تعداد غير مصادق عليه لـ Microsoft Entra ID (Azure AD)

المصدر: EvilMist Toolkit - Invoke-EntraEnum.ps1 - https://github.com/Logisek/EvilMist

1. اكتشاف المستأجر (-TenantInfo)

يكتشف معلومات المستأجر باستخدام واجهات برمجة التطبيقات العامة.

1.1 واجهة azmap.dev API

يسترجع تفاصيل المستأجر من خدمة azmap.dev.

# استبدل DOMAIN بالنطاق المستهدف (مثال: example.com)
curl -s "https://azmap.dev/api/tenant?domain=DOMAIN&extract=true"

الاستجابة تحتوي على: tenantId، displayName، countryCode

1.2 إعداد OpenID

يسترجع إعداد اتصال OpenID Connect بما في ذلك نقاط نهاية الرموز المميزة.

# استبدل DOMAIN بالنطاق المستهدف
curl -s "https://login.microsoftonline.com/DOMAIN/v2.0/.well-known/openid-configuration"

الاستجابة تحتوي على: token_endpoint، authorization_endpoint، jwks_uri، issuer

2. معلومات نطاق المجال (-DomainRealm)

يسترجع تكوين مساحة اسم النطاق والاتحاد.

# استبدل DOMAIN بالنطاق المستهدف
curl -s "https://login.microsoftonline.com/getuserrealm.srf?login=enum@DOMAIN&json=1"

الاستجابة تحتوي على:

NameSpaceType - "Managed" أو "Federated"
AuthURL - عنوان مصادقة الاتحاد (إذا كان النطاق اتحاديًا)
CloudInstanceName - مثيل السحابة (مثال: "microsoftonline.com")
FederationBrandName - اسم العلامة التجارية للمؤسسة
DomainName - النطاق الموثّق

3. تعداد المستخدمين عبر GetCredentialType (-UserEnum)

يتحقق مما إذا كان المستخدم موجودًا في Azure AD. يُرجع رموزًا مختلفة بناءً على وجود المستخدم.

# استبدل EMAIL بعنوان البريد الإلكتروني المستهدف
curl -s -X POST "https://login.microsoftonline.com/common/GetCredentialType" \
  -H "Content-Type: application/json" \
  -d '{
    "Username": "EMAIL",
    "isOtherIdpSupported": true,
    "checkPhones": false,
    "isRemoteNGCSupported": true,
    "isCookieBannerShown": false,
    "isFidoSupported": true,
    "originalRequest": "",
    "country": "US",
    "forceotclogin": false,
    "isExternalFederationDisallowed": false,
    "isRemoteConnectSupported": false,
    "federationFlags": 0,
    "isSignup": false,
    "flowToken": "",
    "isAccessPassSupported": true
  }'

رموز IfExistsResult:

0 = المستخدم موجود (موفّر هوية Azure)
1 = المستخدم غير موجود
2 = طلب غير صالح
4 = خطأ في الخادم
5 = المستخدم موجود (موفّر هوية اتحادي)
6 = المستخدم موجود (موفّر هوية خارجي غير تابع لـ Microsoft)

4. استطلاع DNS (-DnsEnum)

استعلامات DNS لسجلات Azure/M365 ذات الصلة. استخدم أوامر dig أو nslookup أو host.

4.1 سجلات CNAME

# CNAME للنطاق الرئيسي
dig CNAME DOMAIN

# CNAME لـ Autodiscover
dig CNAME autodiscover.DOMAIN
dig CNAME lyncdiscover.DOMAIN
dig CNAME sip.DOMAIN

4.2 سجلات TXT/SPF

dig TXT DOMAIN

4.3 سجلات SRV

dig SRV _ldap._tcp.DOMAIN
dig SRV _kerberos._tcp.DOMAIN
dig SRV _autodiscover._tcp.DOMAIN
dig SRV _sip._tls.DOMAIN
dig SRV _sipfederationtls._tcp.DOMAIN

4.4 سجلات MX

dig MX DOMAIN

5. تعداد مستخدمي OneDrive (-OneDriveEnum)

غير قابل للاكتشاف تمامًا - لا يُنشئ أي سجلات تدقيق.

يتحقق مما إذا كان المستخدم موجودًا عبر استطلاع عنوان موقع OneDrive الشخصي الخاص به.

