T1550.001: 应用程序访问令牌

摘要

攻击者可能使用被盗的应用程序访问令牌绕过典型的身份验证过程，并访问远程系统上受限的账户、信息或服务。这些令牌通常从用户或服务处窃取，并用于代替登录凭据。 应用程序访问令牌用于代表用户或服务发出授权的 API 请求，通常用于访问云、基于容器的应用程序以及软件即服务（SaaS）中的资源。(Citation: Auth0 - Why You Should Always Use Access Tokens to Secure APIs Sept 2019) OAuth 是一种通常实现的框架，它向用户发放令牌以访问系统。这些框架被协同使用以验证用户并确定允许用户执行哪些操作。一旦建立了身份，令牌就允许授权操作，而无需传递用户的实际凭据。因此，令牌的泄露可能通过恶意应用程序授予攻击者访问其他站点资源的权限。(Citation: okta) 例如，对于基于云的电子邮件服务，一旦 OAuth 访问令牌被授予恶意应用程序，如果颁发了支持后台访问的 "refresh" 令牌，它可能潜在地获得对用户账户功能的长期访问权限。(Citation: Microsoft Identity Platform Access 2019) 有了 OAuth 访问令牌，攻击者可以使用用户授予的 REST API 执行诸如电子邮件搜索和联系人枚举之类的功能。(Citation: Staaldraad Phishing with OAuth 2017) 被盗的访问令牌可能被用作入侵其他服务的初始步骤。例如，如果令牌授予对受害者主邮箱的访问权限，攻击者可能能够通过触发忘记密码例程，将访问权限扩展到目标订阅的所有其他服务。在 AWS 和 GCP 环境中，攻击者可以触发对具有另一用户账户权限的短期访问令牌的请求。(Citation: Google Cloud Service Account Credentials)(Citation: AWS Temporary Security Credentials) 然后，攻击者可以使用此令牌请求数据或执行原始账户无法执行的操作。如果此功能的权限配置错误——例如，允许所有用户为特定账户请求令牌——攻击者可能能够获得对云账户的初始访问权限或提升其权限。(Citation: Rhino Security Labs Enumerating AWS Roles) 通过令牌进行直接 API 访问使第二身份验证因素失效，并且可能对诸如更改密码之类的直观对策免疫。例如，在 AWS 环境中，攻陷用户 AWS API 凭据的攻击者可能能够使用 `sts:GetFederationToken` API 调用创建联合用户会话，该会话将具有与原始用户相同的权限，但即使原始用户凭据被停用也可能持续存在。(Citation: Crowdstrike AWS User Federation Persistence) 此外，即使从服务提供商端来看，通过 API 渠道滥用访问也可能难以检测，因为该访问仍可能与合法工作流程高度一致。