Un invité B2B est une identité externe à laquelle on attribue un objet à l'intérieur du tenant cible. Les invités sont souvent trop peu restreints : ils peuvent énumérer les utilisateurs, les groupes et les applications, et dans les tenants permissifs atteindre des données et même escalader vers un accès équivalent à celui d'un membre. Un point d'ancrage invité est un moyen peu coûteux de pénétrer un tenant que vous ne possédez pas.
Énumérer en tant qu'invité#
# authenticated as a guest, enumerate the directory (default guest permissions often allow this)
az rest --method GET --url "https://graph.microsoft.com/v1.0/users?\$top=999"
az rest --method GET --url "https://graph.microsoft.com/v1.0/groups"
# roadrecon runs a full guest-scoped dump
roadrecon gather
Notes d'exploitation#
- Les permissions d'invité par défaut dans de nombreux tenants autorisent une lecture large des utilisateurs, groupes et applications, ce qui cartographie toute la surface d'attaque depuis l'extérieur.
- Les invités peuvent posséder des groupes et des applications ou y être ajoutés, ce qui ouvre des arêtes vers les groupes et les applications permettant d'escalader vers un accès de membre.
- L'invitation est à faible friction : une invitation acceptée plante l'objet invité ; la validation (redemption) peut parfois être devancée pour prendre le compte.
Outils#
- ROADtools (
roadrecon) : énumération de l'annuaire limitée au périmètre invité. - az cli / Graph.