treebuilder/aad-sso-enum-brute-sprayPOC der kürzlich von SecureWorks entdeckten Azure Active Directory-Passwort-Brute-Force-Schwachstelle
POC der kürzlich enthüllten Azure Active Directory-Passwort-Brute-Force-Schwachstelle von SecureWorks
Dieser Code ist ein Proof-of-Concept der kürzlich enthüllten Brute-Force-Schwachstelle für Azure Active Directory-Passwörter, die von SecureWorks angekündigt wurde (hier ist der Ars-Technica-Artikel, der der offiziellen Veröffentlichung um etwa einen Tag vorausging, aber praktisch identisch ist).
In der Theorie würde dieser Ansatz es ermöglichen, Brute-Force- oder Password-Spraying-Angriffe gegen ein oder mehrere AAD-Konten durchzuführen, ohne eine Kontosperrung auszulösen oder Protokolldaten zu erzeugen, wodurch der Angriff unsichtbar würde.
Die grundlegende Verwendung ist einfach:
.\aad-sso-enum-brute-spray.ps1 USERNAME PASSWORD
Wenn Sie den Code auf diese Weise aufrufen, erhalten Sie das Ergebnis für den angegebenen Benutzernamen und das angegebene Passwort.
Durch die Nutzung von foreach können Sie dies leicht für Passwort-Spraying einsetzen:
foreach($line in Get-Content .\all-m365-users.txt) {.\aad-sso-enum-brute-spray.ps1 $line Passw0rd! |Out-File -FilePath .\spray-results.txt -Append }
Beachten Sie, dass Sie bei dieser Methode die resultierende Datei von UTF-16 in UTF-8 konvertieren müssen, wenn Sie sie unter Linux verwenden möchten:
iconv -f UTF16 -t UTF-8 spray-results.txt >new-spray-results.txt
Wenn Sie nur an der Enumeration interessiert sind, führen Sie es einfach wie oben für Passwort-Spraying aus. Jeder Rückgabewert von "bad password" oder ein anderer Wert als "no user" bedeutet, dass Sie einen gültigen Benutzernamen gefunden haben.
Ein Rückgabewert von "True" für einen Benutzernamen bedeutet, dass das angegebene Passwort gültig ist.
Ein Rückgabewert von "locked" kann bedeuten, dass das Konto gesperrt ist oder dass Smart Lockout vorübergehend die Interaktion mit dem Konto verhindert.
Um den Code für Brute-Force-Angriffe zu nutzen, iterieren Sie einfach über das Passwortfeld anstelle des Benutzernamenfelds:
foreach($line in Get-Content .\passwords.txt) {.\aad-sso-enum-brute-spray.ps1 [email protected] $line |Out-File -FilePath .\brute-results.txt -Append }
Wenn Sie ein oder mehrere gültige Benutzername/Passwort-Paare entdecken, können Sie diesen Code ändern, um das zurückgegebene DesktopSSOToken zu erhalten. Das DesktopSSOToken kann dann mit dieser Methode gegen ein OAuth2 Access Token eingetauscht werden.
Das OAuth2 Access Token kann dann mit verschiedenen Azure-, M365- und O365-API-Endpunkten verwendet werden.
Allerdings könnten Sie an diesem Punkt von MFA ausgebremst werden. Ihre beste Option wäre hier, Nicht-MFA-Zugriff zu nutzen, wie etwa Outlook Web Access oder ActiveSync. Dafthacks MFASweep ist dabei hilfreich.
Microsofts Smart-Lockout-Funktion beginnt fälschlicherweise zu behaupten, dass Konten gesperrt sind, wenn Sie den API-Endpunkt zu schnell von derselben IP-Adresse aus aufrufen. Um dies zu umgehen, empfehle ich dringend, ustayreadys fireprox zu verwenden, um dieses Problem zu vermeiden. Ändern Sie einfach die Variable $url wie folgt:
$url="https://xxxxxxx.execute-api.us-east-1.amazonaws.com/fireprox/"+$requestid
Dies umgeht Smart Lockout jedoch nicht, wenn Sie versuchen, ein Passwort für ein bestimmtes Konto per Brute-Force zu erraten.
Fast der gesamte Code hierfür wurde vom exzellenten AADInternals-Projekt von Dr. Nestori Syynimaa übernommen.