Az - Tokens & Public Applications

Вивчайте та практикуйте Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Вивчайте та практикуйте Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Підтримка HackTricks

• Перевірте плани підписки!

• Приєднуйтесь до 💬 групи Discord або групи Telegram або слідкуйте за нами в Twitter 🐦 @hacktricks_live.

• Діліться хакерськими трюками, подаючи PR до HackTricks та HackTricks Cloud репозиторіїв на GitHub.

Основна Інформація

Entra ID - це хмарна платформа управління ідентифікацією та доступом (IAM) від Microsoft, яка слугує основною системою аутентифікації та авторизації для таких сервісів, як Microsoft 365 та Azure Resource Manager. Azure AD реалізує фреймворк авторизації OAuth 2.0 та протокол аутентифікації OpenID Connect (OIDC) для управління доступом до ресурсів.

OAuth

Ключові учасники в OAuth 2.0:

1. Сервер ресурсів (RS): Захищає ресурси, що належать власнику ресурсу.

2. Власник ресурсу (RO): Зазвичай кінцевий користувач, який володіє захищеними ресурсами.

3. Клієнтський додаток (CA): Додаток, що намагається отримати доступ до ресурсів від імені власника ресурсу.

4. Сервер авторизації (AS): Видає токени доступу клієнтським додаткам після їх аутентифікації та авторизації.

Обсяги та Згода:

• Обсяги: Дрібні дозволи, визначені на сервері ресурсів, які вказують рівні доступу.

• Згода: Процес, за допомогою якого власник ресурсу надає клієнтському додатку дозвіл на доступ до ресурсів з конкретними обсягами.

Інтеграція Microsoft 365:

• Microsoft 365 використовує Azure AD для IAM і складається з кількох "додатків першої сторони" OAuth.

• Ці додатки глибоко інтегровані та часто мають взаємозалежні відносини сервісів.

• Щоб спростити досвід користувачів і підтримувати функціональність, Microsoft надає "неявну згоду" або "попередню згоду" цим додаткам першої сторони.

• Неявна Згода: Деяким додаткам автоматично надається доступ до конкретних обсягів без явного схвалення користувача або адміністратора.

• Ці попередньо погоджені обсяги зазвичай приховані як від користувачів, так і від адміністраторів, що робить їх менш видимими в стандартних інтерфейсах управління.

Типи клієнтських додатків:

1. Конфіденційні клієнти:

• Мають свої власні облікові дані (наприклад, паролі або сертифікати).

• Можуть надійно аутентифікувати себе на сервері авторизації.

1. Публічні клієнти:

• Не мають унікальних облікових даних.

• Не можуть надійно аутентифікуватися на сервері авторизації.

• Безпекове наслідок: Зловмисник може видавати себе за публічний клієнтський додаток при запиті токенів, оскільки немає механізму для сервера авторизації, щоб перевірити легітимність додатка.

Токени Аутентифікації

Існує три типи токенів, що використовуються в OIDC:

• Токени доступу: Клієнт представляє цей токен серверу ресурсів для доступу до ресурсів. Він може використовуватися лише для конкретної комбінації користувача, клієнта та ресурсу і не може бути відкликаний до закінчення терміну дії - тобто 1 година за замовчуванням.

• ID Токени: Клієнт отримує цей токен від сервера авторизації. Він містить основну інформацію про користувача. Він прив'язаний до конкретної комбінації користувача та клієнта.

• Токени оновлення: Надаються клієнту разом з токеном доступу. Використовуються для отримання нових токенів доступу та ID токенів. Він прив'язаний до конкретної комбінації користувача та клієнта і може бути відкликаний. За замовчуванням термін дії становить 90 днів для неактивних токенів оновлення та немає терміну дії для активних токенів (з токена оновлення можливо отримати нові токени оновлення).

• Токен оновлення повинен бути прив'язаний до aud, до деяких обсягів та до орендаря, і він повинен мати можливість генерувати токени доступу лише для цього aud, обсягів (і не більше) та орендаря. Однак це не так для токенів додатків FOCI.

• Токен оновлення зашифрований, і лише Microsoft може його розшифрувати.

• Отримання нового токена оновлення не відкликає попередній токен оновлення.

Інформація для умовного доступу зберігається всередині JWT. Тому, якщо ви запитуєте токен з дозволеної IP-адреси, ця IP буде збережена в токені, і тоді ви зможете використовувати цей токен з недозволеної IP для доступу до ресурсів.

Токени доступу "aud"

Поле, вказане в полі "aud", є сервером ресурсів (додатком), що використовується для виконання входу.

Команда az account get-access-token --resource-type [...] підтримує такі типи, і кожен з них додасть конкретний "aud" у результативний токен доступу:

Зверніть увагу, що наступні є лише API, підтримуваними az account get-access-token, але їх більше.

приклади aud

• aad-graph (Azure Active Directory Graph API): Використовується для доступу до застарілого Azure AD Graph API (депрецированого), який дозволяє додаткам читати та записувати дані каталогу в Azure Active Directory (Azure AD).

• https://graph.windows.net/

• arm (Azure Resource Manager): Використовується для управління ресурсами Azure через API Azure Resource Manager. Це включає операції, такі як створення, оновлення та видалення ресурсів, таких як віртуальні машини, облікові записи зберігання тощо.

• https://management.core.windows.net/ or https://management.azure.com/

• batch (Azure Batch Services): Використовується для доступу до Azure Batch, сервісу, який дозволяє ефективно виконувати великомасштабні паралельні та високопродуктивні обчислювальні програми в хмарі.

• https://batch.core.windows.net/

• data-lake (Azure Data Lake Storage): Використовується для взаємодії з Azure Data Lake Storage Gen1, який є масштабованим сервісом зберігання даних та аналітики.

