Az - Dynamic Groups Privesc

Support HackTricks

Основна Інформація

Динамічні групи — це групи, які мають набір правил, і всі користувачі або пристрої, що відповідають цим правилам, додаються до групи. Кожного разу, коли атрибут користувача або пристрою змінюється, динамічні правила перевіряються знову. І коли створюється нове правило, всі пристрої та користувачі перевіряються.

Динамічні групи можуть мати призначені ролі Azure RBAC, але неможливо додати ролі AzureAD до динамічних груп.

Ця функція вимагає ліцензії Azure AD premium P1.

Privesc

Зверніть увагу, що за замовчуванням будь-який користувач може запрошувати гостей в Azure AD, тому, якщо правило динамічної групи надає дозволи користувачам на основі атрибутів, які можуть бути встановлені у нового гостя, можливо створити гостя з цими атрибутами та ескалювати привілеї. Також можливо, щоб гість керував своїм профілем і змінював ці атрибути.

Отримати групи, які дозволяють динамічне членство: Get-AzureADMSGroup | ?{$_.GroupTypes -eq 'DynamicMembership'}

Приклад

  • Приклад правила: (user.otherMails -any (_ -contains "tester")) -and (user.userType -eq "guest")

  • Опис правила: Будь-який гість з вторинною електронною поштою, що містить рядок 'tester', буде доданий до групи

  1. Перейдіть до Azure Active Directory -> Користувачі та натисніть на Want to switch back to the legacy users list experience? Click here to leave the preview

  2. Натисніть на New guest user та запросіть електронну пошту

  3. Профіль користувача буде додано до Azure AD, як тільки запрошення буде надіслано. Відкрийте профіль користувача та натисніть на (manage) під Invitation accepted.

  1. Змініть Resend invite? на Так і ви отримаєте URL запрошення:

  1. Скопіюйте URL та відкрийте його, увійдіть як запрошений користувач і прийміть запрошення

  2. Увійдіть в cli як користувач і встановіть вторинну електронну пошту

```powershell
# Вхід
$password = ConvertTo-SecureString 'password' - AsPlainText -Force
$creds = New-Object
System.Management.Automation.PSCredential('externaltester@somedomain.onmicrosoft.com', $Password)
Connect-AzureAD -Credential $creds -TenantId <tenant_id_of_attacked_domain>

# Зміна налаштування OtherMails
Set-AzureADUser -ObjectId <OBJECT-ID> -OtherMails <Username>@<TENANT_NAME>.onmicrosoft.com -Verbose
```

Посилання

Підтримайте HackTricks

Last updated