大酷樂
  • 汽車
  • 理财
  • 軍事
  • 科技
  • 遊戲
  • 互聯網
  • 娛樂
  • 财經
  • 科學
  • 社會
  • 親子
  • 電影
  • 健康
  • 教育
  1. 首頁
  2. 互聯網

Cookie-Bite攻擊PoC使用Chrome擴展竊取會話令牌

2025-04-30 简体 HK SG TW

今天小編分享的互聯網經驗:Cookie-Bite攻擊PoC使用Chrome擴展竊取會話令牌,歡迎閱讀。

一種名為 "Cookie-Bite" 的概念驗證攻擊利用浏覽器擴展程式從 Azure Entra ID 中竊取浏覽器會話 Cookie,以繞過多因素身份驗證(MFA)保護,并保持對 Microsoft 365、Outlook 和 Teams 等雲服務的訪問。

此次攻擊由 Varonis 安全研究人員設計,他們分享了一種概念驗證(PoC)方法,涉及一個惡意的和一個合法的 Chrome 擴展程式。然而,竊取會話 cookie 并非新鮮事,因為信息竊取程式和中間人網絡釣魚攻擊通常都會将其作為目标。

雖然通過竊取 Cookie 來入侵賬戶并非新手段,但 "Cookie-Bite" 技術中惡意 Chrome 浏覽器擴展程式的使用因其隐秘性和持久性而值得關注。

Cookie 擴展攻擊

"Cookie-Bite" 攻擊由一個惡意的 Chrome 擴展程式構成,該擴展程式充當信息竊取器,專門針對 Azure Entra ID(微軟基于雲的身份和訪問管理(IAM)服務)中的 "ESTAUTH" 和 "ESTSAUTHPERSISTNT" 這兩個 Cookie。

ESTAUTH 是一個臨時會話令牌,表明用戶已通過身份驗證并完成了多因素身份驗證。它在浏覽器會話中有效,最長可達 24 小時,在應用程式關閉時過期。

ESTSAUTHPERSISTENT 是在用戶選擇 " 保持登錄狀态 " 或 Azure 應用 KMSI 策略時創建的會話 Cookie 的持久版本,其有效期最長可達 90 天。

應當注意的是,雖然此擴展程式是為針對微軟的會話 Cookie 而創建的,但它可以被修改以針對其他服務,包括谷歌、Okta 和 AWS 的 Cookie。

Varonis 的惡意 Chrome 擴展程式包含用于監控受害者登錄事件的邏輯,監聽與微軟登錄網址匹配的标籤頁更新。

當登錄發生時,它會讀取所有作用網域為 "login.microsoftonline.com" 的 Cookie,應用過濾以提取上述兩個令牌,并通過 Google 表單将 Cookie 的 JSON 數據洩露給攻擊者。

" 在将該擴展程式打包成 CRX 檔案并上傳至 VirusTotal 後,結果顯示目前沒有任何安全供應商将其檢測為惡意程式,"Varonis 警告稱。

Chrome 擴展竊取微軟會話 cookie

如果攻擊者可以訪問設備,他們可以部署一個 PowerShell 腳本,通過 Windows 任務調度程式運行,在每次啟動 Chrome 時使用開發者模式自動重新注入未籤名擴展。

PowerShell 攻擊中使用的例子

一旦 cookie 被盜,攻擊者就會将其注入浏覽器,就像其他被盜的 cookie 一樣。這可以通過合法的 Cookie-Editor Chrome 擴展等工具來實現,該擴展允許威脅行為者将被盜的 cookie 導入到他們的浏覽器 "login.microsoftonline.com" 下。

刷新頁面後,Azure 将攻擊者的會話視為完全經過身份驗證,繞過 MFA 并給予攻擊者與受害者相同的訪問級别。

注入偷來的   cookie

從那裡,攻擊者可以使用 Graph Explorer 枚舉用戶、角色和設備,發送消息或訪問 Microsoft Teams 上的聊天,并通過 Outlook Web 閱讀或下載電子郵件。

