Az - Processes Memory Access Token
Grundinformationen
Wie in diesem Video erklärt, könnten einige Microsoft-Software, die mit der Cloud synchronisiert ist (Excel, Teams...), Zugriffstoken im Klartext im Speicher speichern. Das bloße Dumpen des Speichers des Prozesses und Greppen nach JWT-Token könnte Ihnen den Zugriff auf mehrere Ressourcen des Opfers in der Cloud ermöglichen und MFA umgehen.
Schritte:
Dumpen Sie die mit dem EntraID-Benutzer synchronisierten Excel-Prozesse mit Ihrem bevorzugten Tool.
Führen Sie aus:
string excel.dmp | grep 'eyJ0'
und finden Sie mehrere Token in der Ausgabe.Finden Sie die Token, die Sie am meisten interessieren, und führen Sie Tools über sie aus:
Beachten Sie, dass diese Art von Zugriffstoken auch in anderen Prozessen gefunden werden kann.
Last updated