gitea-mirror/hacktricks-cloud
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks-cloud.git synced 2026-01-12 13:05:19 -08:00
Code Issues Packages Projects Releases Wiki Activity

Translated ['src/pentesting-cloud/azure-security/az-device-registration.

Browse Source
This commit is contained in:
Translator
2025-07-30 04:16:43 +00:00
parent 460e77a752
commit 8b1ddc09dc
1 changed files with 6 additions and 6 deletions
Download Patch File Download Diff File Expand all files Collapse all files

12
src/pentesting-cloud/azure-security/az-device-registration.md
View File

@@ -24,10 +24,10 @@ az-lateral-movement-cloud-on-prem/az-primary-refresh-token-prt.md
### TPM - Trusted Platform Module
El **TPM** **protege** contra la **extracción** de claves de un dispositivo apagado (si está protegido por PIN) y de la extracción del material privado de la capa del SO.\
El **TPM** **protege** contra la **extracción** de claves de un dispositivo apagado (si está protegido por PIN) y de la extracción del material privado de la capa del sistema operativo.\
Pero **no protege** contra el **sniffing** de la conexión física entre el TPM y la CPU o **el uso del material criptográfico** en el TPM mientras el sistema está en funcionamiento desde un proceso con derechos de **SYSTEM**.
Si revisas la siguiente página, verás que **robar el PRT** puede usarse para acceder como el **usuario**, lo cual es excelente porque el **PRT se encuentra en los dispositivos**, por lo que puede ser robado de ellos (o si no es robado, abusado para generar nuevas claves de firma):
Si revisas la siguiente página, verás que **robar el PRT** puede usarse para acceder como el **usuario**, lo cual es excelente porque el **PRT está ubicado en los dispositivos**, por lo que puede ser robado de ellos (o si no es robado, abusado para generar nuevas claves de firma):
{{#ref}}
az-lateral-movement-cloud-on-prem/az-primary-refresh-token-prt.md
@@ -47,7 +47,7 @@ roadrecon auth -r 01cb2876-7ebd-4aa4-9cc9-d28bd4d359a9 --prt-cookie <cookie>
# Custom pyhton script to register a device (check roadtx)
registerdevice.py
```
Lo que te dará un **certificado que puedes usar para solicitar PRTs en el futuro**. Por lo tanto, manteniendo la persistencia y **eludiendo MFA** porque el token PRT original utilizado para registrar el nuevo dispositivo **ya tenía permisos de MFA otorgados**.
Lo que te dará un **certificado que puedes usar para solicitar PRTs en el futuro**. Por lo tanto, manteniendo la persistencia y **eludiendo MFA** porque el token PRT original utilizado para registrar el nuevo dispositivo **ya tenía permisos de MFA concedidos**.
> [!TIP]
> Ten en cuenta que para realizar este ataque necesitarás permisos para **registrar nuevos dispositivos**. Además, registrar un dispositivo no significa que el dispositivo será **autorizado para inscribirse en Intune**.
@@ -57,7 +57,7 @@ Lo que te dará un **certificado que puedes usar para solicitar PRTs en el futur
## Sobrescribiendo un ticket de dispositivo
Era posible **solicitar un ticket de dispositivo**, **sobrescribir** el actual del dispositivo, y durante el flujo **robar el PRT** (por lo que no es necesario robarlo del TPM. Para más información [**consulta esta charla**](https://youtu.be/BduCn8cLV1A).
Era posible **solicitar un ticket de dispositivo**, **sobrescribir** el actual del dispositivo y durante el flujo **robar el PRT** (por lo que no es necesario robarlo del TPM. Para más información [**consulta esta charla**](https://youtu.be/BduCn8cLV1A).
<figure><img src="../../images/image (32).png" alt=""><figcaption></figcaption></figure>
@@ -70,7 +70,7 @@ Era posible **solicitar un ticket de dispositivo**, **sobrescribir** el actual d
Resumen del ataque:
- Es posible **sobrescribir** la **clave WHFB registrada** de un **dispositivo** a través de SSO
- Es posible **sobrescribir** la clave **WHFB registrada** de un **dispositivo** a través de SSO
- **Elude la protección TPM** ya que la clave es **capturada durante la generación** de la nueva clave
- Esto también proporciona **persistencia**
@@ -89,7 +89,7 @@ y luego PATCH la información del searchableDeviceKey:
Es posible obtener un token de acceso de un usuario a través de **device code phishing** y abusar de los pasos anteriores para **robar su acceso**. Para más información consulta:
{{#ref}}
az-lateral-movement-cloud-on-prem/az-phishing-primary-refresh-token-microsoft-entra.md
az-lateral-movement-cloud-on-prem/az-primary-refresh-token-prt.md
{{#endref}}
<figure><img src="../../images/image (37).png" alt=""><figcaption></figcaption></figure>