# Az - Exchange Hybrid Impersonation (ACS Actor Tokens)

{{#include ../../../banners/hacktricks-training.md}}

## Basiese Inligting

In ouer Exchange Hybrid-ontwerpe kon die on-prem Exchange-implementering as dieselfde Entra-toepassingsidentiteit verifieer wat deur Exchange Online gebruik is. As 'n aanvaller die Exchange-bediener gekompromitteer het, die hybrid-sertifikaat se private sleutel uitgepluk het en 'n OAuth client-credentials-vloei uitgevoer het, kon hulle first-party tokens bekom met Exchange Online-privilegie-konteks.

Die praktiese risiko het nie tot posbus-toegang beperk gebly nie. Omdat Exchange Online wye back-end vertrouensverhoudings gehad het, kon hierdie identiteit met addisionele Microsoft 365-dienste interakteer en, in ouer gedrag, benut word vir dieper tenant-kompromittering.

## Aanvalspaaie en Tegniese Vloei

### Wysig Federasiekonfigurasie via Exchange

Exchange-tokens het histories toestemmings gehad om domein-/federasie-instellings te skryf. Vanaf 'n aanvallersperspektief het dit direkte manipulering van gefedereerde domeinvertrouensdata moontlik gemaak, insluitend token-signing-sertifikaatlyste en konfigurasievlagte wat MFA-claim-aanvaarding vanaf on-prem federasie-infrastruktuur beheer het.

Dit beteken 'n gekompromitteerde Exchange Hybrid-bediener kon gebruik word om ADFS-styl identiteitsnabootsing te plaas of te versterk deur federasie-konfigurasie vanaf die wolk te verander, selfs wanneer die aanvaller slegs vanaf on-prem Exchange-kompromittering begin het.

### ACS Actor Tokens en Diens-tot-Diens Identiteitsnabootsing

Exchange se hybride auth-pad het Access Control Service (ACS) actor tokens gebruik met `trustedfordelegation=true`. Daardie actor-tokens is toe ingebed in 'n tweede, ongetekende service-token wat die teiken-gebruikeridentiteit in 'n aanvallerbeheerde gedeelte gedra het. Omdat die buitenste token ongeteken was en die actor-token wyd gedelegeer het, kon die aanroeper teiken-gebruikers ruil sonder om weer te verifieer.

In praktyk, sodra die actor-token verkry is, het die aanvaller 'n langlewende impersonasie-primitive gehad (tipies ongeveer 24 uur) wat moeilik was om mid-lewe te herroep. Dit het gebruikersimpersonasie oor Exchange Online en SharePoint/OneDrive APIs moontlik gemaak, insluitend eksfiltrasie van hoë-waarde data.

Histories het dieselfde patroon ook teen `graph.windows.net` gewerk deur 'n impersonasie-token te bou met die slagoffer se `netId`-waarde. Dit het direkte Entra-administratiewe aksie as ewekansige gebruikers toegelaat en volledige-tenant oorname-workflows (byvoorbeeld die skep van 'n nuwe Global Administrator-rekening) moontlik gemaak.

## Wat Nie Meer Werk Nie

Die `graph.windows.net`-impersonasiepad via Exchange Hybrid actor-tokens is reggestel. Die ou "Exchange to arbitrary Entra admin over Graph" ketting moet as verwyder beskou word vir hierdie spesifieke token-roete.

Dit is die belangrikste korrigering om te noem wanneer die aanval gedokumenteer word: hou die Exchange/SharePoint-impersonasie-risiko apart van die nou-gepatchte Graph-impersonasie-eskalasie.

## Wat Nog Steeds Saakmaak in die Praktijk

As 'n organisasie steeds 'n ouer of onvolledige hybride konfigurasie met gedeelde vertroue en blootgestelde sertifikaatmateriaal loop, kan Exchange/SharePoint-impersonasie steeds ernstige gevolge hê. Die misbruikhoek van federasiekonfigurasie kan ook relevant bly, afhangende van tenant-opstelling en migrasietoestand.

Microsoft se langtermyn-mitigasie is om die on-prem en Exchange Online-identiteite te skei sodat die shared-service-principal trust-path nie meer bestaan nie. Omgewings wat daardie migrasie voltooi het, verminder hierdie aanvalsvlak aansienlik.

## Opsporingsnotas

Wanneer hierdie tegniek misbruik word, kan ouditgebeurtenisse identiteitsongelukke toon waar die user principal name ooreenstem met 'n geïmpersonifieerde gebruiker terwyl die vertoon-/bron-konteks na Exchange Online-aktiwiteit wys. Daardie gemengde identiteitspatroon is 'n hoë-waarde jagsein, hoewel verdedigers geldige Exchange-admin-werkvloei moet baselijn om vals positiewe te verminder.

## Verwysings

- https://www.youtube.com/watch?v=rzfAutv6sB8

{{#include ../../../banners/hacktricks-training.md}}
