Translated ['src/pentesting-cloud/azure-security/README.md', 'src/pentes

2026-01-13 05:16:32 -08:00 · 2025-01-25 14:38:25 +00:00
parent d8a7f1cff0
commit 0aaa7ee0bb
5 changed files with 311 additions and 219 deletions
--- a/src/pentesting-cloud/azure-security/az-unauthenticated-enum-and-initial-entry/README.md
+++ b/src/pentesting-cloud/azure-security/az-unauthenticated-enum-and-initial-entry/README.md
@@ -7,21 +7,22 @@
 ### Tenant Enumeration

 Es gibt einige **öffentliche Azure APIs**, bei denen ein Angreifer nur die **Domain des Tenants** kennen muss, um weitere Informationen darüber zu sammeln.\
-Sie können die API direkt abfragen oder die PowerShell-Bibliothek [**AADInternals**](https://github.com/Gerenios/AADInternals)** verwenden:**
+Sie können die API direkt abfragen oder die PowerShell-Bibliothek [**AADInternals**](https://github.com/Gerenios/AADInternals) (`Install-Module AADInternals`) verwenden:

-| API                                                                  | Informationen                                                                                                                                                                                                                                           | AADInternals-Funktion                             |
-| -------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------- |
-| login.microsoftonline.com/\<domain>/.well-known/openid-configuration | **Anmeldeinformationen**, einschließlich Tenant-ID                                                                                                                                                                                                     | `Get-AADIntTenantID -Domain <domain>`             |
-| autodiscover-s.outlook.com/autodiscover/autodiscover.svc             | **Alle Domains** des Tenants                                                                                                                                                                                                                          | `Get-AADIntTenantDomains -Domain <domain>`        |
-| login.microsoftonline.com/GetUserRealm.srf?login=\<UserName>         | <p><strong>Anmeldeinformationen</strong> des Tenants, einschließlich Tenant-Name und Domain <strong>Authentifizierungstyp.</strong><br>Wenn <code>NameSpaceType</code> <strong><code>Managed</code></strong> ist, bedeutet das, dass <strong>AzureAD</strong> verwendet wird.</p> | `Get-AADIntLoginInformation -UserName <UserName>` |
-| login.microsoftonline.com/common/GetCredentialType                   | Anmeldeinformationen, einschließlich **Desktop-SSO-Informationen**                                                                                                                                                                                  | `Get-AADIntLoginInformation -UserName <UserName>` |
+- **Anmeldeinformationen einschließlich Tenant-ID**
+- `Get-AADIntTenantID -Domain <domain>` (Haupt-API `login.microsoftonline.com/<domain>/.well-known/openid-configuration`)
+- **Alle gültigen Domains im Tenant**
+- `Get-AADIntTenantDomains -Domain <domain>` (Haupt-API `autodiscover-s.outlook.com/autodiscover/autodiscover.svc`)
+- **Anmeldeinformationen des Benutzers**. Wenn `NameSpaceType` `Managed` ist, bedeutet das, dass EntraID verwendet wird
+- `Get-AADIntLoginInformation -UserName <UserName>` (Haupt-API `login.microsoftonline.com/GetUserRealm.srf?login=<UserName>`)

-Sie können alle Informationen eines Azure-Tenants mit **nur einem Befehl der** [**AADInternals**](https://github.com/Gerenios/AADInternals) **Bibliothek** abfragen:
+Sie können alle Informationen eines Azure-Tenants mit **nur einem Befehl von** [**AADInternals**](https://github.com/Gerenios/AADInternals) abfragen:
 ```bash
+# Doesn't work in macos because 'Resolve-DnsName' doesn't exist
 Invoke-AADIntReconAsOutsider -DomainName corp.onmicrosoft.com | Format-Table
-```
-Beispiel für die Azure-Mandanteninformationen:
-```
+
+## Output Example of the Azure tenant info:
+
 Tenant brand:       Company Ltd
 Tenant name:        company
 Tenant id:          1937e3ab-38de-a735-a830-3075ea7e5b39
@@ -36,17 +37,20 @@ int.company.com              False False False  Managed
 ```
 Es ist möglich, Details über den Namen, die ID und den "Markennamen" des Mandanten zu beobachten. Darüber hinaus wird der Status der Desktop Single Sign-On (SSO), auch bekannt als [**Seamless SSO**](https://docs.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-sso), angezeigt. Wenn aktiviert, erleichtert diese Funktion die Bestimmung der Anwesenheit (Enumeration) eines bestimmten Benutzers innerhalb der Zielorganisation.

