Az - Lateral Movement (Cloud - On-Prem)

Reading time: 5 minutes

Az - Lateral Movement (Cloud - On-Prem)

On-Prem मशीनें जो क्लाउड से जुड़ी हैं

क्लाउड से जुड़ने के विभिन्न तरीके हैं:

Azure AD से जुड़ी

Workplace से जुड़ी

Hybrid से जुड़ी

AADJ या Hybrid पर Workplace से जुड़ी

Tokens और सीमाएँ

Azure AD में, विभिन्न प्रकार के टोकन होते हैं जिनकी विशिष्ट सीमाएँ होती हैं:

• Access tokens: APIs और Microsoft Graph जैसी संसाधनों तक पहुँचने के लिए उपयोग किए जाते हैं। ये एक विशिष्ट क्लाइंट और संसाधन से जुड़े होते हैं।
• Refresh tokens: नए access tokens प्राप्त करने के लिए अनुप्रयोगों को जारी किए जाते हैं। इन्हें केवल उसी अनुप्रयोग द्वारा या अनुप्रयोगों के समूह द्वारा उपयोग किया जा सकता है जिनके लिए इन्हें जारी किया गया था।
• Primary Refresh Tokens (PRT): Azure AD से जुड़े, पंजीकृत, या हाइब्रिड जुड़े उपकरणों पर सिंगल साइन-ऑन के लिए उपयोग किए जाते हैं। इन्हें ब्राउज़र साइन-इन प्रवाह में और उपकरण पर मोबाइल और डेस्कटॉप अनुप्रयोगों में साइन इन करने के लिए उपयोग किया जा सकता है।
• Windows Hello for Business keys (WHFB): पासवर्ड रहित प्रमाणीकरण के लिए उपयोग किए जाते हैं। इसका उपयोग Primary Refresh Tokens प्राप्त करने के लिए किया जाता है।

टोकन का सबसे दिलचस्प प्रकार Primary Refresh Token (PRT) है।

Az - Primary Refresh Token (PRT)

Pivoting Techniques

समझौता की गई मशीन से क्लाउड तक:

• Pass the Cookie: ब्राउज़र से Azure कुकीज़ चुराना और उनका उपयोग करके लॉगिन करना
• Dump processes access tokens: क्लाउड के साथ समन्वयित स्थानीय प्रक्रियाओं की मेमोरी को डंप करना (जैसे excel, Teams...) और स्पष्ट पाठ में access tokens खोजना।
• Phishing Primary Refresh Token: PRT को धोखा देकर इसका दुरुपयोग करना
• Pass the PRT: Azure तक पहुँचने के लिए डिवाइस PRT चुराना।
• Pass the Certificate: एक मशीन से दूसरी मशीन पर लॉगिन करने के लिए PRT के आधार पर एक प्रमाणपत्र उत्पन्न करना

AD से समझौता करने से लेकर क्लाउड तक और क्लाउड से AD तक समझौता करने:

• Azure AD Connect
• क्लाउड से ऑन-प्रेम पर पिवट करने का एक और तरीका Intune का दुरुपयोग करना

Roadtx

यह उपकरण कई कार्य करने की अनुमति देता है जैसे Azure AD में एक मशीन को पंजीकृत करना ताकि PRT प्राप्त किया जा सके, और विभिन्न तरीकों से संसाधनों तक पहुँचने के लिए PRTs (वैध या चुराए गए) का उपयोग करना। ये सीधे हमले नहीं हैं, लेकिन यह विभिन्न तरीकों से संसाधनों तक पहुँचने के लिए PRTs के उपयोग को सुविधाजनक बनाता है। अधिक जानकारी के लिए देखें https://dirkjanm.io/introducing-roadtools-token-exchange-roadtx/

References

• https://dirkjanm.io/phishing-for-microsoft-entra-primary-refresh-tokens/