Az - Pass the Cookie
Perché i Cookie?
I cookie del browser sono un ottimo meccanismo per bypassare l'autenticazione e l'MFA. Poiché l'utente si è già autenticato nell'applicazione, il cookie di sessione può essere utilizzato per accedere ai dati come quell'utente, senza la necessità di una nuova autenticazione.
Puoi vedere dove sono posizionati i cookie del browser in:
Attacco
La parte difficile è che quei cookie sono crittografati per l'utente tramite il Microsoft Data Protection API (DPAPI). Questo è crittografato utilizzando chiavi legate all'utente a cui appartengono i cookie. Puoi trovare ulteriori informazioni a riguardo in:
Con Mimikatz a disposizione, sono in grado di estrarre i cookie di un utente anche se sono crittografati con questo comando:
Per Azure, ci preoccupiamo dei cookie di autenticazione tra cui ESTSAUTH
, ESTSAUTHPERSISTENT
e ESTSAUTHLIGHT
. Questi sono presenti perché l'utente è stato attivo su Azure di recente.
Basta navigare su login.microsoftonline.com e aggiungere il cookie ESTSAUTHPERSISTENT
(generato dall'opzione "Rimani connesso") o ESTSAUTH
. E sarai autenticato.
Riferimenti
Last updated