Enumeración no autenticada de Microsoft Entra ID (Azure AD)

Fuente: EvilMist Toolkit - Invoke-EntraEnum.ps1 - https://github.com/Logisek/EvilMist

1. Descubrimiento de tenant (-TenantInfo)

Descubre información del tenant mediante API públicas.

1.1 API azmap.dev

Recupera los detalles del tenant del servicio azmap.dev.

# Replace DOMAIN with target domain (e.g., example.com)
curl -s "https://azmap.dev/api/tenant?domain=DOMAIN&extract=true"

La respuesta contiene: tenantId, displayName, countryCode

1.2 Configuración de OpenID

Recupera la configuración de OpenID Connect, incluidos los extremos de token.

# Replace DOMAIN with target domain
curl -s "https://login.microsoftonline.com/DOMAIN/v2.0/.well-known/openid-configuration"

La respuesta contiene: token_endpoint, authorization_endpoint, jwks_uri, issuer

2. Información del realm del dominio (-DomainRealm)

Recupera el espacio de nombres del dominio y la configuración de federación.

# Replace DOMAIN with target domain
curl -s "https://login.microsoftonline.com/getuserrealm.srf?login=enum@DOMAIN&json=1"

La respuesta contiene:

NameSpaceType - "Managed" o "Federated"
AuthURL - URL de autenticación de federación (si está federado)
CloudInstanceName - Instancia de nube (p. ej., "microsoftonline.com")
FederationBrandName - Nombre de marca de la organización
DomainName - Dominio verificado

3. Enumeración de usuarios mediante GetCredentialType (-UserEnum)

Comprueba si un usuario existe en Azure AD. Devuelve diferentes códigos según la existencia del usuario.

# Replace EMAIL with target email address
curl -s -X POST "https://login.microsoftonline.com/common/GetCredentialType" \
  -H "Content-Type: application/json" \
  -d '{
    "Username": "EMAIL",
    "isOtherIdpSupported": true,
    "checkPhones": false,
    "isRemoteNGCSupported": true,
    "isCookieBannerShown": false,
    "isFidoSupported": true,
    "originalRequest": "",
    "country": "US",
    "forceotclogin": false,
    "isExternalFederationDisallowed": false,
    "isRemoteConnectSupported": false,
    "federationFlags": 0,
    "isSignup": false,
    "flowToken": "",
    "isAccessPassSupported": true
  }'

Códigos de IfExistsResult:

0 = El usuario existe (IdP de Azure)
1 = El usuario no existe
2 = Solicitud no válida
4 = Error del servidor
5 = El usuario existe (IdP federado)
6 = El usuario existe (IdP externo no MS)

4. Reconocimiento DNS (-DnsEnum)

Consultas DNS de registros relacionados con Azure/M365. Use los comandos dig, nslookup u host.

4.1 Registros CNAME

# Main domain CNAME
dig CNAME DOMAIN

# Autodiscover CNAME
dig CNAME autodiscover.DOMAIN
dig CNAME lyncdiscover.DOMAIN
dig CNAME sip.DOMAIN

4.2 Registros TXT/SPF

dig TXT DOMAIN

4.3 Registros SRV

dig SRV _ldap._tcp.DOMAIN
dig SRV _kerberos._tcp.DOMAIN
dig SRV _autodiscover._tcp.DOMAIN
dig SRV _sip._tls.DOMAIN
dig SRV _sipfederationtls._tcp.DOMAIN

4.4 Registros MX

dig MX DOMAIN

5. Enumeración de usuarios de OneDrive (-OneDriveEnum)

Completamente indetectable - No se generan registros de auditoría.

Comprueba si un usuario existe sondeando la URL de su sitio personal de OneDrive.

