gitea-mirror/hacktricks-cloud
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks-cloud.git synced 2026-07-28 22:51:09 -07:00
Code Issues Packages Projects Releases Wiki Activity
Files
387cd7ef11c5642abdcde487241ee209aac9b0f4
hacktricks-cloud/src/pentesting-cloud/azure-security/az-enumeration-tools.md
T

32 KiB
Raw Blame History

Az - Інструменти перерахування

{{#include ../../banners/hacktricks-training.md}}

Встановлення PowerShell у linux

Tip

У linux вам потрібно встановити PowerShell Core:

sudo apt-get update
sudo apt-get install -y wget apt-transport-https software-properties-common

# Ubuntu 20.04
wget -q https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb

# Update repos
sudo apt-get update
sudo add-apt-repository universe

# Install & start powershell
sudo apt-get install -y powershell
pwsh

# Az cli
curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash

Встановлення PowerShell на MacOS

Інструкції з documentation:

  1. Встановіть brew, якщо він ще не встановлений:
/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
  1. Встановіть останню стабільну версію PowerShell:
brew install powershell/tap/powershell
  1. Запустіть PowerShell:
pwsh
  1. Оновлення:
brew update
brew upgrade powershell

Основні інструменти енумерації

az cli

Azure Command-Line Interface (CLI) — кросплатформний інструмент, написаний на Python, для керування та адміністрування (більшість) ресурсів Azure та Entra ID. Він підключається до Azure і виконує адміністративні команди через командний рядок або скрипти.

Перейдіть за цим посиланням для installation instructions¡.

Команди в Azure CLI структуровані за шаблоном: az <service> <action> <parameters>

Налагодження | MitM az cli

За допомогою параметра --debug можна побачити всі запити, які інструмент az надсилає:

az account management-group list --output table --debug

Щоб зробити MitM для інструмента та вручну check all the requests, які він надсилає, можна зробити так:

{{#tabs }} {{#tab name="Bash" }}

export ADAL_PYTHON_SSL_NO_VERIFY=1
export AZURE_CLI_DISABLE_CONNECTION_VERIFICATION=1
export HTTPS_PROXY="http://127.0.0.1:8080"
export HTTP_PROXY="http://127.0.0.1:8080"

# If this is not enough
# Download the certificate from Burp and convert it into .pem format
# And export the following env variable
openssl x509 -in ~/Downloads/cacert.der -inform DER -out ~/Downloads/cacert.pem -outform PEM
export REQUESTS_CA_BUNDLE=/Users/user/Downloads/cacert.pem

{{#endtab }}

{{#tab name="CMD" }}

set ADAL_PYTHON_SSL_NO_VERIFY=1
set AZURE_CLI_DISABLE_CONNECTION_VERIFICATION=1
set HTTPS_PROXY="http://127.0.0.1:8080"
set HTTP_PROXY="http://127.0.0.1:8080"

# If this is not enough
# Download the certificate from Burp and convert it into .pem format
# And export the following env variable
openssl x509 -in cacert.der -inform DER -out cacert.pem -outform PEM
set REQUESTS_CA_BUNDLE=C:\Users\user\Downloads\cacert.pem

{{#endtab }}

{{#tab name="PS" }}

$env:ADAL_PYTHON_SSL_NO_VERIFY=1
$env:AZURE_CLI_DISABLE_CONNECTION_VERIFICATION=1
$env:HTTPS_PROXY="http://127.0.0.1:8080"
$env:HTTP_PROXY="http://127.0.0.1:8080"

{{#endtab }} {{#endtabs }}

Виправлення “CA cert does not include key usage extension”

Чому виникає помилка

Коли Azure CLI автентифікується, він робить HTTPS-запити (через MSAL → Requests → OpenSSL). Якщо ви перехоплюєте TLS з допомогою Burp, Burp генерує «на льоту» сертифікати для сайтів типу login.microsoftonline.com і підписує їх своєю CA.

