ADFSDump

أداة بلغة C# لاستخراج جميع أنواع الأشياء المفيدة من AD FS.

أُنشئت بواسطة Doug Bienstock (@doughsec) أثناء عمله في Mandiant FireEye.

صُممت هذه الأداة لكي تعمل بالتزامن مع ADFSpoof. سيقوم ADFSdump بإخراج جميع المعلومات اللازمة لتوليد رموز أمان باستخدام ADFSpoof.

الوصف التفصيلي

ADFSDump هي أداة تقرأ المعلومات من Active Directory ومن قاعدة بيانات إعدادات AD FS اللازمة لتوليد رموز أمان مزوّرة. ويمكن بعد ذلك تغذية هذه المعلومات إلى ADFSpoof لتوليد تلك الرموز.

المتطلبات

• يجب تشغيل ADFSDump في سياق مستخدم حساب خدمة AD FS. يمكنك الحصول على هذه المعلومات عن طريق تشغيل قائمة العمليات على خادم AD FS أو من مخرجات cmdlet الخاصة بـ Get-ADFSProperties. فقط حساب خدمة AD FS لديه الصلاحيات اللازمة للوصول إلى قاعدة بيانات الإعدادات. حتى مسؤول المجال (DA) لا يمكنه الوصول إليها.
• تفترض ADFSDump أن الخدمة مُعدّة لاستخدام قاعدة البيانات الداخلية لنظام Windows (WID). وعلى الرغم من أنه سيكون من السهل دعم خادم SQL خارجي، إلا أن هذه الميزة غير موجودة حاليًا.
• يجب تشغيل ADFSDump محليًا على خادم AD FS، وليس على وكيل تطبيقات الويب الخاص بـ AD FS. لا يمكن الوصول إلى WID إلا محليًا عبر named pipe.

ماذا ستفعل هذه الأداة

• الاستعلام عن Active Directory للعثور على مفتاح DKM الحالي وإخراجه إلى STDOUT
• الاستعلام عن قاعدة بيانات إعدادات AD FS للعثور على كتلة EncryptedPFX الخاصة بزوج مفتاح/شهادة Token Signing وإخراجها إلى STDOUT
• الاستعلام عن قاعدة بيانات إعدادات AD FS لجميع التطبيقات الموحّدة المُعدّة (الأطراف المعتمدة relying parties) وإخراج معلومات مهمة عنها مثل معرّف الطرف المعتمد RP Identifier، وخوارزمية التوقيع، وشهادة تشفير الرمز، وقواعد الإصدار، وقواعد التحكم في الوصول، والمزيد. يتم إخراج كل ذلك إلى STDOUT

الاستخدام

• /domain:: مجال Active Directory المستهدف. القيمة الافتراضية هي المجال الحالي.
• /server:: وحدة تحكم المجال المستهدفة. القيمة الافتراضية هي وحدة تحكم المجال الحالية (DC).
• /nokey: مفتاح تبديل (Switch). قم بالتبديل لتعطيل إخراج مفتاح DKM.
• /database: (اختياري) سلسلة اتصال SQL إذا كان ADFS يستخدم MS SQL عن بُعد بدلاً من WID. ضعها بين علامتي اقتباس، أي: "/database:Data Source=sql.domain.com;Initial Catalog=AdfsConfigurationV4;Integrated Security=True"
• /username: (اختياري) اسم المستخدم الذي سيتم تشغيل الأداة به. إذا تم تعيينه، يجب تمرير كلمة مرور معه.
• /password: (اختياري) كلمة المرور لحساب المستخدم الذي سيتم تشغيل الأداة به.

تعليمات التجميع

لن يتم إصدار نسخة مجمّعة. سيتعين عليك تجميعها بنفسك!

تم بناء ADFSDump باستخدام .NET 4.5 مع Visual Studio 2017 Community Edition. ببساطة افتح ملف المشروع .sln، واختر "Release"، ثم قم بالبناء.

استهداف إصدارات .NET الأخرى

تكوين البناء الافتراضي لـ ADFSDump مخصص لـ .NET 4.5، وسيفشل على الأنظمة التي لا تحتوي على هذا الإصدار المثبت. لاستهداف ADFSDump لإصدار .NET 4 أو 3.5، افتح ملف الحل .sln، وانتقل إلى Project -> ADFSDump Properties وقم بتغيير "Target framework" إلى إصدار آخر.

لاحظ أن AD FS يتطلب إطار عمل .NET 4.5، لذا لست متأكدًا من سبب حاجتك لاستخدام إصدار مختلف على أي حال 😉