EntraGoat 场景 3:利用 Entra ID 中的组所有权

EntraGoat 场景 6：利用泄露的旧服务主体凭据与过宽应用角色，滥用基于证书的身份验证（CBA）上传恶意根证书，实现免密、符合 MFA 的 Global Admin 冒充与租户持久化。

EntraGoat 场景 2：从 CI/CD 产物泄露的证书切入，滥用应用专用 Graph 权限——自我授予 RoleManagement.ReadWrite.Directory，进而重置管理员密码、完全攻陷租户。

EntraGoat 快速上手指南：准备测试租户、Node.js 与 PowerShell 7 环境，克隆并启动实验室，进入首个挑战、拿下 flag 并完成清理；附两种场景部署方式。

Semperis 研究显示 Entra ID 应用权限可在授权边界之外操作，甚至将用户加入全局管理员。问题已上报 MSRC 并修复；文章说明如何检测此前的滥用与加固建议。

本文回顾 CVE-2025-39964：Linux 内核 AF_ALG 加密套接字中的竞态条件导致 scatterlist 越界访问，结合 usercopy 预言机制，普通用户可实现本地提权至 root，并能逃逸 Docker 容器控制宿主机。该漏洞自 2011 年左右即存在，经负责任披露并作为 Google kernelCTF 提交获得 113,337 美元奖励，发现时间早于同样基于 AF_ALG 的 Copy Fail。

Ubuntu Server 默认安装会将首个用户静默加入 lxd 组，而 lxd 组成员身份在设计上等同于 root。24.04 起虽不再预装 LXD，但预置的 lxd-installer socket（属主 root:lxd、权限 0660）允许任何 lxd 组用户免密安装 LXD，启动挂载宿主文件系统的特权容器，直接登上宿主机 root。每个环节都是文档化的预期行为，弱点在于不安全的默认组合。我们在 20.04、22.04、24.04 和 26.04 上完整验证了到 euid=0 的整条链，厂商审阅后选择不修复（有意的商业决策），并同意发表本研究。