На новіших стекax (Python 3.13 + OpenSSL 3) валідація CA суворіша:

  • A CA certificate must include Basic Constraints: CA:TRUE and a Key Usage extension permitting certificate signing (keyCertSign, and typically cRLSign).

За замовчуванням CA Burp (PortSwigger CA) застаріла і зазвичай не має розширення Key Usage, тому OpenSSL відхиляє її навіть якщо ви її «доверяєте».

Це призводить до таких помилок:

  • CA cert does not include key usage extension
  • CERTIFICATE_VERIFY_FAILED
  • self-signed certificate in certificate chain

Отже, потрібно:

  1. Створити сучасну CA (з коректним Key Usage).
  2. Змусити Burp використовувати її для підпису перехоплених сертифікатів.
  3. Довірити цій CA в macOS.
  4. Вказати Azure CLI / Requests на цей CA bundle.

Пoетапно: робоча конфігурація

0) Попередні вимоги

  • Burp запущений локально (proxy на 127.0.0.1:8080)
  • Azure CLI встановлено (Homebrew)
  • Ви маєте права sudo (щоб довірити CA в системному keychain)

1) Create a standards-compliant Burp CA (PEM + KEY)

Create an OpenSSL config file that explicitly sets CA extensions:

mkdir -p ~/burp-ca && cd ~/burp-ca

cat > burp-ca.cnf <<'EOF'
[ req ]
default_bits       = 2048
prompt             = no
default_md         = sha256
distinguished_name = dn
x509_extensions    = v3_ca

[ dn ]
C  = US
O  = Burp Custom CA
CN = Burp Custom Root CA

[ v3_ca ]
basicConstraints = critical,CA:TRUE
keyUsage = critical,keyCertSign,cRLSign
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer
EOF

Згенерувати CA сертифікат + приватний ключ:

openssl req -x509 -new -nodes \
-days 3650 \
-keyout burp-ca.key \
-out burp-ca.pem \
-config burp-ca.cnf

Швидка перевірка (ВИ ПОВИННІ побачити Key Usage):

openssl x509 -in burp-ca.pem -noout -text | egrep -A3 "Basic Constraints|Key Usage"

Очікується, що міститиме приблизно таке:

  • CA:TRUE
  • Key Usage: ... Certificate Sign, CRL Sign

2) Конвертувати в PKCS#12 (формат імпорту Burp)

Burp потребує сертифікат + приватний ключ, найпростіше — у PKCS#12:

openssl pkcs12 -export \
-out burp-ca.p12 \
-inkey burp-ca.key \
-in burp-ca.pem \
-name "Burp Custom Root CA"

You’ll be prompted for an export password (set one; Burp will ask for it).

3) Імпортуйте CA в Burp і перезапустіть Burp

У Burp:

  • Proxy → Options
  • Знайдіть Import / export CA certificate
  • Натисніть Import CA certificate
  • Виберіть PKCS#12
  • Виберіть burp-ca.p12
  • Введіть пароль
  • Повністю перезапустіть Burp (важливо)

Чому перезапуск? Burp може продовжувати використовувати старий CA до перезапуску.

4) Довірте новому CA у системному keychain macOS

Це дозволяє системним додаткам і багатьом TLS-стекам довіряти цьому CA.

sudo security add-trusted-cert \
-d -r trustRoot \
-k /Library/Keychains/System.keychain \
~/burp-ca/burp-ca.pem

(Якщо ви віддаєте перевагу GUI: Keychain Access → System → Certificates → import → set “Always Trust”.)

5) Налаштуйте змінні середовища для проксі

export HTTPS_PROXY="http://127.0.0.1:8080"
export HTTP_PROXY="http://127.0.0.1:8080"

6) Налаштуйте Requests/Azure CLI, щоб довіряти вашому Burp CA

Azure CLI використовує Python Requests внутрішньо; налаштуйте обидва:

export REQUESTS_CA_BUNDLE="$HOME/burp-ca/burp-ca.pem"
export SSL_CERT_FILE="$HOME/burp-ca/burp-ca.pem"

Примітки:

  • REQUESTS_CA_BUNDLE використовується бібліотекою Requests.
  • SSL_CERT_FILE допомагає іншим TLS-клієнтам та в граничних випадках.
  • Зазвичай вам не потрібні старі ADAL_PYTHON_SSL_NO_VERIFY / AZURE_CLI_DISABLE_CONNECTION_VERIFICATION, коли CA налаштовано правильно.