• https://datalake.azure.net/

• media (Azure Media Services): Використовується для доступу до Azure Media Services, які надають хмарні послуги обробки та доставки медіа для відео та аудіо контенту.

• https://rest.media.azure.net

• ms-graph (Microsoft Graph API): Використовується для доступу до Microsoft Graph API, єдиного кінцевого пункту для даних сервісів Microsoft 365. Це дозволяє отримувати дані та інсайти з таких сервісів, як Azure AD, Office 365, Enterprise Mobility та Security services.

• https://graph.microsoft.com

• oss-rdbms (Azure Open Source Relational Databases): Використовується для доступу до сервісів бази даних Azure для відкритих реляційних баз даних, таких як MySQL, PostgreSQL та MariaDB.

• https://ossrdbms-aad.database.windows.net

Обсяги токенів доступу "scp"

Обсяг токена доступу зберігається всередині ключа scp всередині JWT токена доступу. Ці обсяги визначають, до чого має доступ токен доступу.

Якщо JWT дозволено контактувати з конкретним API, але не має обсягу для виконання запитуваної дії, він не зможе виконати дію з цим JWT.

Приклад отримання токена оновлення та доступу

# Code example from https://github.com/secureworks/family-of-client-ids-research
import msal
import requests
import jwt
from pprint import pprint
from typing import Any, Dict, List


# LOGIN VIA CODE FLOW AUTHENTICATION
azure_cli_client = msal.PublicClientApplication(
"04b07795-8ddb-461a-bbee-02f9e1bf7b46" # ID for Azure CLI client
)
device_flow = azure_cli_client.initiate_device_flow(
scopes=["https://graph.microsoft.com/.default"]
)
print(device_flow["message"])

# Perform device code flow authentication

azure_cli_bearer_tokens_for_graph_api = azure_cli_client.acquire_token_by_device_flow(
device_flow
)
pprint(azure_cli_bearer_tokens_for_graph_api)



# DECODE JWT
def decode_jwt(base64_blob: str) -> Dict[str, Any]:
"""Decodes base64 encoded JWT blob"""
return jwt.decode(
base64_blob, options={"verify_signature": False, "verify_aud": False}
)
decoded_access_token = decode_jwt(
azure_cli_bearer_tokens_for_graph_api.get("access_token")
)
pprint(decoded_access_token)


# GET NEW ACCESS TOKEN AND REFRESH TOKEN
new_azure_cli_bearer_tokens_for_graph_api = (
# Same client as original authorization
azure_cli_client.acquire_token_by_refresh_token(
azure_cli_bearer_tokens_for_graph_api.get("refresh_token"),
# Same scopes as original authorization
scopes=["https://graph.microsoft.com/.default"],
)
)
pprint(new_azure_cli_bearer_tokens_for_graph_api)

FOCI Tokens Privilege Escalation

Раніше згадувалося, що refresh tokens повинні бути прив'язані до scopes, з якими вони були згенеровані, до application та tenant, для яких вони були згенеровані. Якщо будь-яка з цих меж буде порушена, можливо підвищити привілеї, оскільки буде можливість генерувати access tokens для інших ресурсів і tenants, до яких користувач має доступ, і з більшими scopes, ніж це було спочатку передбачено.

Більше того, це можливо з усіма refresh tokens у Microsoft identity platform (Microsoft Entra accounts, Microsoft personal accounts та соціальні акаунти, такі як Facebook і Google), оскільки, як зазначають документи: "Refresh tokens прив'язані до комбінації користувача та клієнта, але не прив'язані до ресурсу або tenant. Клієнт може використовувати refresh token для отримання access tokens для будь-якої комбінації ресурсу та tenant, де він має на це дозвіл. Refresh tokens зашифровані, і лише Microsoft identity platform може їх читати."

Крім того, зверніть увагу, що FOCI applications є публічними додатками, тому секрет не потрібен для автентифікації на сервері.

Тоді відомі FOCI клієнти, про які повідомлялося в оригінальному дослідженні, можуть бути знайдені тут.

Get different scope

Продовжуючи з попереднього прикладу коду, у цьому коді запитується новий токен для іншого scope:

# Code from https://github.com/secureworks/family-of-client-ids-research
azure_cli_bearer_tokens_for_outlook_api = (
# Same client as original authorization
azure_cli_client.acquire_token_by_refresh_token(
new_azure_cli_bearer_tokens_for_graph_api.get(
"refresh_token"
),
# But different scopes than original authorization
scopes=[
"https://outlook.office.com/.default"
],
)
)
pprint(azure_cli_bearer_tokens_for_outlook_api)

Отримати різні клієнти та області

# Code from https://github.com/secureworks/family-of-client-ids-research
microsoft_office_client = msal.PublicClientApplication("d3590ed6-52b3-4102-aeff-aad2292ab01c")
microsoft_office_bearer_tokens_for_graph_api = (
# This is a different client application than we used in the previous examples
microsoft_office_client.acquire_token_by_refresh_token(
# But we can use the refresh token issued to our original client application
azure_cli_bearer_tokens_for_outlook_api.get("refresh_token"),
# And request different scopes too
scopes=["https://graph.microsoft.com/.default"],
)
)
# How is this possible?
pprint(microsoft_office_bearer_tokens_for_graph_api)

Посилання

• https://github.com/secureworks/family-of-client-ids-research

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Підтримати HackTricks

• Перевірте плани підписки!

• Приєднуйтесь до 💬 групи Discord або групи Telegram або слідкуйте за нами в Twitter 🐦 @hacktricks_live.

• Діліться хакерськими трюками, надсилаючи PR до HackTricks та HackTricks Cloud репозиторіїв на github.