ADFSDump

Una herramienta en C# para volcar todo tipo de tesoros de AD FS.

Creada por Doug Bienstock (@doughsec) mientras estaba en Mandiant FireEye.

Esta herramienta está diseñada para ejecutarse junto con ADFSpoof. ADFSDump generará toda la información necesaria para crear tokens de seguridad usando ADFSpoof.

Descripción detallada

ADFSDump es una herramienta que leerá información de Active Directory y de la base de datos de configuración de AD FS que se necesita para generar tokens de seguridad falsificados. Esta información se puede introducir luego en ADFSpoof para generar dichos tokens.

Requisitos

• ADFSDump debe ejecutarse bajo el contexto de usuario de la cuenta de servicio de AD FS. Puede obtener esta información ejecutando un listado de procesos en el servidor de AD FS o a partir de la salida del cmdlet Get-ADFSProperties. Solo la cuenta de servicio de AD FS tiene los permisos necesarios para acceder a la base de datos de configuración. Ni siquiera un administrador de dominio (DA) puede acceder a ella.
• ADFSDump asume que el servicio está configurado para usar la base de datos interna de Windows (WID). Aunque sería trivial admitir un servidor SQL externo, esta funcionalidad no existe por ahora.
• ADFSDump debe ejecutarse localmente en un servidor de AD FS, NO en un proxy de aplicación web de AD FS. La WID solo se puede acceder localmente mediante una named pipe.

Qué hace esta herramienta

• Consultar Active Directory para encontrar la clave DKM actual y mostrarla en STDOUT
• Consultar la base de datos de configuración de AD FS para obtener el blob EncryptedPFX del par de clave/certificado de firma de tokens y mostrarlo en STDOUT
• Consultar la base de datos de configuración de AD FS para obtener todas las aplicaciones federadas configuradas (partes de confianza) y mostrar información importante sobre ellas, como el identificador de la parte de confianza (RP Identifier), el algoritmo de firma, el certificado de cifrado de tokens, las reglas de emisión, las reglas de control de acceso y más. Todo esto se muestra en STDOUT

Uso

• /domain:: El dominio de Active Directory al que apuntar. Por defecto, el dominio actual.
• /server:: El controlador de dominio al que apuntar. Por defecto, el DC actual.
• /nokey: Interruptor. Actívelo para deshabilitar la salida de la clave DKM.
• /database: (opcional) Cadena de conexión SQL si AD FS usa MS SQL remoto en lugar de WID. Envuélvala entre comillas, es decir, "/database:Data Source=sql.domain.com;Initial Catalog=AdfsConfigurationV4;Integrated Security=True"
• /username: (opcional) Nombre de usuario con el que ejecutar la herramienta. Si se establece, debe pasarse una contraseña junto con él.
• /password: (opcional) Contraseña para la cuenta de usuario con la que se ejecutará la herramienta.

Instrucciones de compilación

No se publicará una versión compilada. ¡Tendrás que compilarla tú mismo!

ADFSDump se compiló con .NET 4.5 y Visual Studio 2017 Community Edition. Simplemente abra el archivo .sln del proyecto, elija "Release" y compile.

Apuntar a otras versiones de .NET

La configuración de compilación predeterminada de ADFSDump es para .NET 4.5, que fallará en sistemas sin esa versión instalada. Para apuntar ADFSDump a .NET 4 o 3.5, abra la solución .sln, vaya a Proyecto -> Propiedades de ADFSDump y cambie el "Marco de destino" (Target framework) a otra versión.

Tenga en cuenta que AD FS requiere .NET Framework 4.5, así que no estoy seguro de por qué necesitaría usar una versión diferente de todos modos 😉