Azure应用危险委托权限使用风险及低权限用户可利用权限问询

除诱骗高权限用户外的其他风险 #

• 权限长期遗留风险：用户给应用授权后，往往不会主动撤销权限，这些权限会长期保留。一旦应用本身被黑客攻陷，攻击者就能直接利用这些遗留权限访问用户的资源，哪怕用户早已不用这个应用。
• 批量权限滥用风险：如果应用存在代码漏洞或配置错误，攻击者拿下应用后，能批量调用所有授权用户的委托权限，波及范围可能覆盖整个组织内的所有授权用户，造成大规模数据泄露或资源篡改。
• 普通用户数据泄露：危险权限大多能访问敏感数据，比如邮箱、文件、个人信息。即便是普通用户授权，只要应用被恶意操控，该用户的所有敏感数据都会面临泄露风险，进而可能被用于后续的钓鱼、诈骗等攻击。
• 合规处罚风险：很多行业有严格的数据合规要求（如GDPR、HIPAA），未经过合理管控的危险权限应用，会直接违反数据访问规范，企业可能面临高额罚款或合规审查。

低权限用户可利用的危险委托权限 #

确实存在不少低权限用户授权后，能被攻击者利用的危险委托权限，常见的包括：

• Mail.Read：授权后可读取用户全部邮箱内容，攻击者能窃取内部邮件、密码重置邮件等敏感信息，甚至获取其他员工的联系方式用于钓鱼。
• Files.ReadWrite.All：允许读写用户有权访问的所有OneDrive/SharePoint文件，攻击者可篡改文件内容、窃取敏感文档，还能通过植入恶意文件传播病毒。
• User.ReadBasic.All：可读取组织内所有用户的基本信息（姓名、邮箱、部门等），攻击者能拿到完整的人员列表，精准发起定向钓鱼攻击。
• Calendars.ReadWrite：可读写用户日历，攻击者能添加恶意会议邀请，诱导用户点击链接下载恶意软件，或篡改重要日程造成业务混乱。

内容的提问来源于stack exchange，提问作者Adi Ml