7) Перевірте, що Burp справді підписує сертифікати вашим новим CA (критична перевірка)

Це підтверджує, що ваш ланцюг перехоплення налаштований правильно:

openssl s_client -connect login.microsoftonline.com:443 \
-proxy 127.0.0.1:8080 </dev/null 2>/dev/null \
| openssl x509 -noout -issuer

Очікуваний видавець містить ім'я вашого CA, наприклад:

O=Burp Custom CA, CN=Burp Custom Root CA

Якщо ви все ще бачите PortSwigger CA, Burp не використовує імпортований вами CA → перевірте імпорт та перезапустіть.

8) Перевірте, що Python Requests працює через Burp

python3 - <<'EOF'
import requests
requests.get("https://login.microsoftonline.com")
print("OK")
EOF

Очікується: OK

9) Azure CLI тест

az account get-access-token --resource=https://management.azure.com/

Якщо ви вже увійшли, має повернутися JSON з accessToken.

Az PowerShell

Azure PowerShell — модуль із cmdlets для керування ресурсами Azure безпосередньо з командного рядка PowerShell.

Follow this link for the installation instructions.

Команди в Azure PowerShell AZ Module мають структуру: <Action>-Az<Service> <parameters>

Debug | MitM Az PowerShell

Використовуючи параметр -Debug, можна побачити всі запити, які відправляє інструмент:

Get-AzResourceGroup -Debug

Щоб зробити MitM щодо інструмента та перевірити всі запити, які він надсилає вручну, можна встановити змінні середовища HTTPS_PROXY і HTTP_PROXY відповідно до docs.

Microsoft Graph PowerShell

Microsoft Graph PowerShell є кросплатформеним SDK, який дозволяє доступ до всіх Microsoft Graph API, включно зі службами такими як SharePoint, Exchange та Outlook, використовуючи єдину кінцеву точку. Підтримує PowerShell 7+, сучасну аутентифікацію через MSAL, зовнішні ідентичності та розширені запити. Орієнтований на принцип найменших привілеїв, він забезпечує безпечні операції та отримує регулярні оновлення для відповідності останнім можливостям Microsoft Graph API.

Перейдіть за цим посиланням для installation instructions.

Команди в Microsoft Graph PowerShell мають структуру: <Action>-Mg<Service> <parameters>

Налагодження Microsoft Graph PowerShell

За допомогою параметра -Debug можна побачити всі запити, які інструмент відправляє:

Get-MgUser -Debug

AzureAD Powershell

Модуль Azure Active Directory (AD), який тепер є застарілим, входить до складу Azure PowerShell для керування ресурсами Azure AD. Він надає cmdlets для таких завдань, як керування користувачами, групами та реєстраціями застосунків в Entra ID.

Tip

Натомість використовується Microsoft Graph PowerShell

Перейдіть за цим посиланням для інструкції з встановлення.

Автоматизований Recon та інструменти відповідності

turbot azure plugins

Turbot разом зі steampipe та powerpipe дозволяє збирати інформацію з Azure та Entra ID, виконувати перевірки відповідності та виявляти помилки конфігурації. Наразі найбільш рекомендовані модулі Azure для запуску:

# Install
brew install turbot/tap/powerpipe
brew install turbot/tap/steampipe
steampipe plugin install azure
steampipe plugin install azuread

# Config creds via env vars or az cli default creds will be used
export AZURE_ENVIRONMENT="AZUREPUBLICCLOUD"
export AZURE_TENANT_ID="<tenant-id>"
export AZURE_SUBSCRIPTION_ID="<subscription-id>"
export AZURE_CLIENT_ID="<client-id>"
export AZURE_CLIENT_SECRET="<secret>"

