Forwarded from SHADOW:Group
На сайтах, где идентификация идет по Email и есть возможность войти через Microsoft OAuth есть риск захвата аккаунта.
Дело в том, что Azure не проверяет установленную в аккаунте почту, что позволяет вам указать почту жертвы и войти на уязвимый сайт через OAUTH от ее имени.
- Жертва регается на сайте через свою почту.
- Заходим в Azure AD и меняем свою почту на почту жертвы.
- Заходим на сайт через Microsoft OAuth и получаем доступ к аккаунту жертвы.
Видео PoC
#web #ato #oauth
Please open Telegram to view this post
VIEW IN TELEGRAM
YouTube
nOAuth | OAuth Implementation Flaw Affecting Azure AD OAuth Applications
nOAuth is an authentication implementation flaw that can affect Microsoft Azure AD multi-tenant OAuth applications. This demo video explains how the misconfiguration can lead to full account takeover and how to prevent it.
This blog on nOAuth has more details:…
This blog on nOAuth has more details:…
👍14❤3🤯2
• Как то я пропустил новость о том, что ИИ-помощник Copilot от Microsoft выдавал любому желающему скрипты MAS (Microsoft Activation Scripts) для бесплатной активации Windows 7-11 и приложений Office. Достаточно было попросить ИИ о помощи с активацией и вам предоставлялась подробная инструкция со всей необходимой информацией и серийным номером. Метод по итогу пофиксили, но интересно совсем другое.
• MAS, проект которого опубликован на GitHub, не банится Microsoft. Ну т.е. Microsoft вообще плевать на пиратство, хотя MAS используют миллионы людей. Вероятно, что ответ такого безразличия кроется в сообщении бывшего сотрудника Microsoft под ником Barnacules Nerdgasm, который ранее писал, что пиратство Windows 11 американскую компанию особо не волнует, так как сами пользователи и есть продукт. Кто бы сомневался, собирая и сливая столько телеметрии.
• Ну и самое крутое: сегодня MAS обновился (подробнее на скриншоте), дательное описание можно почитать на GitHub, который принадлежит Microsoft 😁
➡️ https://github.com/massgravel/MAS
#Разное #Новости #MAS #Microsoft
• MAS, проект которого опубликован на GitHub, не банится Microsoft. Ну т.е. Microsoft вообще плевать на пиратство, хотя MAS используют миллионы людей. Вероятно, что ответ такого безразличия кроется в сообщении бывшего сотрудника Microsoft под ником Barnacules Nerdgasm, который ранее писал, что пиратство Windows 11 американскую компанию особо не волнует, так как сами пользователи и есть продукт. Кто бы сомневался, собирая и сливая столько телеметрии.
• Ну и самое крутое: сегодня MAS обновился (подробнее на скриншоте), дательное описание можно почитать на GitHub
#Разное #Новости #MAS #Microsoft
Please open Telegram to view this post
VIEW IN TELEGRAM
👍42 23❤8🔥7🤡2