1

初始侦察与踩点

攻击者首先通过LinkedIn和GitHub锁定该集团IAM团队一名工程师，发现其个人仓库泄露了包含内网SCIM API测试端点的代码片段。随后，攻击者利用Shodan扫描互联网，确认该集团生产环境SCIM Base URL暴露，且未启用IP白名单。通过简单的GET请求，攻击者确认了API版本和认证方式为OAuth2客户端凭证模式。

2

凭证获取与API绕过

针对泄露的代码片段，攻击者尝试了多种默认口令和弱口令组合，最终利用工程师在代码注释中留下的临时client_secret成功获取了OAuth2令牌。通过分析API文档，发现 /Bulk 端点存在逻辑缺陷：当请求中插入超长
标签时，服务端对用户名的校验会被绕过，允许创建包含特殊字符和空格的管理员账号。

3

身份投毒与权限提升

攻击者利用获取的令牌调用 /Bulk 接口，通过精心构造的JSON payload，将目标账号（如域管账号）的邮件地址和手机号替换为攻击者控制的地址。同时，创建了名为"Helpdesk Admin"的隐藏账号，并赋予其全局管理员权限。整个操作在5分钟内完成，触发的SCIM同步事件被大量正常的人员变动信息淹没，未引起即时告警。

4

横向移动与数据窃取

通过投毒的域管账号，攻击者使用RDP和WinRM横向移动到核心文件服务器。利用Mimikatz的DCSync功能，抓取了域内所有用户的哈希，并解密了部分高权限账号的明文密码。最终，攻击者访问了位于SQL Server中的临床实验数据库，使用bcp工具批量导出了受试者个人信息和研发数据，总量约2TB。