Az - Lateral Movement (Cloud - On-Prem)

Az - Laterale Bewegung (Cloud - On-Prem)

Erlernen Sie AWS-Hacking von Null auf Held mit htARTE (HackTricks AWS Red Team Expert)!

Andere Möglichkeiten, HackTricks zu unterstützen:

• Wenn Sie Ihr Unternehmen in HackTricks beworben sehen möchten oder HackTricks im PDF-Format herunterladen möchten, überprüfen Sie die ABONNEMENTPLÄNE!

• Holen Sie sich das offizielle PEASS & HackTricks-Merchandise

• Entdecken Sie The PEASS Family, unsere Sammlung exklusiver NFTs

• Treten Sie der 💬 Discord-Gruppe oder der Telegram-Gruppe bei oder folgen Sie uns auf Twitter 🐦 @hacktricks_live.

• Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die HackTricks und HackTricks Cloud GitHub-Repositories einreichen.

On-Prem-Maschinen verbunden mit der Cloud

Es gibt verschiedene Möglichkeiten, wie eine Maschine mit der Cloud verbunden sein kann:

Azure AD beigetreten

Workplace beigetreten

https://pbs.twimg.com/media/EQZv7UHXsAArdhn?format=jpg&name=large

Hybrid beigetreten

https://pbs.twimg.com/media/EQZv77jXkAAC4LK?format=jpg&name=large

Workplace beigetreten auf AADJ oder Hybrid

https://pbs.twimg.com/media/EQZv8qBX0AAMWuR?format=jpg&name=large

Tokens und Einschränkungen

In Azure AD gibt es verschiedene Arten von Tokens mit spezifischen Einschränkungen:

• Zugriffstoken: Wird verwendet, um auf APIs und Ressourcen wie den Microsoft Graph zuzugreifen. Sie sind an einen bestimmten Client und eine bestimmte Ressource gebunden.

• Aktualisierungstoken: Wird an Anwendungen ausgegeben, um neue Zugriffstoken zu erhalten. Sie können nur von der Anwendung verwendet werden, für die sie ausgestellt wurden, oder von einer Gruppe von Anwendungen.

• Primäre Aktualisierungstoken (PRT): Wird für Single Sign-On auf Azure AD-beigetretenen, registrierten oder hybrid beigetretenen Geräten verwendet. Sie können in Browser-Anmeldeflüssen und zum Anmelden bei mobilen und Desktop-Anwendungen auf dem Gerät verwendet werden.

Der interessanteste Typ von Token ist das Primäre Aktualisierungstoken (PRT).

pageAz - Primary Refresh Token (PRT)

Pivoting-Techniken

Vom kompromittierten Gerät zur Cloud:

• Cookie weitergeben: Stehlen Sie Azure-Cookies aus dem Browser und verwenden Sie sie zum Einloggen

• Phishing des Primären Aktualisierungstokens: Phish das PRT, um es zu missbrauchen

• PRT weitergeben: Stehlen Sie das Geräte-PRT, um auf Azure zuzugreifen und es zu imitieren.

• Zertifikat weitergeben: Generieren Sie ein Zertifikat basierend auf dem PRT, um sich von einem Gerät auf einem anderen anzumelden

Vom Kompromittieren von AD bis zum Kompromittieren der Cloud und vom Kompromittieren der Cloud bis zum Kompromittieren von AD:

• Azure AD Connect

• Ein weiterer Weg, um von der Cloud zu On-Prem zu wechseln, ist das Ausnutzen von Intune

Roadtx

Dieses Tool ermöglicht es, verschiedene Aktionen auszuführen, wie das Registrieren einer Maschine in Azure AD, um ein PRT zu erhalten, und die Verwendung von PRTs (legitim oder gestohlen), um auf Ressourcen auf verschiedene Arten zuzugreifen. Dies sind keine direkten Angriffe, aber es erleichtert die Verwendung von PRTs, um auf Ressourcen auf verschiedene Arten zuzugreifen. Weitere Informationen finden Sie unter https://dirkjanm.io/introducing-roadtools-token-exchange-roadtx/

Referenzen

• https://dirkjanm.io/phishing-for-microsoft-entra-primary-refresh-tokens/