Enumeración no autenticada de Microsoft Entra ID (Azure AD)

Fuente: EvilMist Toolkit - Invoke-EntraEnum.ps1 - https://github.com/Logisek/EvilMist

1. Descubrimiento de tenant (-TenantInfo)

Descubre información del tenant mediante API públicas.

1.1 API azmap.dev

Recupera los detalles del tenant del servicio azmap.dev.

# Replace DOMAIN with target domain (e.g., example.com)
curl -s "https://azmap.dev/api/tenant?domain=DOMAIN&extract=true"

La respuesta contiene: tenantId, displayName, countryCode

1.2 Configuración de OpenID

Recupera la configuración de OpenID Connect, incluidos los extremos de token.

# Replace DOMAIN with target domain
curl -s "https://login.microsoftonline.com/DOMAIN/v2.0/.well-known/openid-configuration"

La respuesta contiene: token_endpoint, authorization_endpoint, jwks_uri, issuer

2. Información del realm del dominio (-DomainRealm)

Recupera el espacio de nombres del dominio y la configuración de federación.

# Replace DOMAIN with target domain
curl -s "https://login.microsoftonline.com/getuserrealm.srf?login=enum@DOMAIN&json=1"

La respuesta contiene:

NameSpaceType - "Managed" o "Federated"
AuthURL - URL de autenticación de federación (si está federado)
CloudInstanceName - Instancia de nube (p. ej., "microsoftonline.com")
FederationBrandName - Nombre de marca de la organización
DomainName - Dominio verificado

3. Enumeración de usuarios mediante GetCredentialType (-UserEnum)

Comprueba si un usuario existe en Azure AD. Devuelve diferentes códigos según la existencia del usuario.

# Replace EMAIL with target email address
curl -s -X POST "https://login.microsoftonline.com/common/GetCredentialType" \
  -H "Content-Type: application/json" \
  -d '{
    "Username": "EMAIL",
    "isOtherIdpSupported": true,
    "checkPhones": false,
    "isRemoteNGCSupported": true,
    "isCookieBannerShown": false,
    "isFidoSupported": true,
    "originalRequest": "",
    "country": "US",
    "forceotclogin": false,
    "isExternalFederationDisallowed": false,
    "isRemoteConnectSupported": false,
    "federationFlags": 0,
    "isSignup": false,
    "flowToken": "",
    "isAccessPassSupported": true
  }'

Códigos de IfExistsResult:

0 = El usuario existe (IdP de Azure)
1 = El usuario no existe
2 = Solicitud no válida
4 = Error del servidor
5 = El usuario existe (IdP federado)
6 = El usuario existe (IdP externo no MS)

4. Reconocimiento DNS (-DnsEnum)

Consultas DNS de registros relacionados con Azure/M365. Use los comandos dig, nslookup u host.

4.1 Registros CNAME

# Main domain CNAME
dig CNAME DOMAIN

# Autodiscover CNAME
dig CNAME autodiscover.DOMAIN
dig CNAME lyncdiscover.DOMAIN
dig CNAME sip.DOMAIN

4.2 Registros TXT/SPF

dig TXT DOMAIN

4.3 Registros SRV

dig SRV _ldap._tcp.DOMAIN
dig SRV _kerberos._tcp.DOMAIN
dig SRV _autodiscover._tcp.DOMAIN
dig SRV _sip._tls.DOMAIN
dig SRV _sipfederationtls._tcp.DOMAIN

4.4 Registros MX

dig MX DOMAIN

5. Enumeración de usuarios de OneDrive (-OneDriveEnum)

Completamente indetectable - No se generan registros de auditoría.

Comprueba si un usuario existe sondeando la URL de su sitio personal de OneDrive.

