# Az - Pass the Cookie

{{#include ../../../banners/hacktricks-training.md}}

## Zašto kolačići?

Browser **kolačići** su odličan mehanizam za **obići autentifikaciju i MFA**. Pošto je korisnik već autentifikovan u aplikaciji, sesijski **kolačić** se može koristiti za **pristup podacima** kao taj korisnik, bez potrebe za ponovnom autentifikacijom.

Možete videti gde se **browser kolačići nalaze** u:

{{#ref}}
https://book.hacktricks.wiki/en/generic-methodologies-and-resources/basic-forensic-methodology/specific-software-file-type-tricks/browser-artifacts.html#google-chrome
{{#endref}}

## Napad

Izazovan deo je to što su ti **kolačići enkriptovani** za **korisnika** putem Microsoft Data Protection API (**DPAPI**). Ovo je enkriptovano koristeći kriptografske [ključeve vezane za korisnika](https://book.hacktricks.wiki/en/windows-hardening/windows-local-privilege-escalation/dpapi-extracting-passwords.html) kojem kolačići pripadaju. Možete pronaći više informacija o ovome u:

{{#ref}}
https://book.hacktricks.wiki/en/windows-hardening/windows-local-privilege-escalation/dpapi-extracting-passwords.html
{{#endref}}

Sa Mimikatz u ruci, mogu **izvući korisničke kolačiće** čak iako su enkriptovani ovom komandom:
```bash
mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%\google\chrome\USERDA~1\default\cookies /unprotect" exit
```
Za Azure, brinemo se o autentifikacionim kolačićima uključujući **`ESTSAUTH`**, **`ESTSAUTHPERSISTENT`**, i **`ESTSAUTHLIGHT`**. Oni su tu jer je korisnik bio aktivan na Azure-u u poslednje vreme.

Jednostavno idite na login.microsoftonline.com i dodajte kolačić **`ESTSAUTHPERSISTENT`** (generisan opcijom “Stay Signed In”) ili **`ESTSAUTH`**. I bićete autentifikovani.

## References

- [https://stealthbits.com/blog/bypassing-mfa-with-pass-the-cookie/](https://stealthbits.com/blog/bypassing-mfa-with-pass-the-cookie/)

{{#include ../../../banners/hacktricks-training.md}}