# Run steampipe-mod-azure-insights
cd /tmp
mkdir dashboards
cd dashboards
powerpipe mod init
powerpipe mod install github.com/turbot/steampipe-mod-azure-insights
steampipe service start
powerpipe server
# Go to http://localhost:9033 in a browser

Prowler

Prowler — це інструмент з відкритим кодом для виконання оцінок найкращих практик безпеки, аудитів, реагування на інциденти, безперервного моніторингу, hardening та forensics readiness для AWS, Azure, Google Cloud і Kubernetes.

Він дозволяє запускати сотні перевірок щодо середовища Azure, виявляти помилки конфігурації безпеки та збирати результати у json (та інших текстових форматах) або переглядати їх у web.

# Create a application with Reader role and set the tenant ID, client ID and secret in prowler so it access the app

# Launch web with docker-compose
export DOCKER_DEFAULT_PLATFORM=linux/amd64
curl -LO https://raw.githubusercontent.com/prowler-cloud/prowler/refs/heads/master/docker-compose.yml
curl -LO https://raw.githubusercontent.com/prowler-cloud/prowler/refs/heads/master/.env
## If using an old docker-compose version, change the "env_file" params to: env_file: ".env"
docker compose up -d
# Access the web and configure the access to run a scan from it

# Prowler cli
python3 -m pip install prowler --break-system-packages
docker run --rm toniblyx/prowler:v4-latest azure --list-checks
docker run --rm toniblyx/prowler:v4-latest azure --list-services
docker run --rm toniblyx/prowler:v4-latest azure --list-compliance
docker run --rm -e "AZURE_CLIENT_ID=<client-id>" -e "AZURE_TENANT_ID=<tenant-id>" -e "AZURE_CLIENT_SECRET=<secret>" toniblyx/prowler:v4-latest azure --sp-env-auth
## It also support other authentication types, check: prowler azure --help

Monkey365

Дозволяє автоматично виконувати перевірки конфігурації безпеки підписок Azure та Microsoft Entra ID.

HTML-звіти зберігаються в каталозі ./monkey-reports у папці репозиторію github.

git clone https://github.com/silverhack/monkey365
Get-ChildItem -Recurse monkey365 | Unblock-File
cd monkey365
Import-Module ./monkey365
mkdir /tmp/monkey365-scan
cd /tmp/monkey365-scan

Get-Help Invoke-Monkey365
Get-Help Invoke-Monkey365 -Detailed

# Scan with user creds (browser will be run)
Invoke-Monkey365 -TenantId <tenant-id> -Instance Azure -Collect All -ExportTo HTML

# Scan with App creds
$SecureClientSecret = ConvertTo-SecureString "<secret>" -AsPlainText -Force
Invoke-Monkey365 -TenantId <tenant-id> -ClientId <client-id> -ClientSecret $SecureClientSecret -Instance Azure -Collect All -ExportTo HTML

ScoutSuite

ScoutSuite збирає дані конфігурації для ручної перевірки та виділяє області ризику. Це інструмент аудиту безпеки для multi-cloud середовищ, який дозволяє оцінювати безпековий стан хмарних середовищ.

virtualenv -p python3 venv
source venv/bin/activate
pip install scoutsuite
scout --help

# Use --cli flag to use az cli credentials
# Use --user-account to have scout prompt for user credentials
# Use --user-account-browser to launch a browser to login
# Use --service-principal to have scout prompt for app credentials

python scout.py azure --cli

Azure-MG-Sub-Governance-Reporting

Це powershell-скрипт, який допомагає вам візуалізувати всі ресурси та дозволи всередині Management Group та Entra ID тенанта й виявляти проблеми в налаштуваннях безпеки.