# Replace TENANT with tenant name (e.g., example)
# Replace USERPATH with email formatted as: user_domain_com (@ and . replaced with _)
# Example: [email protected] becomes john_doe_example_com

curl -s -o /dev/null -w "%{http_code}" -I \
  "https://TENANT-my.sharepoint.com/personal/USERPATH/_layouts/15/onedrive.aspx"

Códigos de estado:

200 = El usuario existe, OneDrive accesible
401/403 = El usuario existe, acceso denegado
404 = El usuario no existe

Ejemplo para el usuario [email protected]:

curl -s -o /dev/null -w "%{http_code}" -I \
  "https://example-my.sharepoint.com/personal/john_doe_example_com/_layouts/15/onedrive.aspx"

6. Metadatos de federación (-FederationMeta)

Recupera los metadatos de federación, incluidos los certificados de firma y los extremos de token.

# Replace DOMAIN with target domain
curl -s "https://login.microsoftonline.com/DOMAIN/FederationMetadata/2007-06/FederationMetadata.xml"

La respuesta contiene (XML):

Identificador de entidad
Certificados de firma X509
Extremos de token
Formatos NameID
Tipos de claim
Información del servidor ADFS (si está federado)

7. Detección de Seamless SSO (-SeamlessSSO)

Detecta si el SSO de escritorio (Seamless Single Sign-On) está habilitado.

7.1 Comprobar la configuración de SSO

# Replace DOMAIN with target domain
curl -s "https://login.microsoftonline.com/getuserrealm.srf?login=user@DOMAIN&json=1"

Busque: DesktopSsoEnabled: true

7.2 Probar el extremo Autologon (si el SSO está habilitado)

# Replace TENANT_ID with the tenant GUID
curl -s -o /dev/null -w "%{http_code}" \
  "https://autologon.microsoftazuread-sso.com/TENANT_ID/winauth/trust/2005/usernamemixed"

8. Enumeración de subdominios de Azure (-SubdomainEnum)

Descubre recursos de Azure asociados con un tenant. Usa resolución DNS.

Subdominios principales de Azure para comprobar:

# Replace TENANT with tenant name

# Primary tenant domain
dig A TENANT.onmicrosoft.com

# SharePoint
dig A TENANT.sharepoint.com

# OneDrive
dig A TENANT-my.sharepoint.com

# Azure Blob Storage
dig A TENANT.blob.core.windows.net

# Azure Files
dig A TENANT.file.core.windows.net

# Azure Queue
dig A TENANT.queue.core.windows.net

# Azure Table
dig A TENANT.table.core.windows.net

# Key Vault
dig A TENANT.vault.azure.net

# Azure SQL
dig A TENANT.database.windows.net

# App Service
dig A TENANT.azurewebsites.net

# Kudu/Git Deployment
dig A TENANT.scm.azurewebsites.net

# Cloud Services
dig A TENANT.cloudapp.net
dig A TENANT.cloudapp.azure.com

# Exchange Online Protection
dig A TENANT.mail.protection.outlook.com

# Container Registry
dig A TENANT.azurecr.io

# Redis Cache
dig A TENANT.redis.cache.windows.net

# Service Bus
dig A TENANT.servicebus.windows.net

# Front Door
dig A TENANT.azurefd.net

# Azure AD B2C
dig A TENANT.b2clogin.com

# API Management
dig A TENANT.azure-api.net

# Traffic Manager
dig A TENANT.trafficmanager.net

# HDInsight
dig A TENANT.azurehdinsight.net

# Cosmos DB
dig A TENANT.documents.azure.com

# Cognitive Search
dig A TENANT.search.windows.net

# Cognitive Services
dig A TENANT.cognitiveservices.azure.com

Ejemplos de permutaciones:

# Common suffixes: dev, prod, staging, test, uat, qa, backup, dr, api, app, web, data
dig A TENANTdev.blob.core.windows.net
dig A TENANTprod.azurewebsites.net
dig A TENANTstaging.vault.azure.net

9. Enumeración de Autodiscover V2 (-AutodiscoverEnum)

Comprueba la existencia del usuario mediante el extremo JSON de Autodiscover V2.

# Replace EMAIL with target email address
curl -s -o /dev/null -w "%{http_code}" -L --max-redirs 0 \
  "https://autodiscover-s.outlook.com/autodiscover/autodiscover.json?Email=EMAIL&Protocol=Autodiscoverv1"