('externaltester@somedomain.onmicrosoft.com', $Password)
Connect-AzureAD -Credential $creds -TenantId <tenant_id_of_attacked_domain>

# OtherMails 설정 변경
Set-AzureADUser -ObjectId <OBJECT-ID> -OtherMails <Username>@<TENANT_NAME>.onmicrosoft.com -Verbose
```

References

https://www.mnemonic.io/resources/blog/abusing-dynamic-groups-in-azure-ad-for-privilege-escalation/

Support HackTricks

Check the subscription plans!
Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

PreviousAz - Conditional Access Policies / MFA Bypass NextDigital Ocean Pentesting

Last updated 3 days ago

기본 정보

동적 그룹에는 Azure RBAC 역할이 할당될 수 있지만, AzureAD 역할을 동적 그룹에 추가하는 것은 불가능합니다.

이 기능은 Azure AD 프리미엄 P1 라이센스가 필요합니다.

권한 상승

동적 멤버십을 허용하는 그룹 가져오기: Get-AzureADMSGroup | ?{$_.GroupTypes -eq 'DynamicMembership'}

예시

규칙 예시: (user.otherMails -any (_ -contains "tester")) -and (user.userType -eq "guest")

규칙 설명: 'tester' 문자열이 포함된 보조 이메일을 가진 모든 게스트 사용자가 그룹에 추가됩니다.

Azure Active Directory -> 사용자로 이동하고 레거시 사용자 목록 경험으로 돌아가시겠습니까? 미리보기를 종료하려면 여기를 클릭하세요를 클릭합니다.

**새 게스트 사용자**를 클릭하고 이메일을 초대합니다.

초대가 전송되면 사용자 프로필이 Azure AD에 추가됩니다. 사용자의 프로필을 열고 초대 수락 아래 (관리) 클릭합니다.

**초대 재전송?**를 예로 변경하면 초대 URL을 받게 됩니다:

URL을 복사하고 열기, 초대된 사용자로 로그인하고 초대를 수락합니다.

사용자로 CLI에 로그인하고 보조 이메일을 설정합니다.

```powershell
# 로그인
$password = ConvertTo-SecureString 'password' - AsPlainText -Force
$creds = New-Object
System.Management.Automation.PSCredential('externaltester@somedomain.onmicrosoft.com', $Password)
Connect-AzureAD -Credential $creds -TenantId <tenant_id_of_attacked_domain>

# OtherMails 설정 변경
Set-AzureADUser -ObjectId <OBJECT-ID> -OtherMails <Username>@<TENANT_NAME>.onmicrosoft.com -Verbose
```