SPA ist für Single-Page-Missbrauch! - Verwendung von Single-Page Application Tokens zur Aufzählung von Azure

Microsoft Azure ist ein führender Cloud-Anbieter, der technologische Lösungen für verschiedene Organisationen anbietet. Single-Page-Anwendungen (SPAs) sind eine beliebte Methode, um Webanwendungen zu erstellen, die dynamisch eine aktuelle Webseite mit neuen Daten vom Webserver neu schreiben. Das Azure-Portal ist im Wesentlichen eine Webanwendungs-Oberfläche, die mit den Azure Graph-APIs kommuniziert. Eine Sicherheitsbewertung wurde für einen Kunden durchgeführt, der sich auf die Eskalation von Berechtigungen, die Verbesserung von Erkennungen und die Dokumentation von Angriffspfaden konzentrierte. Das Team stieß auf eine einstündige Gültigkeitsdauer für Zugriffstoken, was zur Entdeckung von Refresh-Tokens im Netzwerkverkehr führte. Durch die Verwendung des Refresh-Tokens und der Ursprungs-URL konnte das Team erfolgreich bei ROADTools authentifiziert werden und den Mandanten des Kunden aufzählen. Der Workflow umfasst die Inspektion des Netzwerkverkehrs nach Tokens, die Authentifizierung bei der Microsoft Graph-API, die Ausführung von Sammlungen und die Überprüfung der Informationen. Dieser Prozess kann auf verschiedene SPAs angewendet werden, einschließlich des Azure-Portals und der Microsoft Online Office-Anwendungen.