绕过Windows版Okta多因素认证凭证提供程序

发布日期：2023年2月16日

需要提前说明的是，这是一项后渗透技术，主要适用于已通过其他方式获取系统管理员权限后，希望在不触发MFA的情况下进行RDP连接的场景。

技术背景

Okta MFA凭证提供程序通过多因素认证强化远程桌面协议(RDP)的安全验证。启用该功能后，访问已加入域的Windows工作站和服务器时，RDP客户端会强制要求MFA验证。

（参考：Okta官方文档）

与Duo方案的差异

本技术与作者此前发布的《绕过Duo双因素认证》方法类似，但存在关键差异：

1. Okta默认不启用"故障开放"（fail open）模式
2. 默认配置不限于RDP场景，因此控制台绕过成功率较低

技术实现

在已获取管理员权限的shell中，可通过以下步骤禁用MFA验证：

1. 定位配置文件路径： C:\Program Files\Okta\Okta Windows Credential Provider\config\rdp_app_config.json

2. 修改两个关键参数：

   • 将InternetFailOpenOption值改为true
   • 将Url值修改为无效地址

完成上述修改后，RDP连接将不再触发Okta MFA验证。

注意事项

虽然管理员权限可以直接卸载软件，但修改配置文件是最隐蔽的持久化方法。操作完成后可随时恢复原配置。