# Az - Pass the Cookie

{{#include ../../../banners/hacktricks-training.md}}

## Perché i Cookie?

I **cookie** del browser sono un ottimo meccanismo per **bypassare l'autenticazione e l'MFA**. Poiché l'utente si è già autenticato nell'applicazione, il **cookie** di sessione può essere utilizzato per **accedere ai dati** come quell'utente, senza bisogno di ri-autenticarsi.

Puoi vedere dove si trovano i **cookie del browser** in:

{{#ref}}
https://book.hacktricks.wiki/en/generic-methodologies-and-resources/basic-forensic-methodology/specific-software-file-type-tricks/browser-artifacts.html#google-chrome
{{#endref}}

## Attacco

La parte difficile è che quei **cookie sono crittografati** per l'**utente** tramite l'API di protezione dei dati di Microsoft (**DPAPI**). Questo è crittografato utilizzando [chiavi crittografiche legate all'utente](https://book.hacktricks.wiki/en/windows-hardening/windows-local-privilege-escalation/dpapi-extracting-passwords.html) a cui appartengono i cookie. Puoi trovare ulteriori informazioni su questo in:

{{#ref}}
https://book.hacktricks.wiki/en/windows-hardening/windows-local-privilege-escalation/dpapi-extracting-passwords.html
{{#endref}}

Con Mimikatz in mano, sono in grado di **estrarre i cookie di un utente** anche se sono crittografati con questo comando:
```bash
mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%\google\chrome\USERDA~1\default\cookies /unprotect" exit
```
Per Azure, ci interessano i cookie di autenticazione tra cui **`ESTSAUTH`**, **`ESTSAUTHPERSISTENT`** e **`ESTSAUTHLIGHT`**. Questi sono presenti perché l'utente è stato attivo su Azure di recente.

Basta navigare su login.microsoftonline.com e aggiungere il cookie **`ESTSAUTHPERSISTENT`** (generato dall'opzione “Rimani connesso”) o **`ESTSAUTH`**. E sarai autenticato.

## Riferimenti

- [https://stealthbits.com/blog/bypassing-mfa-with-pass-the-cookie/](https://stealthbits.com/blog/bypassing-mfa-with-pass-the-cookie/)

{{#include ../../../banners/hacktricks-training.md}}
