Az - Lateral Movement (Cloud - On-Prem)
Az - 측면 이동 (클라우드 - 온프렘)
클라우드에 연결된 온프렘 머신
머신이 클라우드에 연결되는 다양한 방법이 있습니다:
Azure AD 가입
Workplace 가입
하이브리드 가입
AADJ 또는 하이브리드에서 Workplace 가입
토큰 및 제한
Azure AD에서는 특정 제한이 있는 다양한 유형의 토큰이 있습니다:
액세스 토큰: Microsoft Graph와 같은 API 및 리소스에 액세스하는 데 사용됩니다. 특정 클라이언트 및 리소스에 바인딩됩니다.
새로 고침 토큰: 응용 프로그램에 새로운 액세스 토큰을 얻기 위해 발급됩니다. 발급된 응용 프로그램이나 응용 프로그램 그룹에서만 사용할 수 있습니다.
기본 새로 고침 토큰 (PRT): Azure AD 가입, 등록 또는 하이브리드 가입 장치에서 단일 로그인에 사용됩니다. 브라우저 로그인 흐름 및 장치에서 모바일 및 데스크톱 응용 프로그램에 로그인하는 데 사용할 수 있습니다.
가장 흥미로운 유형의 토큰은 기본 새로 고침 토큰 (PRT)입니다.
pageAz - Primary Refresh Token (PRT)피벗 기법
감염된 머신에서 클라우드로:
쿠키 전달: 브라우저에서 Azure 쿠키를 도용하여 로그인에 사용
피싱 기본 새로 고침 토큰: PRT를 유인하여 남용
PRT 전달: 장치 PRT를 도용하여 Azure에 접근하여 가장하는 것
인증서 전달: PRT를 기반으로 인증서 생성하여 한 장치에서 다른 장치로 로그인
AD를 클라우드로, 클라우드를 AD로 감염시키는 방법:
온프렘에서 클라우드로 피벗하는 또 다른 방법은 Intune 남용
이 도구를 사용하면 Azure AD에서 기계를 등록하여 PRT를 얻고, PRT(합법적 또는 도난당한)를 사용하여 여러 가지 방법으로 리소스에 액세스할 수 있습니다. 이들은 직접적인 공격은 아니지만 PRT를 사용하여 다양한 방법으로 리소스에 액세스하는 것을 용이하게 합니다. 자세한 정보는 https://dirkjanm.io/introducing-roadtools-token-exchange-roadtx/에서 찾을 수 있습니다.
참고 자료
最終更新