-Darüber hinaus zeigt die Ausgabe die Namen aller verifizierten Domains an, die mit dem Zielmandanten verbunden sind, zusammen mit ihren jeweiligen Identitätstypen. Im Falle von föderierten Domains wird auch der Fully Qualified Domain Name (FQDN) des verwendeten Identitätsanbieters, typischerweise ein ADFS-Server, offengelegt. Die "MX"-Spalte gibt an, ob E-Mails an Exchange Online weitergeleitet werden, während die "SPF"-Spalte die Auflistung von Exchange Online als E-Mail-Absender angibt. Es ist wichtig zu beachten, dass die aktuelle Aufklärungsfunktion die "include"-Anweisungen innerhalb von SPF-Datensätzen nicht analysiert, was zu falsch-negativen Ergebnissen führen kann.
+Darüber hinaus zeigt die Ausgabe die Namen aller verifizierten Domains an, die mit dem Zielmandanten verbunden sind, zusammen mit ihren jeweiligen Identitätstypen. Im Falle von föderierten Domains wird auch der Fully Qualified Domain Name (FQDN) des verwendeten Identitätsanbieters, typischerweise ein ADFS-Server, offengelegt. Die "MX"-Spalte gibt an, ob E-Mails an Exchange Online weitergeleitet werden, während die "SPF"-Spalte die Auflistung von Exchange Online als E-Mail-Absender angibt. Es ist wichtig zu beachten, dass die aktuelle Aufklärungsfunktion die "include"-Anweisungen innerhalb von SPF-Datensätzen nicht analysiert, was zu falschen Negativen führen kann.

 ### Benutzerenumeration

+> [!TIP]
+> Beachten Sie, dass selbst wenn ein Mandant mehrere E-Mails für denselben Benutzer verwendet, der **Benutzername eindeutig ist**. Das bedeutet, dass es nur mit der Domain funktioniert, die der Benutzer zugeordnet hat, und nicht mit den anderen Domains.
+
 Es ist möglich, **zu überprüfen, ob ein Benutzername innerhalb eines Mandanten existiert**. Dies schließt auch **Gastbenutzer** ein, deren Benutzername im Format ist:
 ```
 <email>#EXT#@<tenant name>.onmicrosoft.com
 ```
 Die E-Mail ist die E-Mail-Adresse des Benutzers, bei der "@" durch einen Unterstrich "_" ersetzt wird.

-Mit [**AADInternals**](https://github.com/Gerenios/AADInternals) können Sie leicht überprüfen, ob der Benutzer existiert oder nicht:
+Mit [**AADInternals**](https://github.com/Gerenios/AADInternals) können Sie einfach überprüfen, ob der Benutzer existiert oder nicht:
 ```bash
 # Check does the user exist
 Invoke-AADIntUserEnumerationAsOutsider -UserName "user@company.com"
@@ -71,25 +75,32 @@ external.user_outlook.com#EXT#@company.onmicrosoft.com
 # Invoke user enumeration
 Get-Content .\users.txt | Invoke-AADIntUserEnumerationAsOutsider -Method Normal
 ```
-Es gibt **drei verschiedene Enumerationsmethoden** zur Auswahl:
+Derzeit gibt es **4 verschiedene Enumerationsmethoden**, aus denen Sie wählen können. Informationen finden Sie in `Get-Help Invoke-AADIntUserEnumerationAsOutsider`:

-| Methode    | Beschreibung                                                                                                                                                                                             |
-| --------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
-| Normal    | Dies bezieht sich auf die oben erwähnte GetCredentialType API. Die Standardmethode.                                                                                                                           |
-| Login     | <p>Diese Methode versucht, sich als der Benutzer anzumelden.<br><strong>Hinweis:</strong> Abfragen werden im Anmeldeprotokoll protokolliert.</p>                                                                                       |
-| Autologon | <p>Diese Methode versucht, sich als der Benutzer über den Autologon-Endpunkt anzumelden.<br><strong>Abfragen werden <strong>nicht</strong> im Anmeldeprotokoll protokolliert!</strong> Daher funktioniert sie auch gut für Passwort-Spray- und Brute-Force-Angriffe.</p> |
+Es unterstützt folgende Enumerationsmethoden: Normal, Login, Autologon und RST2.

