滥用 Entra ID 配置错误绕过 MFA

摘要

NetSPI 在一次外部评估中发现 Entra ID MFA 绕过手法：第三方 Duo MFA 的条件访问策略配置失当，攻击者可复用 SSO 令牌访问受 MFA 保护的内部应用，且不会触发用户移动端的验证提示。