SSOh-No

Dieses Tool dient dazu, Benutzer zu enumerieren, Passwort-Spraying und Brute-Force-Angriffe gegen jede Organisation durchzuführen, die Azure AD oder O365 nutzt.

Im Allgemeinen liefert dieser Endpunkt extrem ausführliche Fehlermeldungen, die genutzt werden können, um Benutzer zu enumerieren und deren Passwörter durch Brute-Force-/Spraying-Angriffe zu validieren, während gleichzeitig fehlgeschlagene Authentifizierungsversuche nicht protokolliert werden.

Dieses Tool ist eine bewaffnete Version eines PoC, der im arstechnica-Forschungsartikel demonstriert wurde, der die Techniken zur Ausnutzung des Endpunkts erläutert.

Dieser Endpunkt ist Microsoft bekannt, jedoch wurde er typischerweise als Feature und nicht als Bug abgestempelt.

Dieser Endpunkt erzwingt zwar „Smart Locking", das jedoch durch Rotieren der IP umgangen werden kann.

Warum ist dies einzigartig?

Der SSO-Autologon-Endpunkt enthält keinerlei Protokollierung, abgesehen von der möglichen Aktualisierung der „Letzte Anmeldung"-Zeit des Benutzers.

Die folgenden wurden getestet und enthalten keine Protokolle:

• AzureAD
• Sentinel
• Defender for Identity (ehemals Advanced Thread Protection)
• Defender for Cloud Apps

Usage

$ ./SSOh-No -h
usage: SSOh-No [-h|--help] [-e|--email "<value>"] [-p|--password "<value>"]
               [-U|--userlist "<value>"] [-o|--outfile "<value>"]

               Enumerate and abuse a sub-par Azure SSO endpoint.

Arguments:

  -h  --help      Print help information
  -e  --email     Email address to query. Example: [email protected]
  -p  --password  Password to spray. Example: Password123!
  -U  --userlist  Specify userlist to enumerate
  -o  --outfile   Specify outfile. Example: validated.txt

Geplante Funktionen

• Proxy-Implementierung, um Smart Lock zu umgehen
• Passwort-Brute-Force aus Passwortlisten (einzelner Benutzer – keine Pläne für Passwortlisten-Brute-Force gegen eine Benutzerliste)