Az - Device Registration
基本信息
当设备加入 AzureAD 时,会在 AzureAD 中创建一个新对象。
注册设备时,用户需要使用其账户登录(如有需要会要求 MFA),然后请求设备注册服务的令牌,最后会弹出一个确认提示。
然后,在设备中生成两个 RSA 密钥对:设备密钥(公钥),发送到 AzureAD,以及 传输密钥(私钥),如果可能的话存储在 TPM 中。
然后,在 AzureAD(而不是 Intune)中生成 对象,AzureAD 会返回给设备一个由其签名的 证书。你可以检查 设备是否已加入 AzureAD 以及关于 证书 的信息(例如是否受 TPM 保护)。
设备注册后,Primary Refresh Token 由 LSASS CloudAP 模块请求并交付给设备。PRT 还会交付会话密钥,该密钥加密后只有设备可以解密(使用传输密钥的公钥),并且需要使用 PRT。
有关 PRT 的更多信息,请查看:
Az - Primary Refresh Token (PRT)TPM - Trusted Platform Module
TPM 保护设备在断电状态下(如果受 PIN 保护)免受密钥提取,以及防止从操作系统层提取私有材料。 但它不能保护免受嗅探 TPM 和 CPU 之间的物理连接,或在系统运行时从具有SYSTEM 权限的进程中使用 TPM 中的加密材料。
如果查看以下页面,您会发现窃取 PRT 可以像用户一样访问,这很棒,因为PRT 位于设备上,因此可以从设备中窃取(或者如果没有被窃取,可以滥用它来生成新的签名密钥):
Az - Pass the PRT使用 SSO 令牌注册设备
攻击者可以从被攻陷的设备请求 Microsoft 设备注册服务的令牌并注册它:
这将给你一个可以用来请求未来PRTs的证书。因此,保持持久性并绕过MFA,因为用于注册新设备的原始PRT令牌已经授予了MFA权限。
请注意,执行此攻击需要注册新设备的权限。此外,注册设备并不意味着设备将被允许注册到Intune。
此攻击在2021年9月已被修复,因为你不能再使用SSO令牌注册新设备。然而,仍然可以通过合法方式注册设备(需要用户名、密码和MFA)。查看:roadtx。
覆盖设备票证
曾经可以请求设备票证,覆盖设备的当前票证,并在流程中窃取PRT(因此不需要从TPM中窃取)。更多信息请查看此演讲。
然而,这个问题已被修复。
覆盖WHFB密钥
攻击摘要:
可以通过SSO覆盖设备上注册的WHFB密钥
它击败了TPM保护,因为密钥在生成新密钥时被嗅探
这也提供了持久性
用户可以通过Azure AD Graph修改自己的searchableDeviceKey属性,然而,攻击者需要在租户中有一个设备(即时注册或从合法设备窃取证书+密钥)和一个有效的AAD Graph访问令牌。
然后,可以生成一个新密钥:
然后 PATCH 可搜索设备密钥的信息:
可以通过 device code phishing 从用户那里获取访问令牌,并滥用前面的步骤来 窃取他的访问权限。更多信息请查看:
Az - Phishing Primary Refresh Token (Microsoft Entra)参考资料
Last updated