Az - Tokens & Public Applications

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Basic Information

Entra ID je Microsoftova platforma za upravljanje identitetima i pristupom (IAM) zasnovana na oblaku, koja služi kao osnovni sistem za autentifikaciju i autorizaciju za usluge kao što su Microsoft 365 i Azure Resource Manager. Azure AD implementira OAuth 2.0 okvir autorizacije i OpenID Connect (OIDC) protokol autentifikacije za upravljanje pristupom resursima.

OAuth

Ključni učesnici u OAuth 2.0:

1. Server resursa (RS): Štiti resurse koje poseduje vlasnik resursa.

2. Vlasnik resursa (RO): Obično krajnji korisnik koji poseduje zaštićene resurse.

3. Klijentska aplikacija (CA): Aplikacija koja traži pristup resursima u ime vlasnika resursa.

4. Server autorizacije (AS): Izdaje pristupne tokene klijentskim aplikacijama nakon autentifikacije i autorizacije.

Opsezi i saglasnost:

• Opsezi: Granularne dozvole definisane na serveru resursa koje specificiraju nivoe pristupa.

• Saglasnost: Proces kojim vlasnik resursa daje klijentskoj aplikaciji dozvolu za pristup resursima sa specifičnim opsezima.

Integracija sa Microsoft 365:

• Microsoft 365 koristi Azure AD za IAM i sastoji se od više "prvih strana" OAuth aplikacija.

• Ove aplikacije su duboko integrisane i često imaju međuzavisne odnose usluga.

• Da bi se pojednostavilo korisničko iskustvo i održala funkcionalnost, Microsoft daje "implicitnu saglasnost" ili "pre-saglasnost" ovim aplikacijama prve strane.

• Implicitna saglasnost: Određene aplikacije automatski dobijaju pristup specifičnim opsezima bez eksplicitnog odobrenja korisnika ili administratora.

• Ovi pre-saglašeni opsezi su obično skriveni od korisnika i administratora, čineći ih manje vidljivim u standardnim upravljačkim interfejsima.

Tipovi klijentskih aplikacija:

1. Poverljivi klijenti:

• Imaju svoje sopstvene akreditive (npr. lozinke ili sertifikate).

• Mogu sigurno da se autentifikuju na serveru autorizacije.

1. Javni klijenti:

• Nemaju jedinstvene akreditive.

• Ne mogu sigurno da se autentifikuju na serveru autorizacije.

• Bezbednosna implikacija: Napadač može da se pretvara da je javna klijentska aplikacija prilikom traženja tokena, jer ne postoji mehanizam za server autorizacije da verifikuje legitimnost aplikacije.

Authentication Tokens

Postoje tri tipa tokena koji se koriste u OIDC:

• Pristupni tokeni: Klijent predstavlja ovaj token serveru resursa da pristupi resursima. Može se koristiti samo za specifičnu kombinaciju korisnika, klijenta i resursa i ne može biti opozvan do isteka - što je podrazumevano 1 sat.

• ID tokeni: Klijent prima ovaj token od servera autorizacije. Sadrži osnovne informacije o korisniku. Povezan je sa specifičnom kombinacijom korisnika i klijenta.

• Refresh tokeni: Dodeljuju se klijentu zajedno sa pristupnim tokenom. Koriste se za dobijanje novih pristupnih i ID tokena. Povezani su sa specifičnom kombinacijom korisnika i klijenta i mogu biti opozvani. Podrazumevano vreme isteka je 90 dana za neaktivne refresh tokene i nema isteka za aktivne tokene (iz refresh tokena je moguće dobiti nove refresh tokene).

• Refresh token bi trebao biti vezan za aud, za neke opsege, i za tenanta i trebao bi moći da generiše pristupne tokene samo za taj aud, opsege (i ništa više) i tenant. Međutim, to nije slučaj sa FOCI aplikacijama tokena.

• Refresh token je enkriptovan i samo Microsoft može da ga dekriptuje.

• Dobijanje novog refresh tokena ne opoziva prethodni refresh token.

Informacije za uslovni pristup su smeštene unutar JWT. Dakle, ako zatražite token sa dozvoljene IP adrese, ta IP će biti smeštena u tokenu i tada možete koristiti taj token sa nedozvoljene IP adrese za pristup resursima.

Access Tokens "aud"

Polje označeno u "aud" polju je server resursa (aplikacija) koji se koristi za obavljanje prijave.

Komanda az account get-access-token --resource-type [...] podržava sledeće tipove i svaki od njih će dodati specifičan "aud" u rezultantnom pristupnom tokenu:

Napomena da su sledeće samo API-jevi podržani od strane az account get-access-token, ali ih ima više.

aud primeri

• aad-graph (Azure Active Directory Graph API): Koristi se za pristup starom Azure AD Graph API (ukinut), koji omogućava aplikacijama da čitaju i pišu podatke direktorijuma u Azure Active Directory (Azure AD).

• https://graph.windows.net/

• arm (Azure Resource Manager): Koristi se za upravljanje Azure resursima putem Azure Resource Manager API-ja. Ovo uključuje operacije kao što su kreiranje, ažuriranje i brisanje resursa kao što su virtuelne mašine, skladišni nalozi i još mnogo toga.

• https://management.core.windows.net/ or https://management.azure.com/

• batch (Azure Batch Services): Koristi se za pristup Azure Batch, usluzi koja omogućava efikasno izvođenje aplikacija za paralelno i visokoperformantno računanje u oblaku.

• https://batch.core.windows.net/

• data-lake (Azure Data Lake Storage): Koristi se za interakciju sa Azure Data Lake Storage Gen1, koja je skalabilna usluga za skladištenje podataka i analitiku.

• https://datalake.azure.net/

• media (Azure Media Services): Koristi se za pristup Azure Media Services, koje pružaju usluge obrade i isporuke medija zasnovane na oblaku za video i audio sadržaj.

• https://rest.media.azure.net

• ms-graph (Microsoft Graph API): Koristi se za pristup Microsoft Graph API, jedinstvenom kraju za podatke usluga Microsoft 365. Omogućava pristup podacima i uvidima iz usluga kao što su Azure AD, Office 365, Enterprise Mobility i Security usluge.

• https://graph.microsoft.com

• oss-rdbms (Azure Open Source Relational Databases): Koristi se za pristup Azure Database uslugama za open-source relacione baze podataka kao što su MySQL, PostgreSQL i MariaDB.

• https://ossrdbms-aad.database.windows.net

Access Tokens Scopes "scp"

Opseg pristupnog tokena se čuva unutar scp ključa unutar JWT pristupnog tokena. Ovi opsezi definišu šta pristupni token može da pristupi.

Ako je JWT dozvoljeno da kontaktira određeni API, ali nema opseg za izvršenje tražene radnje, neće moći da izvrši radnju sa tim JWT-om.

Get refresh & access token example

# Code example from https://github.com/secureworks/family-of-client-ids-research
import msal
import requests
import jwt
from pprint import pprint
from typing import Any, Dict, List


# LOGIN VIA CODE FLOW AUTHENTICATION
azure_cli_client = msal.PublicClientApplication(
"04b07795-8ddb-461a-bbee-02f9e1bf7b46" # ID for Azure CLI client
)
device_flow = azure_cli_client.initiate_device_flow(
scopes=["https://graph.microsoft.com/.default"]
)
print(device_flow["message"])

# Perform device code flow authentication

azure_cli_bearer_tokens_for_graph_api = azure_cli_client.acquire_token_by_device_flow(
device_flow
)
pprint(azure_cli_bearer_tokens_for_graph_api)



# DECODE JWT
def decode_jwt(base64_blob: str) -> Dict[str, Any]:
"""Decodes base64 encoded JWT blob"""
return jwt.decode(
base64_blob, options={"verify_signature": False, "verify_aud": False}
)
decoded_access_token = decode_jwt(
azure_cli_bearer_tokens_for_graph_api.get("access_token")
)
pprint(decoded_access_token)


# GET NEW ACCESS TOKEN AND REFRESH TOKEN
new_azure_cli_bearer_tokens_for_graph_api = (
# Same client as original authorization
azure_cli_client.acquire_token_by_refresh_token(
azure_cli_bearer_tokens_for_graph_api.get("refresh_token"),
# Same scopes as original authorization
scopes=["https://graph.microsoft.com/.default"],
)
)
pprint(new_azure_cli_bearer_tokens_for_graph_api)

FOCI Tokens Privilege Escalation

Prethodno je pomenuto da bi refresh tokeni trebali biti vezani za scopes sa kojima su generisani, za aplikaciju i tenant za koji su generisani. Ako se bilo koja od ovih granica prekine, moguće je eskalirati privilegije jer će biti moguće generisati access tokene za druge resurse i tenante kojima korisnik ima pristup i sa više scopes nego što je prvobitno predviđeno.

Štaviše, to je moguće sa svim refresh tokenima u Microsoft identity platform (Microsoft Entra računi, Microsoft lični računi i društveni računi kao što su Facebook i Google) jer, kao što dokumentacija pominje: "Refresh tokeni su vezani za kombinaciju korisnika i klijenta, ali nisu vezani za resurs ili tenant. Klijent može koristiti refresh token da dobije access tokene kroz bilo koju kombinaciju resursa i tenanta gde ima dozvolu da to uradi. Refresh tokeni su enkriptovani i samo Microsoft identity platform može da ih pročita."

Takođe, imajte na umu da su FOCI aplikacije javne aplikacije, tako da nije potreban nikakav tajni ključ za autentifikaciju na serveru.

Poznati FOCI klijenti prijavljeni u originalnom istraživanju mogu se pronaći ovde.

Get different scope

U skladu sa prethodnim primerom koda, u ovom kodu se traži novi token za različiti scope:

# Code from https://github.com/secureworks/family-of-client-ids-research
azure_cli_bearer_tokens_for_outlook_api = (
# Same client as original authorization
azure_cli_client.acquire_token_by_refresh_token(
new_azure_cli_bearer_tokens_for_graph_api.get(
"refresh_token"
),
# But different scopes than original authorization
scopes=[
"https://outlook.office.com/.default"
],
)
)
pprint(azure_cli_bearer_tokens_for_outlook_api)

Dobijanje različitih klijenata i opsega

# Code from https://github.com/secureworks/family-of-client-ids-research
microsoft_office_client = msal.PublicClientApplication("d3590ed6-52b3-4102-aeff-aad2292ab01c")
microsoft_office_bearer_tokens_for_graph_api = (
# This is a different client application than we used in the previous examples
microsoft_office_client.acquire_token_by_refresh_token(
# But we can use the refresh token issued to our original client application
azure_cli_bearer_tokens_for_outlook_api.get("refresh_token"),
# And request different scopes too
scopes=["https://graph.microsoft.com/.default"],
)
)
# How is this possible?
pprint(microsoft_office_bearer_tokens_for_graph_api)

Reference

• https://github.com/secureworks/family-of-client-ids-research

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Podržite HackTricks

• Proverite planove pretplate!

• Pridružite se 💬 Discord grupi ili telegram grupi ili pratite nas na Twitteru 🐦 @hacktricks_live.

• Podelite hakerske trikove slanjem PR-ova na HackTricks i HackTricks Cloud github repozitorijume.