Az - Pass the Cookie

Вивчайте хакінг AWS від нуля до героя з htARTE (HackTricks AWS Red Team Expert)!

Інші способи підтримки HackTricks:

• Якщо ви хочете побачити рекламу вашої компанії на HackTricks або завантажити HackTricks у форматі PDF, перевірте ПЛАНИ ПІДПИСКИ!

• Отримайте офіційний PEASS & HackTricks мерч

• Відкрийте для себе Сім'ю PEASS, нашу колекцію ексклюзивних NFT

• Приєднуйтесь до 💬 групи Discord або групи telegram або слідкуйте за нами на Twitter 🐦 @hacktricks_live.

• Поділіться своїми хакерськими трюками, надсилайте PR до HackTricks і HackTricks Cloud репозиторіїв на GitHub.

Чому куки?

Куки браузера - це великий механізм для обхідної аутентифікації та MFA. Оскільки користувач вже пройшов аутентифікацію в додатку, сеансовий кукі може бути використаний для доступу до даних як цей користувач, без необхідності повторної аутентифікації.

Ви можете побачити, де знаходяться куки браузера:

Browser ArtifactsHackTricks

Атака

Складність полягає в тому, що ці куки зашифровані для користувача за допомогою API захисту даних Microsoft (DPAPI). Це зашифровано за допомогою криптографічних ключів, пов'язаних з користувачем, до якого належать куки. Додаткову інформацію можна знайти за посиланням:

DPAPI - Extracting PasswordsHackTricks

З Mimikatz у руках я можу витягти куки користувача, навіть якщо вони зашифровані за допомогою цієї команди:

mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%\google\chrome\USERDA~1\default\cookies /unprotect" exit

Для Azure нам важливі аутентифікаційні файли cookie, включаючи ESTSAUTH, ESTSAUTHPERSISTENT та ESTSAUTHLIGHT. Вони там, оскільки користувач нещодавно був активним на Azure.

Просто перейдіть на login.microsoftonline.com та додайте файли cookie ESTSAUTHPERSISTENT (створені за допомогою опції "Залишатися увімкненим") або ESTSAUTH. І ви будете автентифіковані.

Посилання

• https://stealthbits.com/blog/bypassing-mfa-with-pass-the-cookie/