# Replace TENANT with tenant name (e.g., example)
# Replace USERPATH with email formatted as: user_domain_com (@ and . replaced with _)
# Example: [email protected] becomes john_doe_example_com

curl -s -o /dev/null -w "%{http_code}" -I \
  "https://TENANT-my.sharepoint.com/personal/USERPATH/_layouts/15/onedrive.aspx"

Códigos de estado:

200 = El usuario existe, OneDrive accesible
401/403 = El usuario existe, acceso denegado
404 = El usuario no existe

Ejemplo para el usuario [email protected]:

curl -s -o /dev/null -w "%{http_code}" -I \
  "https://example-my.sharepoint.com/personal/john_doe_example_com/_layouts/15/onedrive.aspx"

6. Metadatos de federación (-FederationMeta)

Recupera los metadatos de federación, incluidos los certificados de firma y los extremos de token.

# Replace DOMAIN with target domain
curl -s "https://login.microsoftonline.com/DOMAIN/FederationMetadata/2007-06/FederationMetadata.xml"

La respuesta contiene (XML):

Identificador de entidad
Certificados de firma X509
Extremos de token
Formatos NameID
Tipos de claim
Información del servidor ADFS (si está federado)

7. Detección de Seamless SSO (-SeamlessSSO)

Detecta si el SSO de escritorio (Seamless Single Sign-On) está habilitado.

7.1 Comprobar la configuración de SSO

# Replace DOMAIN with target domain
curl -s "https://login.microsoftonline.com/getuserrealm.srf?login=user@DOMAIN&json=1"

Busque: DesktopSsoEnabled: true

7.2 Probar el extremo Autologon (si el SSO está habilitado)

# Replace TENANT_ID with the tenant GUID
curl -s -o /dev/null -w "%{http_code}" \
  "https://autologon.microsoftazuread-sso.com/TENANT_ID/winauth/trust/2005/usernamemixed"

8. Enumeración de subdominios de Azure (-SubdomainEnum)

Descubre recursos de Azure asociados con un tenant. Usa resolución DNS.

Subdominios principales de Azure para comprobar:

# Replace TENANT with tenant name

# Primary tenant domain
dig A TENANT.onmicrosoft.com

# SharePoint
dig A TENANT.sharepoint.com

# OneDrive
dig A TENANT-my.sharepoint.com

# Azure Blob Storage
dig A TENANT.blob.core.windows.net

# Azure Files
dig A TENANT.file.core.windows.net

# Azure Queue
dig A TENANT.queue.core.windows.net

# Azure Table
dig A TENANT.table.core.windows.net

# Key Vault
dig A TENANT.vault.azure.net

# Azure SQL
dig A TENANT.database.windows.net

# App Service
dig A TENANT.azurewebsites.net

# Kudu/Git Deployment
dig A TENANT.scm.azurewebsites.net

# Cloud Services
dig A TENANT.cloudapp.net
dig A TENANT.cloudapp.azure.com

# Exchange Online Protection
dig A TENANT.mail.protection.outlook.com

# Container Registry
dig A TENANT.azurecr.io

# Redis Cache
dig A TENANT.redis.cache.windows.net

# Service Bus
dig A TENANT.servicebus.windows.net

# Front Door
dig A TENANT.azurefd.net

# Azure AD B2C
dig A TENANT.b2clogin.com

# API Management
dig A TENANT.azure-api.net

# Traffic Manager
dig A TENANT.trafficmanager.net

# HDInsight
dig A TENANT.azurehdinsight.net

# Cosmos DB
dig A TENANT.documents.azure.com

# Cognitive Search
dig A TENANT.search.windows.net

# Cognitive Services
dig A TENANT.cognitiveservices.azure.com

Ejemplos de permutaciones:

# Common suffixes: dev, prod, staging, test, uat, qa, backup, dr, api, app, web, data
dig A TENANTdev.blob.core.windows.net
dig A TENANTprod.azurewebsites.net
dig A TENANTstaging.vault.azure.net

9. Enumeración de Autodiscover V2 (-AutodiscoverEnum)

Comprueba la existencia del usuario mediante el extremo JSON de Autodiscover V2.