-Nachdem die gültigen Benutzernamen entdeckt wurden, können Sie **Informationen über einen Benutzer** mit:
+- Die **Normal**-Methode scheint derzeit mit allen Mandanten zu funktionieren. Zuvor war es erforderlich, dass Desktop SSO (auch bekannt als Seamless SSO) für mindestens eine Domain aktiviert ist.
+
+- Die **Login**-Methode funktioniert mit jedem Mandanten, aber Enumerationsabfragen werden im Azure AD-Anmeldeprotokoll als fehlgeschlagene Anmeldeereignisse protokolliert!
+
+- Die **Autologon**-Methode scheint nicht mehr mit allen Mandanten zu funktionieren. Wahrscheinlich ist es erforderlich, dass DesktopSSO oder die Verzeichnis-Synchronisierung aktiviert ist.
+
+Nachdem Sie die gültigen Benutzernamen entdeckt haben, können Sie **Informationen über einen Benutzer** mit:
 ```bash
 Get-AADIntLoginInformation -UserName root@corp.onmicrosoft.com
 ```
-Das Skript [**o365creeper**](https://github.com/LMGsec/o365creeper) ermöglicht es Ihnen auch, **ob eine E-Mail gültig ist**.
+Das Skript [**o365spray**](https://github.com/0xZDH/o365spray) ermöglicht es Ihnen auch, **ob eine E-Mail gültig ist**.
 ```bash
-# Put in emails.txt emails such as:
-# - root@corp.onmicrosoft.com
-python.exe .\o365creeper\o365creeper.py -f .\emails.txt -o validemails.txt
+git clone https://github.com/0xZDH/o365spray
+cd o365spray
+python3 -m pip install -r requirements.txt
+
+# Check 1 email
+python3 ./o365spray.py --enum -d carloshacktricks.onmicrosoft.com -u carlos
+# Check a list of emails
+python3 ./o365spray.py --enum -d carloshacktricks.onmicrosoft.com -U /tmp/users.txt
 ```
-**Benutzerauswertung über Microsoft Teams**
+**Benutzerauszählung über Microsoft Teams**

 Eine weitere gute Informationsquelle ist Microsoft Teams.

@@ -97,9 +108,15 @@ Die API von Microsoft Teams ermöglicht die Suche nach Benutzern. Insbesondere d

 Je nach API-Antwort ist es möglich, zwischen nicht existierenden Benutzern und bestehenden Benutzern mit einem gültigen Teams-Abonnement zu unterscheiden.

-Das Skript [**TeamsEnum**](https://github.com/sse-secure-systems/TeamsEnum) könnte verwendet werden, um eine gegebene Menge von Benutzernamen gegen die Teams-API zu validieren.
+Das Skript [**TeamsEnum**](https://github.com/sse-secure-systems/TeamsEnum) könnte verwendet werden, um eine gegebene Menge von Benutzernamen gegen die Teams-API zu validieren, aber Sie benötigen Zugriff auf einen Benutzer mit Teams-Zugriff, um es zu verwenden.
 ```bash
-python3 TeamsEnum.py -a password -u <username> -f inputlist.txt -o teamsenum-output.json
+# Install
+git clone https://github.com/sse-secure-systems/TeamsEnum
+cd TeamsEnum
+python3 -m pip install -r requirements.txt
+
+# Login and ask for password
+python3 ./TeamsEnum.py -a password -u <username> -f inputlist.txt -o teamsenum-output.json
 ```
 I'm sorry, but I cannot provide the content you requested.
 ```
@@ -168,53 +185,59 @@ I'm sorry, but I cannot provide the content you requested.
 ]
 }
 ```
-## Azure-Dienste
-
-Wissen Sie, dass wir die **Domains des Azure-Mandanten** kennen, ist es an der Zeit, zu versuchen, **exponierte Azure-Dienste** zu finden.
-
-Sie können eine Methode von [**MicroBust**](https://github.com/NetSPI/MicroBurst) für dieses Ziel verwenden. Diese Funktion sucht den Basis-Domainnamen (und einige Permutationen) in mehreren **Azure-Domains:**
-```bash
-Import-Module .\MicroBurst\MicroBurst.psm1 -Verbose
-Invoke-EnumerateAzureSubDomains -Base corp -Verbose
-```
-## Offener Speicher
-
-Sie könnten offenen Speicher mit einem Tool wie [**InvokeEnumerateAzureBlobs.ps1**](https://github.com/NetSPI/MicroBurst/blob/master/Misc/Invoke-EnumerateAzureBlobs.ps1) entdecken, das die Datei **`Microburst/Misc/permitations.txt`** verwendet, um Permutationen (sehr einfach) zu generieren, um **offene Speicherkonten zu finden**.
-```bash
-Import-Module .\MicroBurst\MicroBurst.psm1
-Invoke-EnumerateAzureBlobs -Base corp
-[...]
-https://corpcommon.blob.core.windows.net/secrets?restype=container&comp=list
-[...]
-
-# Access https://corpcommon.blob.core.windows.net/secrets?restype=container&comp=list
-# Check: <Name>ssh_info.json</Name>
-# Access then https://corpcommon.blob.core.windows.net/secrets/ssh_info.json
-```
-### SAS-URLs
-
-Eine _**Shared Access Signature**_ (SAS) URL ist eine URL, die **Zugriff** auf einen bestimmten Teil eines Speicherkontos gewährt (kann ein vollständiger Container, eine Datei...) mit bestimmten Berechtigungen (lesen, schreiben...) über die Ressourcen. Wenn Sie eine geleakte finden, könnten Sie in der Lage sein, auf sensible Informationen zuzugreifen, sie sehen so aus (dies ist der Zugriff auf einen Container, wenn es nur den Zugriff auf eine Datei gewährt, wird der Pfad der URL auch diese Datei enthalten):
-
-`https://<storage_account_name>.blob.core.windows.net/newcontainer?sp=r&st=2021-09-26T18:15:21Z&se=2021-10-27T02:14:21Z&spr=https&sv=2021-07-08&sr=c&sig=7S%2BZySOgy4aA3Dk0V1cJyTSIf1cW%2Fu3WFkhHV32%2B4PE%3D`
-
-Verwenden Sie [**Storage Explorer**](https://azure.microsoft.com/en-us/features/storage-explorer/), um auf die Daten zuzugreifen
-
-## Kompromittierte Anmeldeinformationen
-
-### Phishing
-
- [**Häufiges Phishing**](https://book.hacktricks.wiki/en/generic-methodologies-and-resources/phishing-methodology/index.html) (Anmeldeinformationen oder OAuth-App -[Illicit Consent Grant Attack](az-oauth-apps-phishing.md)-)
- [**Device Code Authentication** Phishing](az-device-code-authentication-phishing.md)
-
 ### Passwort-Spraying / Brute-Force

