apimspray

apimspray

apimspray ist ein spezialisiertes Entra-ID-Passwort-Spraying-Toolkit, das für autorisierte Sicherheitsforschung und Red Teaming entwickelt wurde. Es nutzt Azure API Management (APIM)-Gateways als eine verteilte, rotierende Proxy-Ebene für IP-Rotation.

Lies den Blogbeitrag für weitere Details zu diesem Projekt.

Voraussetzungen

• Azure CLI (az): Erforderlich für das Rotator-Skript zum Bereitstellen von Ressourcen. (Skript aus einer bereits authentifizierten Azure CLI-Sitzung ausführen oder Azure Cloud Shell verwenden)
• Aktives Azure-Abonnement: Zum Bereitstellen von APIM-Ressourcen im Verbrauchstarif (Kosten sind vernachlässigbar, typischerweise <$0,01 für kurze Tests).

Installation

1. Repository klonen.
2. Python-Abhängigkeiten installieren:
   root@kitploit:~

   pip install -r requirements.txt
   

3. Stellen Sie sicher, dass Sie in der Azure CLI angemeldet sind:
   root@kitploit:~

   az login
   

   Hinweis: Das Rotator-Skript verlässt sich auf eine aktive Azure CLI-Sitzung im Hintergrund, um Ressourcen bereitzustellen.

Einrichtung

Schnellstart (Azure Cloud Shell)

Führen Sie apimspray direkt aus einer authentifizierten Azure-Umgebung aus.

git clone https://github.com/crtvrffnrt/apimspray.git
cd apimspray
python3 apimspray.py --help

1. Gateways bereitstellen

Bereitstellen mehrerer APIM-Gateways in verschiedenen Regionen

python3 apimspraycreate.py --count 5 --outfile urls.txt

Stellt 33 APIM-Instanzen in Germanywestcentral und westeurope bereit und speichert sie in urls.txt

 python3 apimspraycreate.py --location germanywestcentral,westeurope --count 33 --outfile urls.txt

apimspraycreate CLI-Referenz:

usage: apimspraycreate.py [-h] --outfile OUTFILE [--count COUNT] [--location LOCATION] [--prefix PREFIX] [--realm-prefix REALM_PREFIX] [--delete-old]

apimspraycreate - Azure APIM Deployer

options:
  -h, --help            show this help message and exit
  --outfile OUTFILE     Output file for URLs
  --count COUNT         Number of instances
  --location LOCATION   Comma-separated APIM location(s) to deploy into. When provided, only those regions are used and the first location is used for the resource group.
  --prefix PREFIX       API URL prefix
  --realm-prefix REALM_PREFIX
                        Realm API prefix
  --delete-old          Delete old resource groups

Wichtig: Bei allen Methoden müssen Sie eine aktive az-Sitzung im Hintergrund haben (az login).

2. Wortlisten vorbereiten

Stellen Sie sicher, dass Ihre Ziellisten bereit sind:

• users.txt: Liste der Benutzerprinzipalnamen (z. B. [email protected]).
• passwords.txt: Liste der zu testenden Passwörter.

3. Aufklärung / UPN-Generierung (Optional)

Falls Sie keine Benutzerliste haben, können Sie das Hilfsskript generate_upns.py verwenden. Dieses Tool:

1. Fragt den Azure-Ziellistenmandanten ab, um alle verbundenen und verifizierten Domänen zu ermitteln.
2. Lädt eine Liste statistisch wahrscheinlicher Dienstkontobenutzernamen von GitHub herunter.
3. Generiert eine Permutationsliste von UPNs (UserPrincipalNames) und speichert sie in users.txt.

Verwendung:

# Generate users.txt for a specific domain or tenant ID
python3 generate_upns.py --target example.com
# OR using Tenantid
python3 generate_upns.py --target 00000000-0000-0000-0000-000000000000

generate_upns CLI-Referenz:

usage: generate_upns.py [-h] --target TARGET

Generate UPNs from connected Azure Tenants and Service Accounts.

options:
  -h, --help       show this help message and exit
  --target TARGET  Target Domain (e.g., example.com) or Tenant UUID

Verwendung

usage: apimspray.py [-h] [--urls URLS] [--users USERS] [--passwords PASSWORDS] [--output OUTPUT] [--tenant TENANT] [--domain DOMAIN] --mode {spray,validate} [--pace {stealth,low,mid,medium,high}]
                    [--continue-on-success]

apimspray - Entra ID Assessment Tool

options:
  -h, --help            show this help message and exit
  --urls URLS           Path to APIM URLs file (from apimspraycreate.py or apimsprayrotator.sh)
  --users USERS         Path to users file
  --passwords PASSWORDS
                        Path to passwords file
  --output OUTPUT       Output directory
  --tenant TENANT       Tenant ID or Domain
  --domain DOMAIN       Append domain to users if missing
  --mode {spray,validate}
                        Operation mode. 'spray' tests all passwords against all users (1:N). 'validate' performs 1:1 credential pair testing.
  --pace {stealth,low,mid,medium,high}
                        Pacing profile for requests and lockout management:
                         - high:    15 workers, 0.1s delay, 10 passes/chunk, 5m lockout, 20 safe threshold
                         - medium:  5 workers,  1.0s delay,  5 passes/chunk, 10m lockout, 10 safe threshold, 10% jitter
                         - low:     2 workers,  5.0s delay,  2 passes/chunk, 15m lockout,  5 safe threshold, 20% jitter
                         - stealth: 1 worker,  30.0s delay,  1 pass/chunk,   20m lockout,  1 safe threshold, 40% jitter
  --continue-on-success
                        Continue the assessment even after finding valid credentials.

Modi

• validate: Überprüft eine Liste von user:password-Paaren. Erfordert gleich lange Listen.

  root@kitploit:~

  python3 apimspray.py --urls urls.txt --mode validate --users u.txt --passwords p.txt
  

• spray: Versucht ein Passwort gegen alle Benutzer, wartet dann (falls konfiguriert) und wechselt dann zum nächsten Passwort.

  root@kitploit:~

  python3 apimspray.py --urls urls.txt --mode spray --users users.txt --passwords common_passwords.txt --pace medium
  

Taktungsprofile

Das Argument --pace steuert die Aggressivität des Sprayings. Die Werte sind fest codiert, um Stabilität und Sicherheit zu gewährleisten.

• Anzahl: Anzahl der Passwörter, die pro Benutzer versucht werden, bevor eine Pause eingelegt wird, um die Sperrzeiten zurückzusetzen.
• Sperrwartezeit: Schlafzeit zwischen Passwort-Chunks.
• Sicherheitsschwelle: Wenn so viele Konten gesperrt werden (AADSTS50053), bricht das Tool sofort ab.
• Jitter: Randomisiert die Verzögerung, um statische Timing-Analysen zu umgehen.

Ausgabe

Ergebnisse werden im Verzeichnis results/<timestamp>/ gespeichert:

• valid_*.txt: Erfolgreiche Authentifizierungen (MFA erforderlich oder Token erhalten).
• blocked_*.txt: Gesperrte oder bedingt blockierte Konten.
• failed_*.txt: Ungültige Anmeldeinformationen oder Benutzer nicht gefunden.

Danksagungen & Referenzen

• o365spray: Inspiration für die Logik des ROPC-Flows.
• TeamFiltration: Design-Inspiration für die Tool-Struktur.
• FireProx: Der Urvater der Cloud-Gateway-Rotationstechniken.