# Hibridni identitet Različiti napadi

{{#include ../../../../banners/hacktricks-training.md}}


## Prisiljavanje sinhronizacije Entra ID korisnika sa on-prem

Kao što je pomenuto u [https://www.youtube.com/watch?v=JEIR5oGCwdg](https://www.youtube.com/watch?v=JEIR5oGCwdg), bilo je moguće promeniti vrednost **`ProxyAddress`** unutar AD korisnika u on-prem AD dodajući email Entra ID admin korisnika i takođe osigurati da se UPN korisnika u AD i u Entra ID poklapaju (ovo je ponovo Entra ID), kao **`SMTP:admin@domain.onmicrosoft.com`**. I ovo bi **prisililo sinhronizaciju ovog korisnika** iz Entra ID u on-prem AD, tako da ako je lozinka korisnika bila poznata, mogla bi se koristiti za **pristup adminu korišćenom u Entra ID.**

Da bi se sinhronizovao novi korisnik iz Entra ID u on-prem AD, zahtevi su sledeći:

- Kontrolisati atribute korisnika u on-prem AD (ili imati dozvole za kreiranje novih korisnika)
- Poznavati korisnika koji je samo u cloudu da bi se sinhronizovao iz Entra ID u on-prem AD
- Takođe, možda će biti potrebno promeniti immutableID atribut sa Entra ID korisnika na on-prem AD korisnika da bi se uradio **hard match**.


> [!CAUTION]
> Entra ID više ne dozvoljava sinhronizaciju admina iz Entra ID u on-prem AD.
> Takođe, ovo **neće zaobići MFA**.



## Reference

- [https://www.youtube.com/watch?v=JEIR5oGCwdg](https://www.youtube.com/watch?v=JEIR5oGCwdg)
- [https://activedirectorypro.com/sync-on-prem-ad-with-existing-azure-ad-users/](https://activedirectorypro.com/sync-on-prem-ad-with-existing-azure-ad-users/)
- [https://www.orbid365.be/manually-match-on-premise-ad-user-to-existing-office365-user/](https://www.orbid365.be/manually-match-on-premise-ad-user-to-existing-office365-user/)

{{#include ../../../../banners/hacktricks-training.md}}