# Replace EMAIL with target email address
curl -s -o /dev/null -w "%{http_code}" -L --max-redirs 0 \
  "https://autodiscover-s.outlook.com/autodiscover/autodiscover.json?Email=EMAIL&Protocol=Autodiscoverv1"

Códigos de estado:

200 = El usuario existe
302 (redirección) = El usuario no existe
401/403 = El usuario existe (autenticación requerida)

10. Enumeración de Autodiscover V1 (-AutodiscoverV1Enum)

Extremo de Autodiscover heredado basado en XML para la enumeración de usuarios.

# Replace DOMAIN with target domain
# Replace EMAIL with target email address

curl -s -X POST "https://autodiscover.DOMAIN/autodiscover/autodiscover.xml" \
  -H "Content-Type: text/xml; charset=utf-8" \
  -d '<?xml version="1.0" encoding="utf-8"?>
<Autodiscover xmlns="http://schemas.microsoft.com/exchange/autodiscover/outlook/requestschema/2006">
  <Request>
    <EMailAddress>EMAIL</EMailAddress>
    <AcceptableResponseSchema>http://schemas.microsoft.com/exchange/autodiscover/outlook/responseschema/2006a</AcceptableResponseSchema>
  </Request>
</Autodiscover>'

Indicadores de respuesta:

RedirectAddr en la respuesta = El usuario existe
RedirectUrl en la respuesta = Puede indicar existencia
ErrorCode: InvalidUser = El usuario no existe
ErrorCode: NoError = El usuario existe

11. Sonda de Exchange Web Services (EWS) (-EwsProbe)

Sondea los extremos EWS en busca de exposición.

# Office 365 EWS endpoints
curl -s -o /dev/null -w "%{http_code}" \
  "https://outlook.office365.com/EWS/Exchange.asmx"

curl -s -o /dev/null -w "%{http_code}" \
  "https://outlook.office.com/EWS/Exchange.asmx"

# On-premises/custom domain endpoints
# Replace DOMAIN with target domain
curl -s -o /dev/null -w "%{http_code}" \
  "https://DOMAIN/EWS/Exchange.asmx"

curl -s -o /dev/null -w "%{http_code}" \
  "https://mail.DOMAIN/EWS/Exchange.asmx"

curl -s -o /dev/null -w "%{http_code}" \
  "https://ews.DOMAIN/EWS/Exchange.asmx"

Códigos de estado que indican disponibilidad:

200, 301, 302, 307, 308 = Disponible
401, 403 = Disponible (autenticación requerida)
404 = No disponible

12. Descubrimiento de SharePoint/Teams (-SharePointEnum)

Descubre sitios de SharePoint y Teams.

# Replace TENANT with tenant name

# Tenant root
curl -s -o /dev/null -w "%{http_code}" \
  "https://TENANT.sharepoint.com"

# OneDrive root
curl -s -o /dev/null -w "%{http_code}" \
  "https://TENANT-my.sharepoint.com"

# Common site names to check
# Sites: intranet, portal, hr, finance, it, projects, marketing, sales, support, admin, security, dev

curl -s -o /dev/null -w "%{http_code}" \
  "https://TENANT.sharepoint.com/sites/intranet"

curl -s -o /dev/null -w "%{http_code}" \
  "https://TENANT.sharepoint.com/sites/portal"

curl -s -o /dev/null -w "%{http_code}" \
  "https://TENANT.sharepoint.com/sites/hr"

# Teams sites
curl -s -o /dev/null -w "%{http_code}" \
  "https://TENANT.sharepoint.com/teams/intranet"

curl -s -o /dev/null -w "%{http_code}" \
  "https://TENANT.sharepoint.com/teams/it"

Códigos de estado:

200 = El sitio existe y es accesible públicamente
401, 403 = El sitio existe, autenticación requerida
301, 302, 307, 308 = El sitio existe, redirigiendo
404 = El sitio no existe

13. Descubrimiento de Lync (-LyncProbe)

Sondea los extremos de descubrimiento de Lync.

