Az - Lateral Movement (Cloud - On-Prem)
Az - Lateral Movement (Cloud - On-Prem)
Maszyny On-Prem połączone z chmurą
Istnieją różne sposoby, w jakie maszyna może być połączona z chmurą:
Dołączone do Azure AD
Dołączone do Workplace
Dołączone w trybie hybrydowym
Dołączone do Workplace w AADJ lub Hybrydowo
Tokeny i ograniczenia
W Azure AD istnieją różne typy tokenów z określonymi ograniczeniami:
Tokeny dostępu: Używane do uzyskiwania dostępu do API i zasobów, takich jak Microsoft Graph. Są powiązane z określonym klientem i zasobem.
Tokeny odświeżania: Wydawane aplikacjom w celu uzyskania nowych tokenów dostępu. Mogą być używane tylko przez aplikację, dla której zostały wydane, lub grupę aplikacji.
Główne tokeny odświeżania (PRT): Używane do jednolitych logowań na urządzeniach dołączonych do Azure AD, zarejestrowanych lub dołączonych w trybie hybrydowym. Mogą być używane w procesach logowania w przeglądarkach oraz do logowania się do aplikacji mobilnych i desktopowych na urządzeniu.
Klucze Windows Hello for Business (WHFB): Używane do uwierzytelniania bezhasłowego. Służą do uzyskiwania głównych tokenów odświeżania.
Najciekawszym typem tokenu jest główny token odświeżania (PRT).
Az - Primary Refresh Token (PRT)Techniki pivotowania
Z skompromitowanej maszyny do chmury:
Pass the Cookie: Kradnij ciasteczka Azure z przeglądarki i używaj ich do logowania
Dump processes access tokens: Zrzucaj pamięć lokalnych procesów zsynchronizowanych z chmurą (jak excel, Teams...) i znajdź tokeny dostępu w postaci czystego tekstu.
Phishing Primary Refresh Token: Phishinguj PRT, aby go nadużyć
Pass the PRT: Kradnij PRT urządzenia, aby uzyskać dostęp do Azure, podszywając się pod nie.
Pass the Certificate: Generuj certyfikat na podstawie PRT, aby zalogować się z jednej maszyny na drugą
Z kompromitacji AD do kompromitacji Chmury i z kompromitacji Chmury do kompromitacji AD:
Inny sposób na pivotowanie z chmury do On-Prem to nadużywanie Intune
To narzędzie pozwala na wykonanie kilku działań, takich jak rejestracja maszyny w Azure AD w celu uzyskania PRT oraz używanie PRT (legalnych lub skradzionych) do uzyskiwania dostępu do zasobów na różne sposoby. Nie są to bezpośrednie ataki, ale ułatwia to użycie PRT do uzyskiwania dostępu do zasobów na różne sposoby. Więcej informacji znajdziesz na https://dirkjanm.io/introducing-roadtools-token-exchange-roadtx/
Referencje
Last updated
