ADFSDump

Ein C#-Tool zum Auslesen aller möglichen nützlichen Daten aus AD FS.

Erstellt von Doug Bienstock (@doughsec) während seiner Zeit bei Mandiant FireEye.

Dieses Tool ist dafür konzipiert, zusammen mit ADFSpoof ausgeführt zu werden. ADFSDump gibt alle Informationen aus, die benötigt werden, um mit ADFSpoof Sicherheitstokens zu erzeugen.

Detaillierte Beschreibung

ADFSDump ist ein Tool, das Informationen aus Active Directory und aus der AD-FS-Konfigurationsdatenbank liest, die zum Erzeugen gefälschter Sicherheitstokens erforderlich sind. Diese Informationen können dann in ADFSpoof eingespeist werden, um diese Tokens zu erzeugen.

Voraussetzungen

• ADFSDump muss im Benutzerkontext des AD-FS-Dienstkontos ausgeführt werden. Diese Informationen erhalten Sie, indem Sie eine Prozessliste auf dem AD-FS-Server anzeigen oder die Ausgabe des Cmdlets Get-ADFSProperties verwenden. Nur das AD-FS-Dienstkonto besitzt die erforderlichen Berechtigungen, um auf die Konfigurationsdatenbank zuzugreifen. Nicht einmal ein DA kann darauf zugreifen.
• ADFSDump setzt voraus, dass der Dienst für die Verwendung der Windows Internal Database (WID) konfiguriert ist. Obwohl es trivial wäre, einen externen SQL-Server zu unterstützen, existiert diese Funktion derzeit nicht.
• ADFSDump muss lokal auf einem AD-FS-Server ausgeführt werden, NICHT auf einem AD-FS-Webanwendungsproxy. Auf die WID kann nur lokal über eine Named Pipe zugegriffen werden.

Was dieses Tool tun wird

• Active Directory abfragen, um den aktuellen DKM-Schlüssel zu finden und ihn auf STDOUT auszugeben
• Die AD-FS-Konfigurationsdatenbank nach dem EncryptedPFX-Blob für das Token-Signaturschlüssel-/Zertifikatspaar abfragen und ihn auf STDOUT auszugeben
• Die AD-FS-Konfigurationsdatenbank nach allen konfigurierten Verbundanwendungen (Relying Parties) abfragen und wichtige Informationen über diese ausgeben, wie z. B. die RP-Kennung, den Signaturalgorithmus, das Token-Verschlüsselungszertifikat, Ausstellungsregeln, Zugriffssteuerungsregeln und mehr. Dies wird alles auf STDOUT ausgegeben

Verwendung

• /domain:: Die Active-Directory-Domäne, die als Ziel verwendet werden soll. Standardmäßig die aktuelle Domäne.
• /server:: Der Domänencontroller, der als Ziel verwendet werden soll. Standardmäßig der aktuelle DC.
• /nokey: Schalter. Zum Deaktivieren der Ausgabe des DKM-Schlüssels.
• /database: (optional) SQL-Verbindungszeichenfolge, falls ADFS eine entfernte MS-SQL-Datenbank anstelle von WID verwendet. In Anführungszeichen setzen, z. B. "/database:Data Source=sql.domain.com;Initial Catalog=AdfsConfigurationV4;Integrated Security=True"
• /username: (optional) Benutzername, unter dem das Tool ausgeführt werden soll. Wenn festgelegt, muss ein Passwort mit übergeben werden.
• /password: (optional) Passwort für das Benutzerkonto, unter dem das Tool ausgeführt werden soll.

Kompilierungsanweisungen

Eine kompilierte Version wird nicht veröffentlicht. Sie müssen es selbst kompilieren!

ADFSDump wurde mit .NET 4.5 und Visual Studio 2017 Community Edition erstellt. Öffnen Sie einfach die Projekt-.sln-Datei, wählen Sie "Release" und erstellen Sie das Projekt.

Andere .NET-Versionen als Ziel verwenden

Die Standard-Buildkonfiguration von ADFSDump ist für .NET 4.5, was auf Systemen ohne diese installierte Version fehlschlägt. Um ADFSDump für .NET 4 oder 3.5 als Ziel zu verwenden, öffnen Sie die .sln-Projektmappe, gehen Sie zu Projekt -> ADFSDump-Eigenschaften und ändern Sie das "Zielframework" auf eine andere Version.

Beachten Sie, dass AD FS das .NET Framework 4.5 erfordert, daher bin ich mir nicht sicher, warum Sie überhaupt eine andere Version benötigen 😉