Azure AD Password Checker

In einer Azure-AD-Umgebung lässt sich feststellen, ob bei einem Benutzer die Multi-Faktor-Authentifizierung (MFA) deaktiviert ist, ohne dass dafür besondere Berechtigungen erforderlich sind. Dies kann erreicht werden, indem das Erstellungsdatum des Kontos und das Datum der letzten Kennwortänderung analysiert werden.

Wenn Erstellungsdatum und -zeit eines Kontos mit Datum und Zeit der letzten Kennwortänderung übereinstimmen, kann dies darauf hindeuten, dass seit der Erstellung des Kontos keine menschliche Interaktion stattgefunden hat und der Benutzer die Multi-Faktor-Authentifizierung (MFA) nicht aktivieren oder sein Kennwort nicht ändern konnte. Es gibt weitere „Anomalien“, etwa wenn das Datum der Kennwortänderung älter ist als das Erstellungsdatum. Das deutet ebenfalls darauf hin, dass die Multi-Faktor-Authentifizierung (MFA) nicht aktiviert werden konnte, weil der Benutzer zu diesem Zeitpunkt noch gar nicht erstellt worden war!

Update vom 16.10.2023:

• Wie wahrscheinlich ist es, dass zwei Benutzer ihre Kennwörter exakt zur gleichen Zeit ändern? Dies könnte als weitere MFA-Anomalie betrachtet werden. Sie wird in Blau markiert und mit (Häufigkeit des Auftretens) gekennzeichnet.

Update vom 18.02.2024:

• Ausgabe von Benutzern mit MFA-Anomalien in eine Datei
• Es ist möglich, die Multi-Faktor-Authentifizierung (MFA) per Telefonanruf oder SMS zu aktivieren, ohne dass eine Kennwortänderung erforderlich ist. Wenn jedoch für das Konto eines Benutzers keine Telefonnummer hinterlegt ist, können Administratoren die Verifizierungsoptionen per Telefon oder SMS nicht aktivieren. Diese Lücke bedeutet, dass Benutzer ihre Telefonnummer weder bei der Kontoerstellung noch bei der Anmeldung verifizieren können. Das Fehlen einer Telefonnummern-Verifizierung kann es erleichtern, Konten zu identifizieren, bei denen MFA nicht konfiguriert ist. Um dem Rechnung zu tragen, werden Konten ohne Telefonnummer in Hellblau markiert und mit (phone numbers: x) gekennzeichnet.
  Siehe: Microsoft/Azure SMS oder Telefonanruf – Beim ersten Registrieren oder Anmelden wird der Benutzer aufgefordert, eine Telefonnummer anzugeben und zu verifizieren. Bei späteren Anmeldungen wird der Benutzer aufgefordert, entweder die Option „Code senden“ oder „Mich anrufen“ zu wählen.

Diese Informationen können nützlich sein, um potenzielle Sicherheitsrisiken zu erkennen; sie sind für den Einsatz sowohl durch Red- als auch durch Blue-Teams gedacht.

Für dieses Tool wird die roadrecon-Datenbankdatei oder eine JSON-Datei benötigt, die mithilfe der Option --code-javascript extrahiert wurde. Das Roadrecon-Tool wurde von dirkjanm entwickelt und kann auf GitHub https://github.com/dirkjanm/ROADtools heruntergeladen oder mit pip install roadrecon installiert werden.

So verwenden Sie das Tool:

python3 azurepwchecker.py
usage: azurepwchecker.py [-h] [--roadrecon-dump] [--roadrecon-dump-mfa] [-d DB] [-m] [-l] [-ll] [-lll] [-la] [-lo]
                         [-ji JSON_INPUT] [-c]

Azure AD Password Checker - This is a parser for generated JSON file or the roadrecon database file designed for use by both red and blue teams. 
Database can be created when using --code-javascript option to extract 'merged_users.json' file with be created to later input this file with --json-input argument.
And roadrecon generated roadrecon.db file can be used! roadrecon is developed by https://github.com/dirkjanm credits to him!

options:
  -h, --help            show this help message and exit
  -d DB, --db DB        Specify the path to the 'roadrecon.db' database file, default is this location
  -m, --mfa-list        User Accounts without MFA (No privileged user required)! This argument helps identify user
                        accounts that have not enabled Multi-Factor Authentication (MFA). If an account's creation
                        date and time match its last password change date and time, it may indicate that no human
                        interaction has occurred since the account was created, and the user has not been able to
                        enable MFA or change their password. And there are other 'anomalies' such as the password
                        change date being older than the creation date. This suggests also that Multi-Factor
                        Authentication (MFA) couldn't be enabled because the User wasn't created yet! :-]
  -mo OUTFILE, --outfile OUTFILE
                        Output users with MFA anomalies to file
  -l, --pw-month        User accounts that had their passwords changed last month
  -ll, --pw-year        User accounts that had their passwords changed last year
  -lll, --pw-older      User accounts that haven't changed their passwords in a long time, oldest first
  -la, --admin          User accounts that are members of 'Admin' named groups, including 'Global Reader'
  -lo, --out-of-hours   User password change that occurred outside of office hours, specifically between 5:00 PM
                        (17:00) and 8:00 AM (08:00) on weekdays, as well as on Saturdays and Sundays
  -ji JSON_INPUT, --json-input JSON_INPUT
                        Provide the JSON file imported from your web browser's console using JavaScript. For
                        'createdDateTime' and 'lastPasswordChange' details, ensure you download the JSON output using
                        the '--code-javascript' option.
  -c, --code-javascript
                        Perform extraction even if 'azurepwchecker.py' or 'roadrecon' is unavailable. This script
                        enables extraction through the JavaScript console of a web browser. To proceed, ensure you
                        have a valid account to log in at https://portal.azure.com/#view/Microsoft_AAD_UsersAndTenants
                        /UserManagementMenuBlade/~/AllUsers or an active session on a computer. Copy and paste the
                        provided JavaScript code into the browser's console. Once the session is validated and you
                        have the necessary permissions, a JSON file named 'merged_users.json' will be generated. You
                        can then import it using the following command as example: 'azurepwchecker.py --json-input
                        merged_users.json -m'
  -v, --version         show program's version number and exit
  
run roadrecon first:
  (Run the following command to install the tool "pip install roadrecon)"

  --roadrecon-dump      "roadrecon dump" command or do it with roadrecon
  --roadrecon-dump-mfa  "roadrecon dump --mfa" command (requires privileged access) or do it with roadrecon

Kein roadrecon vorhanden > azurepwchecker.py --code-javascript generieren und kopieren oder js-Datei in den Ordner legen:

Führen Sie die folgenden Schritte aus, um mit dem bereitgestellten Skript eine Liste der Benutzer zusammen mit ihren Kontoinformationen abzurufen.

1. Beim Azure-Portal anmelden

   • Gehen Sie zu https://portal.azure.com und melden Sie sich mit Ihrem gültigen Konto an.

2. Benutzerverwaltung öffnen

   • Navigieren Sie im Azure-Portal zur Benutzerverwaltung.

3. Entwicklertools öffnen

   • Drücken Sie in Ihrem Webbrowser F12, um die Entwicklertools zu öffnen.

4. Das Skript ausführen

   • Kopieren Sie das bereitgestellte Skript und fügen Sie es ein.

5. UsersList und UserInfo abrufen

   • Das Skript ruft die UsersList zusammen mit den Benutzerinformationen ab, einschließlich Erstellungsdatum und letzter Kennwortänderung.