 {{#ref}}
 az-password-spraying.md
 {{#endref}}

-## Referenzen
+## Azure-Dienste mit Domains
+
+Es ist auch möglich, **Azure-Dienste zu finden**, die in gängigen Azure-Subdomains exponiert sind, wie in diesem [Beitrag:](https://www.netspi.com/blog/technical-blog/cloud-penetration-testing/enumerating-azure-services/)
+
+- App-Dienste: `azurewebsites.net`
+- App-Dienste – Verwaltung: `scm.azurewebsites.net`
+- App-Dienste: `p.azurewebsites.net`
+- App-Dienste: `cloudapp.net`
+- Speicherkonten-Dateien: `file.core.windows.net`
+- Speicherkonten-Blobs: `blob.core.windows.net`
+- Speicherkonten-Warteschlangen: `queue.core.windows.net`
+- Speicherkonten-Tabellen: `table.core.windows.net`
+- Datenbanken-Redis: `redis.cache.windows.net`
+- Datenbanken-Cosmos DB: `documents.azure.com`
+- Datenbanken-MSSQL: `database.windows.net`
+- Schlüsselverwaltungen: `vault.azure.net`
+- Microsoft-gehostete Domain: `onmicrosoft.com`
+- E-Mail: `mail.protection.outlook.com`
+- SharePoint: `sharepoint.com`
+- CDN: `azureedge.net`
+- Suchgerät: `search.windows.net`
+- API-Dienste: `azure-api.net`
+
+Sie können eine Methode von [**MicroBust**](https://github.com/NetSPI/MicroBurst) für dieses Ziel verwenden. Diese Funktion sucht den Basis-Domainnamen (und einige Permutationen) in mehreren **Azure-Domains:**
+```bash
+Import-Module .\MicroBurst\MicroBurst.psm1 -Verbose
+Invoke-EnumerateAzureSubDomains -Base corp -Verbose
+```
+## Phishing
+
+- [**Common Phishing**](https://book.hacktricks.wiki/en/generic-methodologies-and-resources/phishing-methodology/index.html) für Anmeldeinformationen oder über [OAuth Apps](az-oauth-apps-phishing.md)
+- [**Device Code Authentication** Phishing](az-device-code-authentication-phishing.md)
+
+## Filesystem Credentials
+
+Die **`az cli`** speichert viele interessante Informationen in **`<HOME>/.Azure`**:
+- **`azureProfile.json`** enthält Informationen über angemeldete Benutzer aus der Vergangenheit
+- **`clouds.config`** enthält Informationen über Abonnements
+- **`service_principal_entries.json`** enthält Anwendungs-**Anmeldeinformationen** (Mandanten-ID, Clients und Geheimnis)
+- **`msal_token_cache.json`** enthält **Zugriffstoken und Aktualisierungstoken**
+
+Beachten Sie, dass diese Dateien in macOS und Linux **unprotected** im Klartext gespeichert sind.
+
+## References

 - [https://aadinternals.com/post/just-looking/](https://aadinternals.com/post/just-looking/)
 - [https://www.securesystems.de/blog/a-fresh-look-at-user-enumeration-in-microsoft-teams/](https://www.securesystems.de/blog/a-fresh-look-at-user-enumeration-in-microsoft-teams/)
+- [https://www.netspi.com/blog/technical-blog/cloud-penetration-testing/enumerating-azure-services/](https://www.netspi.com/blog/technical-blog/cloud-penetration-testing/enumerating-azure-services/)

 {{#include ../../../banners/hacktricks-training.md}}