Az - Lateral Movement (Cloud - On-Prem)
Az - Lateral Movement (Cloud - On-Prem)
On-Prem Maschinen, die mit der Cloud verbunden sind
Es gibt verschiedene Möglichkeiten, wie eine Maschine mit der Cloud verbunden sein kann:
Azure AD verbunden
Arbeitsplatz verbunden
Hybrid verbunden
Arbeitsplatz verbunden auf AADJ oder Hybrid
Tokens und Einschränkungen
In Azure AD gibt es verschiedene Arten von Tokens mit spezifischen Einschränkungen:
Zugriffstokens: Werden verwendet, um auf APIs und Ressourcen wie Microsoft Graph zuzugreifen. Sie sind an einen bestimmten Client und eine Ressource gebunden.
Aktualisierungstokens: Werden an Anwendungen ausgegeben, um neue Zugriffstokens zu erhalten. Sie können nur von der Anwendung verwendet werden, an die sie ausgegeben wurden, oder von einer Gruppe von Anwendungen.
Primäre Aktualisierungstokens (PRT): Werden für die Single Sign-On-Authentifizierung auf Azure AD verbundenen, registrierten oder hybrid verbundenen Geräten verwendet. Sie können in Anmeldeflüssen im Browser und für die Anmeldung bei mobilen und Desktop-Anwendungen auf dem Gerät verwendet werden.
Windows Hello for Business-Schlüssel (WHFB): Werden für passwortlose Authentifizierung verwendet. Sie werden verwendet, um primäre Aktualisierungstokens zu erhalten.
Die interessanteste Art von Token ist das primäre Aktualisierungstoken (PRT).
Az - Primary Refresh Token (PRT)Pivoting-Techniken
Vom kompromittierten Gerät zur Cloud:
Pass the Cookie: Stehle Azure-Cookies aus dem Browser und verwende sie, um dich anzumelden.
Dump processes access tokens: Dump die Speicher lokaler Prozesse, die mit der Cloud synchronisiert sind (wie Excel, Teams...) und finde Zugriffstokens im Klartext.
Phishing Primary Refresh Token: Phishing des PRT, um es auszunutzen.
Pass the PRT: Stehle das Geräte-PRT, um Azure zuzugreifen und es zu impersonieren.
Pass the Certificate: Generiere ein Zertifikat basierend auf dem PRT, um von einem Gerät auf ein anderes zuzugreifen.
Vom Kompromittieren AD zum Kompromittieren der Cloud und vom Kompromittieren der Cloud zum Kompromittieren AD:
Ein weiterer Weg, um von der Cloud zu On-Prem zu pivotieren, ist Intune auszunutzen
Dieses Tool ermöglicht es, mehrere Aktionen durchzuführen, wie z.B. eine Maschine in Azure AD zu registrieren, um ein PRT zu erhalten, und PRTs (legitim oder gestohlen) zu verwenden, um auf Ressourcen auf verschiedene Weise zuzugreifen. Dies sind keine direkten Angriffe, aber es erleichtert die Verwendung von PRTs, um auf Ressourcen auf verschiedene Weise zuzugreifen. Weitere Informationen findest du unter https://dirkjanm.io/introducing-roadtools-token-exchange-roadtx/
Referenzen
Last updated
