SaaS 密码就像蟑螂

远程办公浪潮带动零信任与云 IAM（Azure AD、Okta）普及；Semperis 的 Sean Deuby 指出，无论采用 VPN 还是云应用代理，这些策略都依赖本地 Active Directory 的完整性——AD 仍是身份攻击的核心目标。

微软《Microsoft Password Guidance》白皮书基于 Azure AD 海量登录数据（日均超 1000 万次密码攻击），主张取消字符组合要求与强制定期改密、保留 8 位最小长度、封禁常见密码并推行风险驱动的 MFA。

将 Domain Admin 同步进 Entra ID 会让攻击者在攻陷本地 AD 后转向云端，并可通过密码回写反向渗透回本地。CIS 与 Microsoft 均建议特权管理员账号保持纯云（cloud-only）。

Microsoft 域的云认证分托管与联合两种：前者直连 Azure AD 验证，后者经 ADFS 回源内网域控。配套工具 Invoke-ExternalDomainBruteforce 可自动识别域类型并对 O365/ADFS 发起密码爆破。

作者听了会议上几场云渗透测试演讲后颇为失望：讲者反复强调共享基础设施的连带风险和获取云厂商授权的难度，并无新意。作者认为云环境渗透测试与传统测试没有本质区别——资产可能虚拟化或共享，但安全控制与测试方法基本一致。

应用接入 Azure AD 的 SCIM 自动开通后，直接信任云端同步的名字字段：first/last name 未做输出编码即写入页面，形成两处 XSS，其中一个还能外链 JS 弹出钓鱼登录框窃取凭据。