通過 TokenSmith、ROADtools 和 AADInternals 等工具,還可能進一步利用特權更新、橫向移動和未經授權的應用程式注冊。

Cookie-Bite 攻擊概述

微軟将研究人員在攻擊演示中的登錄嘗試标記為 "atRisk",因為他們使用了 VPN,因此監控異常登錄是防止這些攻擊的關鍵。

此外,建議實施條件訪問策略(CAP),以限制對特定 IP 範圍和設備的登錄。

關于 Chrome 擴展,建議執行 Chrome ADMX 策略,只允許預先批準的擴展運行,并完全阻止用戶從浏覽器的開發者模式。

熱門排行
  • 王治郅:楊瀚森主要的問題是速度 他的速度跟不上現代籃球的節奏 王治郅:楊瀚森主要的問題是速度 他的速度跟 郟君昊 | 2025-05-05
  • 貿易戰燒進電影院:特朗普拟重稅打擊外國電影 逼好萊塢等回美拍片 貿易戰燒進電影院:特朗普拟重稅打擊外國電影 習又夏 | 2025-05-05
  • 貸款追高炒黃金的人後悔了!有人一天虧掉6年工資,賣掉舍不得,不賣扛不住 貸款追高炒黃金的人後悔了!有人一天虧掉6年 寸飛蘭 | 2025-05-05
  • 手機電池突破8000mAh?矽碳技術的回旋镖:「折壽」換容量 手機電池突破8000mAh?矽碳技術的回旋镖:「折 衛青柏 | 2025-05-05
  • 貸款追高炒黃金的人後悔了!有人一天虧掉6年工資,賣掉舍不得,不賣扛不住 貸款追高炒黃金的人後悔了!有人一天虧掉6年 繁綺文 | 2025-05-05
  • 任天堂對Genki提起Switch 2商标侵權訴訟,後者回應稱将嚴肅對待 任天堂對Genki提起Switch 2商标侵權訴訟,後 郜萌運 | 2025-05-05
  • 哪吒汽車APP和官網恢復正常 知情人士:之前斷網因流量欠費 哪吒汽車APP和官網恢復正常 知情人士:之前斷 袁曼雁 | 2025-05-05
  • 極越汽車 CEO 夏一平名下青島/義烏兩家公司被列入經營異常 極越汽車 CEO 夏一平名下青島/義烏兩家公司 集玲琳 | 2025-05-05
  • 全國經濟第一大省明确,推動組建農商聯合銀行 全國經濟第一大省明确,推動組建農商聯合銀行 佼昌翰 | 2025-05-05
  • 桑保利:亞馬爾有配合意識&有點像梅西 姆巴佩更專注進球&更像C羅 桑保利:亞馬爾有配合意識&有點像梅西 姆巴佩 甄正浩 | 2025-05-05
  • 高露現身上海虹橋機場 黑色外套點綴亮色愛心裝飾俏皮亮眼 高露現身上海虹橋機場 黑色外套點綴亮色愛 惠惠君 | 2023-05-02
  • 《歧路旅人2》:向光而生 《歧路旅人2》:向光而生 衛青柏 | 2023-05-02
  • vivo X90S曝光:處理器更新為天玑9200+ 安卓最強芯 vivo X90S曝光:處理器更新為天玑9200+ 安卓最 袁曼雁 | 2023-05-05
  • “懶癌”發病率上升,定期體檢别忽視 “懶癌”發病率上升,定期體檢别忽視 幸聽楓 | 2023-05-02
  • 宋慧喬獲百想視後 韓素希發圖手動加愛心表情慶祝 宋慧喬獲百想視後 韓素希發圖手動加愛心表 賁芳蕤 | 2023-05-02
  • 曹操墓,裡面都有啥? 曹操墓,裡面都有啥? 衛青柏 | 2023-05-02
  • 十年了,他們終于要HE! 十年了,他們終于要HE! 惠惠君 | 2023-05-07
  • 中央部署經濟工作,釋放5大信号 中央部署經濟工作,釋放5大信号 郜萌運 | 2023-05-02
  • 高德上線手機彎道會車預警功能 高德上線手機彎道會車預警功能 習又夏 | 2023-05-02
  • 陳自瑤抱病為愛女做蛋糕慶生,王浩信點贊沒露面 陳自瑤抱病為愛女做蛋糕慶生,王浩信點贊沒露 賁芳蕤 | 2023-05-02
  • 等比例長大的童星,李蘭迪算一個 等比例長大的童星,李蘭迪算一個 郟君昊 | 2023-05-02
  • 這些被抓來做實驗的流浪狗,最終拯救了無數糖尿病人 這些被抓來做實驗的流浪狗,最終拯救了無數糖 集玲琳 | 2023-05-02
  • 高端國產車:軍車血統,目前電動車越野的“天花板”? 高端國產車:軍車血統,目前電動車越野的“天花 謝飛揚 | 2023-05-02