# Replace DOMAIN with target domain

curl -s -o /dev/null -w "%{http_code}" \
  "https://lyncdiscover.DOMAIN"

curl -s -o /dev/null -w "%{http_code}" \
  "https://lyncdiscoverinternal.DOMAIN"

curl -s -o /dev/null -w "%{http_code}" \
  "https://sip.DOMAIN"

14. Enumeración mejorada de seguridad de correo (-MailEnum)

14.1 Registros DNS (use dig/nslookup)

# MX Records
dig MX DOMAIN

# SPF (TXT record)
dig TXT DOMAIN

# DMARC
dig TXT _dmarc.DOMAIN

# DKIM (common selectors)
dig TXT selector1._domainkey.DOMAIN  # Microsoft 365
dig TXT selector2._domainkey.DOMAIN  # Microsoft 365
dig TXT google._domainkey.DOMAIN     # Google Workspace
dig TXT default._domainkey.DOMAIN
dig TXT dkim._domainkey.DOMAIN
dig TXT mail._domainkey.DOMAIN
dig TXT k1._domainkey.DOMAIN         # Mailchimp
dig TXT s1._domainkey.DOMAIN
dig TXT s2._domainkey.DOMAIN

# MTA-STS
dig TXT _mta-sts.DOMAIN

# BIMI
dig TXT default._bimi.DOMAIN

# TLS-RPT
dig TXT _smtp._tls.DOMAIN

14.2 Política MTA-STS (HTTP)

# Replace DOMAIN with target domain
curl -s "https://mta-sts.DOMAIN/.well-known/mta-sts.txt"

15. Descubrimiento de recursos por ID de tenant (-TenantReverse)

Dado un ID de tenant, descubre los recursos asociados.

# Replace TENANT_ID with the tenant GUID

# OpenID Configuration (v2.0)
curl -s "https://login.microsoftonline.com/TENANT_ID/v2.0/.well-known/openid-configuration"

# OpenID Configuration (v1.0)
curl -s "https://login.microsoftonline.com/TENANT_ID/.well-known/openid-configuration"

# Graph Tenant Information (requires auth but reveals info in error)
curl -s "https://graph.microsoft.com/v1.0/tenantRelationships/findTenantInformationByTenantId(tenantId='TENANT_ID')"

# Device Code Endpoint
curl -s "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/devicecode"

# OAuth Authorize (reveals tenant branding)
curl -s "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/authorize?client_id=00000000-0000-0000-0000-000000000000&response_type=code&scope=openid"

16. Sonda de configuración OAuth (-OAuthProbe)

Enumera la configuración OAuth mediante el análisis de los mensajes de error de IDs de aplicación conocidos.

# Replace TENANT with tenant ID or domain

# Well-known Microsoft Application IDs to test:

# Microsoft Graph
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=00000003-0000-0000-c000-000000000000&response_type=code&scope=openid"

# Azure AD Graph (Deprecated)
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=00000002-0000-0000-c000-000000000000&response_type=code&scope=openid"

# Office 365 Exchange Online
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=00000002-0000-0ff1-ce00-000000000000&response_type=code&scope=openid"

# Office 365 SharePoint Online
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=00000003-0000-0ff1-ce00-000000000000&response_type=code&scope=openid"

# Skype for Business Online
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=00000004-0000-0ff1-ce00-000000000000&response_type=code&scope=openid"

# Azure Service Management API
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=797f4846-ba00-4fd7-ba43-dac1f8f63013&response_type=code&scope=openid"

# Microsoft Azure PowerShell
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=1950a258-227b-4e31-a9cf-717495945fc2&response_type=code&scope=openid"

# Microsoft Azure CLI
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=04b07795-8ddb-461a-bbee-02f9e1bf7b46&response_type=code&scope=openid"

