Az - Device Registration
学习和练习 AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
学习和练习 GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
基本信息
当设备加入 AzureAD 时,会在 AzureAD 中创建一个新对象。
注册设备时,用户需要使用其账户登录(如有需要会要求 MFA),然后请求设备注册服务的令牌,最后会弹出一个确认提示。
然后,在设备中生成两个 RSA 密钥对:设备密钥(公钥),发送到 AzureAD,以及 传输密钥(私钥),如果可能的话存储在 TPM 中。
然后,在 AzureAD(而不是 Intune)中生成 对象,AzureAD 会返回给设备一个由其签名的 证书。你可以检查 设备是否已加入 AzureAD 以及关于 证书 的信息(例如是否受 TPM 保护)。
设备注册后,Primary Refresh Token 由 LSASS CloudAP 模块请求并交付给设备。PRT 还会交付会话密钥,该密钥加密后只有设备可以解密(使用传输密钥的公钥),并且需要使用 PRT。
有关 PRT 的更多信息,请查看:
Az - Primary Refresh Token (PRT)TPM - Trusted Platform Module
TPM 保护设备在断电状态下(如果受 PIN 保护)免受密钥提取,以及防止从操作系统层提取私有材料。 但它不能保护免受嗅探 TPM 和 CPU 之间的物理连接,或在系统运行时从具有SYSTEM 权限的进程中使用 TPM 中的加密材料。
如果查看以下页面,您会发现窃取 PRT 可以像用户一样访问,这很棒,因为PRT 位于设备上,因此可以从设备中窃取(或者如果没有被窃取,可以滥用它来生成新的签名密钥):
Az - Pass the PRT使用 SSO 令牌注册设备
攻击者可以从被攻陷的设备请求 Microsoft 设备注册服务的令牌并注册它:
这将给你一个可以用来请求未来PRTs的证书。因此,保持持久性并绕过MFA,因为用于注册新设备的原始PRT令牌已经授予了MFA权限。
请注意,执行此攻击需要注册新设备的权限。此外,注册设备并不意味着设备将被允许注册到Intune。
此攻击在2021年9月已被修复,因为你不能再使用SSO令牌注册新设备。然而,仍然可以通过合法方式注册设备(需要用户名、密码和MFA)。查看:roadtx。
覆盖设备票证
曾经可以请求设备票证,覆盖设备的当前票证,并在流程中窃取PRT(因此不需要从TPM中窃取)。更多信息请查看此演讲。
![](https://cloud.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F366839394-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FEYi4M21WX4icNxsN0fBC%252Fuploads%252Fgit-blob-c0aaaf701ca6e0c8b648f4d4ac55e27c1c1de82d%252Fimage%2520%2832%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=78fefc44&sv=1)
然而,这个问题已被修复。
覆盖WHFB密钥
攻击摘要:
可以通过SSO覆盖设备上注册的WHFB密钥
它击败了TPM保护,因为密钥在生成新密钥时被嗅探
这也提供了持久性
![](https://cloud.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F366839394-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FEYi4M21WX4icNxsN0fBC%252Fuploads%252Fgit-blob-dccf38454f580ebae372fc8b9b68586df7b4382e%252Fimage%2520%2834%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=75f9df1&sv=1)
用户可以通过Azure AD Graph修改自己的searchableDeviceKey属性,然而,攻击者需要在租户中有一个设备(即时注册或从合法设备窃取证书+密钥)和一个有效的AAD Graph访问令牌。
然后,可以生成一个新密钥:
然后 PATCH 可搜索设备密钥的信息:
![](https://cloud.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F366839394-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FEYi4M21WX4icNxsN0fBC%252Fuploads%252Fgit-blob-49beac4f40d1d30bbbc44057b4eb44f195b41e14%252Fimage%2520%2836%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=4da8b673&sv=1)
可以通过 device code phishing 从用户那里获取访问令牌,并滥用前面的步骤来 窃取他的访问权限。更多信息请查看:
Az - Phishing Primary Refresh Token (Microsoft Entra)![](https://cloud.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F366839394-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FEYi4M21WX4icNxsN0fBC%252Fuploads%252Fgit-blob-6b8e1caa674d43f6901e67b33a889d28cf8b28e1%252Fimage%2520%2837%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=839596f0&sv=1)
参考资料
学习和练习 AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
学习和练习 GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated