Az - Persistence
부정한 동의 부여
기본적으로 모든 사용자는 Azure AD에서 응용 프로그램을 등록할 수 있습니다. 따라서 특정 테넌트를 위한 응용 프로그램을 등록할 수 있습니다. 이 응용 프로그램은 관리자 동의(관리자인 경우 승인)가 필요한 고영향 권한(사용자 대신 메일 보내기, 역할 관리 등)을 필요로 합니다. 이를 통해 피싱 공격을 실행할 수 있으며, 성공할 경우 매우 효과적일 것입니다.
또한 응용 프로그램을 자신의 사용자로 수락하여 액세스를 유지할 수도 있습니다.
응용 프로그램 및 서비스 주체
응용 프로그램 관리자, GA 또는 microsoft.directory/applications/credentials/update 권한을 가진 사용자 지정 역할을 사용하여 기존 응용 프로그램에 자격 증명(비밀 또는 인증서)을 추가할 수 있습니다.
높은 권한을 가진 응용 프로그램을 대상으로하거나 높은 권한을 가진 새 응용 프로그램을 추가할 수 있습니다.
응용 프로그램에 추가할 수 있는 흥미로운 역할 중 하나는 특권 인증 관리자 역할입니다. 이 역할은 글로벌 관리자의 비밀번호를 재설정할 수 있도록 합니다.
이 기술은 또한 MFA 우회를 허용합니다.
인증서 기반 인증
연합 - 토큰 서명 인증서
온프레미스 AD에서 DA 권한을 가지고 있다면 매우 오랜 유효 기간을 가진 새로운 토큰 서명 및 토큰 해독 인증서를 생성하고 가져올 수 있습니다. 이를 통해 우리는 우리가 알고 있는 ImuutableID를 가진 모든 사용자로 로그인할 수 있습니다.
다음 명령을 ADFS 서버에서 DA로 실행하여 새로운 인증서를 생성하고(default password 'AADInternals'), ADFS에 추가하고 자동 롤오버를 비활성화하고 서비스를 다시 시작하십시오:
그럼, Azure AD와 인증서 정보를 업데이트하세요:
연합 - 신뢰하는 도메인
GA 권한이 있는 테넌트에서는 새 도메인을 추가할 수 있으며(검증되어야 함), 해당 도메인의 인증 유형을 연합으로 구성하고 도메인을 특정 인증서(아래 명령어의 any.sts) 및 발급자를 신뢰하도록 구성할 수 있습니다:
참고 자료
Last updated