ATEAM: Azure Tenant Ermittlungs- und Zuordnungsmodul

Ein Python-Aufklärungstool, das entwickelt wurde, um Azure-Dienste zu entdecken und auf Basis ihrer Antworten Informationen zur Mandantenbesitzer zuzuordnen.

Autor, Mitwirkende und Lizenz

• Autoren:
  • Karl Fosaaen (@kfosaaen - Auf den meisten Plattformen), NetSPI
  • Thomas Elling (@thomaselling1), NetSPI
• Lizenz: BSD 3-Clause

🎯 Zweck

Dieses Tool hilft Sicherheitsforschern, Penetrationstestern und Azure-Administratoren, Azure-Ressourcen zu entdecken, die mit bestimmten Mandanten-IDs verbunden sind.

✨ Funktionen

Multi-Service-Erkennung

Testet Ressourcennamen gegen 6 verschiedene Azure-Dienste und deren Subdomains:

• Azure App Services (.azurewebsites.net und .scm.azurewebsites.net)
• Azure DevOps (dev.azure.com)
• Azure Key Vault (.vault.azure.net)
• Azure Storage Accounts (.blob.core.windows.net)
• SharePoint Online (.sharepoint.com)
• Azure Databricks (.azuredatabricks.net)

Zusätzliche Fähigkeiten

• Parallele Verarbeitung: Mehrere Threads für schnellere Ergebnisse
• Batch-Verarbeitung: Verarbeitet Ressourcen in konfigurierbaren Batches, um Speicherprobleme zu vermeiden
• DNS-Validierung: Bestätigt DNS-Einträge vor HTTP-Anfragen
• Permutationsgenerierung: Automatische Erzeugung von Variationen von Ressourcennamen
• Datenbankspeicher: SQLite-Datenbank für persistente Ergebnisse
• Mehrere Exportformate: CSV-, JSON- und HTML-Exporte
• Ausführliches Logging: Detaillierte Debug-Informationen zur Fehlerbehebung

📋 Voraussetzungen

• Python 3.7 oder höher
• Internetverbindung
• Erforderliche Python-Pakete (siehe Installation unten)

🚀 Installation

1. Tool klonen oder herunterladen:

   root@kitploit:~

   git clone https://github.com/NetSPI/ATEAM.git
   cd ATEAM
   

2. Erforderliche Abhängigkeiten installieren:

   root@kitploit:~

   pip install -r requirements.txt
   

   Oder manuell installieren:

   root@kitploit:~

   pip install requests dnspython urllib3
   

3. Installation überprüfen:

   root@kitploit:~

   python ateam.py --help
   

📖 Verwendung

Grundlegende Nutzung

Einzelne Ressource scannen:

python ateam.py -r "myapp"

Mehrere Ressourcen scannen:

python ateam.py -r "app1" "app2" "app3"

Scannen aus einer Textdatei mit Ressourcenliste:

python ateam.py -f resources.txt

Fortgeschrittene Nutzung

Ausführliche Ausgabe mit (20) Workern:

python ateam.py -f resources.txt -v -w 20

Permutationen generieren und scannen:

python ateam.py -f resources.txt -p

Permutationen mit kleinerer Batch-Größe generieren (empfohlen für große Scans):

python ateam.py -f resources.txt -p -b 100

Ergebnisse nach HTML exportieren:

python ateam.py -e html

Datenbank leeren und neu starten:

python ateam.py -f resources.txt --clear

Optionen der Befehlszeile

📁 Dateistruktur

ATEAM/
├── ateam.py    # Hauptskript
├── requirements.txt          # Python-Abhängigkeiten
├── permutations.txt          # Ressourcennamen-Permutationen
└── README.md                 # Diese Datei

🔧 Konfiguration

Permutationsdatei

Die Datei permutations.txt enthält gängige Präfixe und Suffixe, um Variationen von Ressourcennamen zu generieren:

dev
prod
test
staging
api
web
...

Dies erzeugt Kombinationen wie:

• devmyapp
• myappdev
• prodmyapp
• myapp-prod
• usw.

