Az - Pass the Cookie

Aprende a hackear AWS desde cero hasta convertirte en un experto con htARTE (Experto en Equipos Rojos de AWS de HackTricks)!

Otras formas de apoyar a HackTricks:

• Si deseas ver tu empresa anunciada en HackTricks o descargar HackTricks en PDF Consulta los PLANES DE SUSCRIPCIÓN!

• Obtén la merchandising oficial de PEASS & HackTricks

• Descubre La Familia PEASS, nuestra colección exclusiva de NFTs

• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.

• Comparte tus trucos de hacking enviando PRs a los HackTricks y HackTricks Cloud repositorios de github.

¿Por qué las Cookies?

Las cookies del navegador son un mecanismo excelente para burlar la autenticación y el MFA. Debido a que el usuario ya se ha autenticado en la aplicación, la cookie de sesión simplemente se puede utilizar para acceder a los datos como ese usuario, sin necesidad de volver a autenticarse.

Puedes ver dónde se encuentran las cookies del navegador en:

Browser ArtifactsHackTricks

Ataque

La parte desafiante es que esas cookies están encriptadas para el usuario a través de la API de Protección de Datos de Microsoft (DPAPI). Están encriptadas utilizando claves criptográficas vinculadas al usuario a las que pertenecen las cookies. Puedes encontrar más información al respecto en:

DPAPI - Extracting PasswordsHackTricks

Con Mimikatz en mano, puedo extraer las cookies de un usuario aunque estén encriptadas con este comando:

mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%\google\chrome\USERDA~1\default\cookies /unprotect" exit

Para Azure, nos importan las cookies de autenticación, incluidas ESTSAUTH, ESTSAUTHPERSISTENT y ESTSAUTHLIGHT. Estas están presentes porque el usuario ha estado activo en Azure recientemente.

Simplemente navega a login.microsoftonline.com y agrega la cookie ESTSAUTHPERSISTENT (generada por la opción "Mantener la sesión iniciada") o ESTSAUTH. Y estarás autenticado.

Referencias

• https://stealthbits.com/blog/bypassing-mfa-with-pass-the-cookie/