  • 《雲襄傳》終于抬上來啦,男O女A讓人好上頭! 《雲襄傳》終于抬上來啦,男O女A讓人好上頭! 集玲琳 | 2023-05-02
  • 21家A股遊戲公司2022年收入651億 今年“遊戲+AI”能否逆風翻盤? 21家A股遊戲公司2022年收入651億 今年“遊 衛青柏 | 2023-05-04
  • 與周立波夫婦鬧糾紛成老賴,唐爽被司法拘留15日 與周立波夫婦鬧糾紛成老賴,唐爽被司法拘留15 寸飛蘭 | 2023-05-05
  • 信用風險釋放趨緩,結構性風險需重點關注 ——2023年一季度債市信用風險回顧與下階段展望 信用風險釋放趨緩,結構性風險需重點關注 — 袁曼雁 | 2023-05-02
  • 普京籤署總統令,批準對俄刑法典相關法條的修正案 普京籤署總統令,批準對俄刑法典相關法條的修 集玲琳 | 2023-05-02
  • 解除資格!停止一切合作 解除資格!停止一切合作 佼昌翰 | 2023-05-02
  • 中銀證券給予南京銀行增持評級 中銀證券給予南京銀行增持評級 袁曼雁 | 2023-05-03
  • 3699起 聯想小新mini主機上架 13代酷睿标壓處理器 3699起 聯想小新mini主機上架 13代酷睿标壓 習又夏 | 2023-05-05
  • 前董事長被免,天山生物全面進入“中植系”時代?股價曾在一月内暴漲超400% 前董事長被免,天山生物全面進入“中植系”時 惠惠君 | 2023-05-02
  • 瘋成這樣,怎麼還能被全網吹捧? 瘋成這樣,怎麼還能被全網吹捧? 郜萌運 | 2023-05-02
  • 狂吼11次“讓一下”!交警咆哮開道嘶吼到吐 狂吼11次“讓一下”!交警咆哮開道嘶吼到吐 寸飛蘭 | 2023-05-03
  • 摩根大通收購美國第一共和銀行 摩根大通收購美國第一共和銀行 謝飛揚 | 2023-05-02
  • 台劇赢麻了,又來一部8.9 台劇赢麻了,又來一部8.9 衛青柏 | 2023-05-02
  • 下降45分,上漲35分!34所自劃線院校復試分數線漲幅匯總 下降45分,上漲35分!34所自劃線院校復試分數線 袁曼雁 | 2023-05-07
  • 事關農村土地承包和農民權益,《農村土地承包合同管理辦法》5月1日起施行 事關農村土地承包和農民權益,《農村土地承包 郟君昊 | 2023-05-02
  • "三高"已盯上青少年,做好這件事是關鍵 "三高"已盯上青少年,做好這件事是關鍵 習又夏 | 2023-05-05
  • 五一檔沒一個能打的 五一檔沒一個能打的 集玲琳 | 2023-05-05
  • 恐怖韓劇下神壇,這次膽小可入 恐怖韓劇下神壇,這次膽小可入 袁曼雁 | 2023-05-05
  • 這劇是不是用ChatGPT寫的呀? 這劇是不是用ChatGPT寫的呀? 惠惠君 | 2023-05-02
  • 200戶連夜疏散,原因讓人憤怒!“損失超一億”,官方通報 200戶連夜疏散,原因讓人憤怒!“損失超一億”, 袁曼雁 | 2023-05-03
  • 性騷擾慣犯,滾出娛樂圈 性騷擾慣犯,滾出娛樂圈 謝飛揚 | 2023-05-05
  • 48歲何炅自曝已老花眼,黃磊睡前認老,《向往的生活》證實将停辦 48歲何炅自曝已老花眼,黃磊睡前認老,《向往的 佼昌翰 | 2023-05-02
  • 一個《長月燼明》倒了,《狐妖》《長相思》《與鳳行》…在路上了 一個《長月燼明》倒了,《狐妖》《長相思》《 惠惠君 | 2023-05-02
  • 張天愛假期曬“酷”存照 卷發披肩穿黑色吊帶裙大秀好身材 張天愛假期曬“酷”存照 卷發披肩穿黑色吊 嬴覓晴 | 2023-05-02
  • 當年輕人開始不随份子錢 當年輕人開始不随份子錢 袁曼雁 | 2023-05-02
  • 畢滢用8年時間成功逼宮?曾被傳已婚生子的她,不容小觑 畢滢用8年時間成功逼宮?曾被傳已婚生子的她, 幸聽楓 | 2023-05-03
  • 宋慧喬獲視後首次曬照,拿獎杯笑容溫柔 宋慧喬獲視後首次曬照,拿獎杯笑容溫柔 郜萌運 | 2023-05-02

©2022 大酷樂 版權所有

隱私政策 | 服務條款 | 聯繫我們