# استبدل TENANT باسم المستأجر (مثال: example)
# استبدل USERPATH بالبريد الإلكتروني بالتنسيق: user_domain_com (يُستبدل @ و . بـ _)
# مثال: [email protected] يصبح john_doe_example_com

curl -s -o /dev/null -w "%{http_code}" -I \
  "https://TENANT-my.sharepoint.com/personal/USERPATH/_layouts/15/onedrive.aspx"

رموز الحالة:

200 = المستخدم موجود، OneDrive قابل للوصول
401/403 = المستخدم موجود، الوصول مرفوض
404 = المستخدم غير موجود

مثال للمستخدم [email protected]:

curl -s -o /dev/null -w "%{http_code}" -I \
  "https://example-my.sharepoint.com/personal/john_doe_example_com/_layouts/15/onedrive.aspx"

6. بيانات الاتحاد الوصفية (-FederationMeta)

يسترجع بيانات الاتحاد الوصفية بما في ذلك شهادات التوقيع ونقاط نهاية الرموز المميزة.

# استبدل DOMAIN بالنطاق المستهدف
curl -s "https://login.microsoftonline.com/DOMAIN/FederationMetadata/2007-06/FederationMetadata.xml"

الاستجابة تحتوي على (XML):

معرف الكيان (Entity ID)
شهادات توقيع X509
نقاط نهاية الرموز المميزة
تنسيقات NameID
أنواع المطالبات
معلومات خادم ADFS (إذا كان النطاق اتحاديًا)

7. كشف الدخول الموحّد السلس (-SeamlessSSO)

يكتشف ما إذا كان الدخول الموحّد لسطح المكتب (Seamless Single Sign-On) مفعّلاً.

7.1 فحص إعداد الدخول الموحّد

# استبدل DOMAIN بالنطاق المستهدف
curl -s "https://login.microsoftonline.com/getuserrealm.srf?login=user@DOMAIN&json=1"

ابحث عن: DesktopSsoEnabled: true

7.2 اختبار نقطة نهاية Autologon (إذا كان الدخول الموحّد مفعّلاً)

# استبدل TENANT_ID بمعرّف المستأجر GUID
curl -s -o /dev/null -w "%{http_code}" \
  "https://autologon.microsoftazuread-sso.com/TENANT_ID/winauth/trust/2005/usernamemixed"

8. تعداد النطاقات الفرعية لـ Azure (-SubdomainEnum)

يكتشف موارد Azure المرتبطة بالمستأجر. يستخدم تحليل DNS.

النطاقات الفرعية الأساسية لـ Azure للفحص:

# استبدل TENANT باسم المستأجر

# النطاق الأساسي للمستأجر
dig A TENANT.onmicrosoft.com

# SharePoint
dig A TENANT.sharepoint.com

# OneDrive
dig A TENANT-my.sharepoint.com

# تخزين Azure Blob
dig A TENANT.blob.core.windows.net

# ملفات Azure
dig A TENANT.file.core.windows.net

# قائمة انتظار Azure
dig A TENANT.queue.core.windows.net

# جدول Azure
dig A TENANT.table.core.windows.net

# Key Vault
dig A TENANT.vault.azure.net

# Azure SQL
dig A TENANT.database.windows.net

# App Service
dig A TENANT.azurewebsites.net

# نشر Kudu/Git
dig A TENANT.scm.azurewebsites.net

# الخدمات السحابية
dig A TENANT.cloudapp.net
dig A TENANT.cloudapp.azure.com

# Exchange Online Protection
dig A TENANT.mail.protection.outlook.com

# سجل الحاويات
dig A TENANT.azurecr.io

# Redis Cache
dig A TENANT.redis.cache.windows.net

# Service Bus
dig A TENANT.servicebus.windows.net

# Front Door
dig A TENANT.azurefd.net

# Azure AD B2C
dig A TENANT.b2clogin.com

# إدارة API
dig A TENANT.azure-api.net

# Traffic Manager
dig A TENANT.trafficmanager.net

# HDInsight
dig A TENANT.azurehdinsight.net

# Cosmos DB
dig A TENANT.documents.azure.com

# Cognitive Search
dig A TENANT.search.windows.net

# Cognitive Services
dig A TENANT.cognitiveservices.azure.com

أمثلة على التبديلات:

# لاحقات شائعة: dev, prod, staging, test, uat, qa, backup, dr, api, app, web, data
dig A TENANTdev.blob.core.windows.net
dig A TENANTprod.azurewebsites.net
dig A TENANTstaging.vault.azure.net

9. تعداد Autodiscover V2 (-AutodiscoverEnum)

يتحقق من وجود المستخدم عبر نقطة نهاية Autodiscover V2 بصيغة JSON.

# استبدل EMAIL بعنوان البريد الإلكتروني المستهدف
curl -s -o /dev/null -w "%{http_code}" -L --max-redirs 0 \
  "https://autodiscover-s.outlook.com/autodiscover/autodiscover.json?Email=EMAIL&Protocol=Autodiscoverv1"