UnOAuthorized：通过 Microsoft 应用程序实现权限提升

解析攻击者滥用 Azure OAuth 获取初始访问与持久化的三类手法，说明如何借助 Entra ID 登录日志与 JWT 字段识别，附 Wiz 遥测数据与可直接使用的 KQL 检测查询。

本文回顾 CVE-2025-39964：Linux 内核 AF_ALG 加密套接字中的竞态条件导致 scatterlist 越界访问，结合 usercopy 预言机制，普通用户可实现本地提权至 root，并能逃逸 Docker 容器控制宿主机。该漏洞自 2011 年左右即存在，经负责任披露并作为 Google kernelCTF 提交获得 113,337 美元奖励，发现时间早于同样基于 AF_ALG 的 Copy Fail。

Ubuntu Server 默认安装会将首个用户静默加入 lxd 组，而 lxd 组成员身份在设计上等同于 root。24.04 起虽不再预装 LXD，但预置的 lxd-installer socket（属主 root:lxd、权限 0660）允许任何 lxd 组用户免密安装 LXD，启动挂载宿主文件系统的特权容器，直接登上宿主机 root。每个环节都是文档化的预期行为，弱点在于不安全的默认组合。我们在 20.04、22.04、24.04 和 26.04 上完整验证了到 euid=0 的整条链，厂商审阅后选择不修复（有意的商业决策），并同意发表本研究。

NetSPI 发现通过 Nested App Authentication（BroCI）流程可绕过 Microsoft Entra 条件访问策略获取 Microsoft Graph API 访问令牌，主要作为钓鱼成功后的持久化手段；已上报 MSRC，微软定级为中危并已推送修复。

本文对 Google PageBreak 扫描器在真实环境中发现的具体漏洞进行了技术深度剖析。

Burp 的 DOM Invader 新增跨域泄漏检测：检查 web message 并标记携带 URL 机密发往其他源的配置错误，将 OAuth 凭据窃取类漏洞的挖掘自动化，附测试用例。