# Microsoft Office
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=d3590ed6-52b3-4102-aeff-aad2292ab01c&response_type=code&scope=openid"

# Microsoft Teams
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=1fec8e78-bce4-4aaf-ab1b-5451cc387264&response_type=code&scope=openid"

# Microsoft Planner
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=9bc3ab49-b65d-410a-85ad-de819febfddc&response_type=code&scope=openid"

# Microsoft Graph Command Line Tools
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=de8bc8b5-d9f9-48b1-a8ad-b748da725064&response_type=code&scope=openid"

# Azure Portal
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=c44b4083-3bb0-49c1-b47d-974e53cbdf3c&response_type=code&scope=openid"

# Microsoft App Access Panel
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=0000000c-0000-0000-c000-000000000000&response_type=code&scope=openid"

# Microsoft Outlook
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=5d661950-3475-41cd-a2c3-d671a3162bc1&response_type=code&scope=openid"

# Microsoft OneDrive
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=eb1cec80-a830-486e-b45b-f57094f163f9&response_type=code&scope=openid"

# SharePoint Online Client
curl -s "https://login.microsoftonline.com/TENANT/oauth2/v2.0/authorize?client_id=57fb890c-0dab-4253-a5e0-7188c88b2bb4&response_type=code&scope=openid"

Códigos de error AADSTS a analizar:

AADSTS700016 = Aplicación no encontrada en el directorio
AADSTS650057 = Recurso no válido (la aplicación existe, pero hay un problema de configuración)
AADSTS65001 = Se requiere consentimiento del usuario o administrador (la aplicación existe)
AADSTS50011 = La URL de respuesta no coincide (la aplicación existe)
AADSTS90002 = Tenant no encontrado

Referencia rápida: resumen de todos los extremos

Notas

No se requiere autenticación para ninguna de estas solicitudes
La enumeración de OneDrive es completamente indetectable (no se generan registros de auditoría)
Utilice una limitación/retardos adecuados para evitar la limitación de frecuencia
Algunos métodos pueden activar alertas en los sistemas de monitoreo de seguridad
Asegúrese siempre de contar con la autorización adecuada antes de realizar la enumeración

Información del tenant	`https://azmap.dev/api/tenant?domain={domain}&extract=true`	GET
Configuración de OpenID	`https://login.microsoftonline.com/{domain}/v2.0/.well-known/openid-configuration`	GET
Realm del dominio	`https://login.microsoftonline.com/getuserrealm.srf?login=user@{domain}&json=1`	GET
Enumeración de usuarios	`https://login.microsoftonline.com/common/GetCredentialType`	POST
Enumeración de OneDrive	`https://{tenant}-my.sharepoint.com/personal/{user_path}/_layouts/15/onedrive.aspx`	HEAD
Metadatos de federación	`https://login.microsoftonline.com/{domain}/FederationMetadata/2007-06/FederationMetadata.xml`	GET
Autologon	`https://autologon.microsoftazuread-sso.com/{tenant_id}/winauth/trust/2005/usernamemixed`	GET
Autodiscover V2	`https://autodiscover-s.outlook.com/autodiscover/autodiscover.json?Email={email}&Protocol=Autodiscoverv1`	GET
Autodiscover V1	`https://autodiscover.{domain}/autodiscover/autodiscover.xml`	POST
EWS	`https://outlook.office365.com/EWS/Exchange.asmx`	GET
SharePoint	`https://{tenant}.sharepoint.com/sites/{site}`	GET
Lync	`https://lyncdiscover.{domain}`	GET
Política MTA-STS	`https://mta-sts.{domain}/.well-known/mta-sts.txt`	GET
Sonda OAuth	`https://login.microsoftonline.com/{tenant}/oauth2/v2.0/authorize?client_id={app_id}&response_type=code&scope=openid`	GET

AzureADEnumeration

Más Populares