Az - Pass the Cookie

AWSハッキングの学習と練習:HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングの学習と練習: HackTricks Training GCP Red Team Expert (GRTE)

HackTricksをサポート

• 購読プランをチェックしてください！

• 💬 Discordグループに参加するか、telegramグループに参加するか、またはTwitter 🐦 @hacktricks_liveをフォローしてください。

• HackTricksとHackTricks CloudのgithubリポジトリにPRを提出してハッキングトリックを共有してください。

なぜクッキーを使用するのか？

ブラウザのクッキーは、認証およびMFAをバイパスするための優れたメカニズムです。ユーザーがアプリケーションで認証済みであるため、セッションクッキーを使用して、再認証する必要なくそのユーザーとしてデータにアクセスできます。

ブラウザのクッキーがどこにあるかは次の場所で確認できます：

Browser ArtifactsHackTricks

攻撃

難しい部分は、これらのクッキーがユーザーに対してMicrosoft Data Protection API (DPAPI)を使用して暗号化されていることです。これは、クッキーが属するユーザーに関連する暗号鍵を使用して暗号化されています。これについての詳細は次で確認できます：

DPAPI - Extracting PasswordsHackTricks

手元にMimikatzがあると、このコマンドを使用して、ユーザーのクッキーを抽出することができます。

mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%\google\chrome\USERDA~1\default\cookies /unprotect" exit

Azureでは、ESTSAUTH、ESTSAUTHPERSISTENT、および**ESTSAUTHLIGHT**などの認証クッキーが重要です。これらは、ユーザーが最近Azureでアクティブだったため存在します。

単にlogin.microsoftonline.comに移動し、ESTSAUTHPERSISTENT（「サインインしたままにする」オプションによって生成される）または**ESTSAUTH**クッキーを追加するだけで、認証されます。

参考文献

• https://stealthbits.com/blog/bypassing-mfa-with-pass-the-cookie/