Він працює з використанням Az PowerShell module, тож будь-який спосіб автентифікації, підтримуваний цим інструментом, також підтримується.

import-module Az
.\AzGovVizParallel.ps1 -ManagementGroupId <management-group-id> [-SubscriptionIdWhitelist <subscription-id>]

Автоматизовані Post-Exploitation інструменти

ROADRecon

Enumeration ROADRecon надає інформацію про конфігурацію Entra ID, таку як users, groups, roles, conditional access policies...

cd ROADTools
pipenv shell
# Login with user creds
roadrecon auth -u test@corp.onmicrosoft.com -p "Welcome2022!"
# Login with app creds
roadrecon auth --as-app --client "<client-id>" --password "<secret>" --tenant "<tenant-id>"
roadrecon gather
roadrecon gui

AzureHound

AzureHound — колектор BloodHound для Microsoft Entra ID та Azure. Це один статичний виконуваний файл на Go для Windows/Linux/macOS, який безпосередньо звертається до:

  • Microsoft Graph (Entra ID directory, M365) та
  • Azure Resource Manager (ARM) control plane (subscriptions, resource groups, compute, storage, key vault, app services, AKS, etc.)

Key traits

  • Працює з будь-якого місця в публічному інтернеті проти tenant APIs (не потрібен доступ до внутрішньої мережі)
  • Виводить JSON для BloodHound CE ingestion, щоб візуалізувати шляхи атаки між ідентичностями та cloud resources
  • User-Agent за замовчуванням: azurehound/v2.x.x

Authentication options

  • Ім'я користувача + пароль: -u -p
  • Refresh token: --refresh-token
  • JSON Web Token (access token): --jwt
  • Service principal secret: -a -s
  • Service principal certificate: -a --cert <cert.pem> --key <key.pem> [--keypass ]

Examples

# Full tenant collection to file using different auth flows
## User creds
azurehound list -u "<user>@<tenant>" -p "<pass>" -t "<tenant-id|domain>" -o ./output.json

## Use an access token (JWT) from az cli for Graph
JWT=$(az account get-access-token --resource https://graph.microsoft.com -o tsv --query accessToken)
azurehound list --jwt "$JWT" -t "<tenant-id>" -o ./output.json

## Use a refresh token (e.g., from device code flow)
azurehound list --refresh-token "<refresh_token>" -t "<tenant-id>" -o ./output.json

## Service principal secret
azurehound list -a "<client-id>" -s "<secret>" -t "<tenant-id>" -o ./output.json

## Service principal certificate
azurehound list -a "<client-id>" --cert "/path/cert.pem" --key "/path/key.pem" -t "<tenant-id>" -o ./output.json

# Targeted discovery
azurehound list users -t "<tenant-id>" -o users.json
azurehound list groups -t "<tenant-id>" -o groups.json
azurehound list roles -t "<tenant-id>" -o roles.json
azurehound list role-assignments -t "<tenant-id>" -o role-assignments.json

# Azure resources via ARM
azurehound list subscriptions -t "<tenant-id>" -o subs.json
azurehound list resource-groups -t "<tenant-id>" -o rgs.json
azurehound list virtual-machines -t "<tenant-id>" -o vms.json
azurehound list key-vaults -t "<tenant-id>" -o kv.json
azurehound list storage-accounts -t "<tenant-id>" -o sa.json
azurehound list storage-containers -t "<tenant-id>" -o containers.json
azurehound list web-apps -t "<tenant-id>" -o webapps.json
azurehound list function-apps -t "<tenant-id>" -o funcapps.json

What gets queried

  • Graph endpoints (examples):
  • /v1.0/organization, /v1.0/users, /v1.0/groups, /v1.0/roleManagement/directory/roleDefinitions, directoryRoles, owners/members
  • ARM endpoints (examples):
  • management.azure.com/subscriptions/.../providers/Microsoft.Storage/storageAccounts
  • .../Microsoft.KeyVault/vaults, .../Microsoft.Compute/virtualMachines, .../Microsoft.Web/sites, .../Microsoft.ContainerService/managedClusters

Preflight behavior and endpoints

  • Кожна команда azurehound list
Reference in New Issue View Git Blame Copy Permalink