Datenbank

Ergebnisse werden in azure_tenants.db (SQLite) mit folgendem Schema gespeichert:

• resource_uri: Die entdeckte Ressourcen-URL
• resource_type: Typ des Azure-Dienstes
• tenant_id: Extrahierte Mandanten-ID
• discovered_at: Zeitstempel der Entdeckung

📊 Ausgabebeispiele

Konsolenausgabe

2025-06-27 14:37:39 - INFO - Found Storage Account tenant ID 72f988bf-86f1-41af-91ab-2d7cd011db47 for mars
2025-06-27 14:37:40 - INFO - Found App Service SCM tenant ID 'common' for notarealapplication
2025-06-27 14:37:47 - INFO - Found Key Vault tenant ID 72f988bf-86f1-41af-91ab-2d7cd011db47 for mdo

Datenbankauflistung

Resource URI                             Type            Tenant ID                      	  Discovered At
-----------------------------------------------------------------------------------------------------------------
hanover.scm.azurewebsites.net            AppServices-SCM 72f988bf-86f1-41af-91ab-2d7cd011db47 2025-06-27 21:37:41
dev.azure.com/microsoft                  DevOps          72f988bf-86f1-41af-91ab-2d7cd011db47 2025-06-27 21:37:12
mdo.vault.azure.net                      KeyVault        72f988bf-86f1-41af-91ab-2d7cd011db47 2025-06-27 21:37:47
mars.blob.core.windows.net               StorageAccount  72f988bf-86f1-41af-91ab-2d7cd011db47 2025-06-27 21:37:46

🔍 Funktionsweise

1. DNS-Validierung: Prüft, ob DNS-Einträge für die Ressource existieren
2. Service-Abfrage: Stellt HTTP-Anfragen an die entsprechenden Azure-Dienstendpunkte
3. Antwortanalyse: Extrahiert je nach Ressource Mandanten-IDs aus:
   • WWW-Authenticate-Headern
   • OAuth-Weiterleitungs-URLs
   • Antwort-Headern
   • Fehlermeldungen
4. Datenspeicherung: Speichert Ergebnisse in SQLite-Datenbank
5. Export: Erstellt Berichte in verschiedenen Formaten

🛡️ Sicherheitshinweise

• Ratenbegrenzung: Das Tool enthält Verzögerungen und respektiert Service-Limits
• Fehlerbehandlung: Graziöse Handhabung von Timeouts und Fehlern
• Protokollierung: Detaillierte Protokolle für Audit-Trails
• Nicht-intrusiv: Verwendet standardmäßige HTTP-Anfragen ohne Authentifizierung zur anonymen Aufzählung

⚠️ Wichtig: Stellen Sie sicher, dass Sie die entsprechende Autorisierung haben, bevor Sie Ressourcen scannen. Nicht autorisiertes Scannen kann gegen Nutzungsbedingungen oder geltende Gesetze verstoßen.

🐛 Fehlerbehebung

Debug-Modus

Sie können ausführliches Logging für detaillierte Informationen aktivieren, aber es kann etwas viel sein:

python ateam.py -f resources.txt -v

Speicherprobleme bei Permutationen

Wenn Sie bei Verwendung von Permutationen "killed"-Meldungen erhalten, versuchen Sie, die Batch-Größe zu reduzieren:

python ateam.py -f resources.txt -p -b 100 -w 5

Dies verarbeitet Ressourcen in kleineren Batches mit weniger gleichzeitigen Workern, um Speicherüberlastung zu vermeiden.

🤝 Mitwirken

Beiträge sind willkommen! Bitte zögern Sie nicht, einzureichen:

• Fehlerberichte
• Funktionsanfragen
• Codeverbesserungen
• Dokumentationsaktualisierungen

Verwandte Blogs

• We Know What You Did (in Azure) Last Summer

Präsentationen

• We Know What You Did (in Azure) Last Summer - DEF CON 33 - Cloud Village
  • Folien