okta-attack

该技能用于在已授权的红队评估中，针对以Okta作为身份提供商（IdP）的目标开展攻击链分析与验证。以下内容按用途、主要能力、使用方式、适用场景和限制分段说明。

一、用途与触发条件 当出现以下信号时可考虑使用：DNS显示<tenant>.okta.com或<tenant>.okta-emea.com（EMEA区域）；登录流程重定向到<tenant>.okta.com/login或/app/<app_id>/sso/saml；网页引用/signin/customize、oktapreview.com或auth-js-sdk；侦察记录显示“使用Okta做SSO”；目标TLS证书的SAN中包含*.okta.com；身份结构梳理显示企业应用的IdP为Okta。 不适用于：Entra ID（应改用m365-entra-attack）、Google Workspace（应改用google-workspace-attack，尚未构建）、ADFS（协议不同，属本地部署）。

二、主要能力

1. 租户发现：通过直接猜测租户子域（结合品牌名变体与okta、okta-emea、oktapreview区域），以及从DNS的CNAME记录（如sso、login、auth、okta子域）、从企业应用登录页HTTP重定向进行交叉验证。
2. 用户枚举：提供多种向量，包括/api/v1/authn差分错误、/api/v1/users/me/factors响应时间差、登录组件JS会话端点、基于组织特定用户名模式（如firstname.lastname、flastname、工号）的探测、OIDC /v1/authorize配合login_hint参数篡改。需注意Okta已对通过/api/v1/authn的直接用户存在性枚举进行加固，2024年后该端点不可靠，应逐次评估向量新鲜度（用已知存在与已知不存在的用户名做字节级与时间对比）。
3. 认证流程与因素枚举（应始终优先执行）：调用/api/v1/authn观察返回的factors列表，识别push、token:software:totp（TOTP）、sms、call、email、question（安全问题）、webauthn（FIDO）等。不同因素抗钓鱼能力差异显著：webauthn（FIDO2）抗钓鱼；安全问题极弱，易受KBA攻击；sms/call可被钓鱼（推送疲劳、SIM交换）；push可被MFA疲劳方式钓鱼；email在攻击者具备邮件读取权限时可被钓鱼；TOTP可经AiTM钓鱼。
4. 密码喷洒：遵循Okta特有的锁定纪律（Okta默认10次失败锁定，部分组织更严格为3次），建议每用户生命周期内不超过2次尝试，按用户记录于原子状态文件，遇首个有效命中或锁定率超阈值即停止。需关注的响应状态包括200 MFA_REQUIRED（密码有效）、200 SUCCESS（完整认证）、200 PASSWORD_EXPIRED、200 LOCKED_OUT、401 E0000004、401 E0000119、429限流。
5. OIDC redirect_uri篡改：读取.well-known/openid-configuration后，测试多种redirect_uri注入形式（攻击者域、子域欺骗、@符号、反斜杠、//、路径嵌套等），若返回302且Location含攻击者URL，则构成开放重定向，可用于授权码窃取链。
6. 逐应用SAML SP元数据检查：遍历已知应用ID，检查AuthnRequestsSigned=false、WantAssertionsSigned=false、NameIDFormat等配置，关联XSW等SAML攻击。
7. 凭据获取后的Okta管理API枚举：获取sessionToken后（管理端点需SSWS令牌），枚举/api/v1/users、groups、apps、logs（审计日志）等。

三、使用方式 技能提供具体curl命令与脚本片段，涵盖上述所有阶段。建议先执行认证流程分析以了解因素配置，再决定是否进行喷洒。所有枚举与测试应结合engagement范围，并注意Okta SOC仪表盘敏感，测试期间可能触发缓解措施。

四、适用场景 适用于授权红队评估中，目标企业以Okta作为SSO/IdP的场景，用于映射身份结构、评估攻击面、验证配置缺陷，并作为报告中的风险佐证。披露案例与CVE可作为报告引用与类案分析，包括：Okta+Sitel/Sykes LAPSUS$供应链事件（2022）、Okta客户支持HAR文件泄露（2023，134家客户暴露、5家会话被劫持）、Scattered Spider/Octo Tempest/UNC3944社会工程活动（2022-2024，CISA/FBI联合公告AA23-320A）、Okta跨源认证撞库（2024）、CVE-2024-0981 Okta AD/LDAP DelAuth bcrypt缓存键认证绕过（2024）。

五、限制与注意事项 不得使用Entra风格的喷洒节奏，Okta反自动化机制不同，限流触发更快；不得跳过因素枚举；不得假设MFA疲劳在范围内——其属社会工程，需显式授权方可执行；不得混淆*.oktapreview.com与生产环境，预览租户为非生产，发现定级不同。可验证的公开Okta专用攻击工具仅有OktaTerrify（github.com/silverhack/OktaTerrify，用于凭据获取后的设备信任/FastPass枚举），其他所谓okta-attacker/okta-toolkit工具无法验证，建议针对/api/v1/*自行构建脚本。2024年后不应依赖2022年前公开的过期枚举技术，每次评估需重新确认向量有效性。关联技能包括m365-entra-attack、hunt-oauth、hunt-saml、hunt-mfa-bypass、mid-engagement-ir-detection。

分类：该技能用途为针对身份提供商Okta开展红队攻击与安全验证，属于安全与审计范畴。