Az - Pass the Cookie

Reading time: 3 minutes

tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE) Apprenez et pratiquez le hacking Azure : HackTricks Training Azure Red Team Expert (AzRTE)

Soutenir HackTricks

Pourquoi les cookies ?

Les cookies de navigateur sont un excellent mécanisme pour contourner l'authentification et la MFA. Comme l'utilisateur s'est déjà authentifié dans l'application, le cookie de session peut simplement être utilisé pour accéder aux données en tant qu'utilisateur, sans avoir besoin de se ré-authentifier.

Vous pouvez voir où se trouvent les cookies de navigateur ici :

Browser Artifacts - HackTricks

Attaque

La partie difficile est que ces cookies sont chiffrés pour l'utilisateur via l'API de protection des données de Microsoft (DPAPI). Cela est chiffré en utilisant des clés cryptographiques liées à l'utilisateur auquel appartiennent les cookies. Vous pouvez trouver plus d'informations à ce sujet ici :

DPAPI - Extracting Passwords - HackTricks

Avec Mimikatz en main, je peux extraire les cookies d'un utilisateur même s'ils sont chiffrés avec cette commande :

bash
mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%\google\chrome\USERDA~1\default\cookies /unprotect" exit

Pour Azure, nous nous soucions des cookies d'authentification, y compris ESTSAUTH, ESTSAUTHPERSISTENT et ESTSAUTHLIGHT. Ceux-ci sont présents parce que l'utilisateur a été actif sur Azure récemment.

Il suffit de naviguer vers login.microsoftonline.com et d'ajouter le cookie ESTSAUTHPERSISTENT (généré par l'option “Rester connecté”) ou ESTSAUTH. Et vous serez authentifié.

Références

tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE) Apprenez et pratiquez le hacking Azure : HackTricks Training Azure Red Team Expert (AzRTE)

Soutenir HackTricks