AzureRT

Módulo de Powershell que implementa varios cmdlets para interactuar con Azure y Azure AD desde una perspectiva ofensiva.

Utilidades útiles que manejan autenticación basada en tokens de acceso, cambio entre interfaces Az a AzureAD y az cli, ataques predefinidos fáciles de usar como ejecución de comandos basada en Runbook y más.

---

Los Cmdlets Más Valiosos

Este kit de herramientas trae muchos cmdlets variados. Esta sección destaca los más importantes y útiles.

El flujo de trabajo típico de Red Team / auditoría que comienza con credenciales robadas se puede resumir de la siguiente manera:

Credentials Stolen -> Authenticate to Azure/AzureAD -> find whether they're valid -> find out what you can do with them

Los siguientes cmdlets están precisamente diseñados para ayudarte a seguir esta secuencia:

1. Connect-ART - Ofrece varios medios para autenticarse en Azure - credenciales, PSCredential, token

2. Connect-ARTAD - Ofrece varios medios para autenticarse en Azure AD - credenciales, PSCredential, token

3. Get-ARTWhoami - Cuando te autenticas, ejecuta esto para verificar whoami y validar tu acceso

4. Get-ARTAccess - Luego, cuando sepas que tienes acceso, descubre lo que puedes hacer y lo que es posible realizando conciencia situacional de Azure

5. Get-ARTADAccess - De manera similar, puedes descubrir lo que puedes hacer con alcance en Azure AD.

---

Casos de Uso

Los cmdlets implementados en este módulo resultaron útiles en los siguientes escenarios de uso y ataque:

• Manejar tokens de acceso de Az a AzureAD y viceversa.
• Imprimir de forma clara el contexto de autenticación (también conocido como whoami) en Az, AzureAD, Microsoft.Graph y az cli al mismo tiempo.
• Mostrar los permisos disponibles otorgados al usuario en una máquina virtual de Azure objetivo.
• Mostrar los recursos de Azure accesibles junto con los permisos que tenemos contra ellos.
• Leer fácilmente todos los secretos accesibles de Azure Key Vault.
• Autenticarse como un Service Principal para aprovechar el rol Privileged Role Administrator asignado a ese Service Principal.
• Ejecutar un ataque contra Azure Automation mediante un Runbook malicioso.

---

Instalación

Este módulo depende de los módulos de Powershell Az y AzureAD preinstalados. Microsoft.Graph y az cli son opcionales pero igualmente muy útiles. Antes de comenzar a trabajar con Azure, se pueden usar los siguientes comandos para preparar el entorno ofensivo:

Install-Module Az -Force -Confirm -AllowClobber -Scope CurrentUser
Install-Module AzureAD -Force -Confirm -AllowClobber -Scope CurrentUser
Install-Module Microsoft.Graph -Force -Confirm -AllowClobber -Scope CurrentUser # OPTIONAL
Install-Module MSOnline -Force -Confirm -AllowClobber -Scope CurrentUser        # OPTIONAL
Install-Module AzureADPreview -Force -Confirm -AllowClobber -Scope CurrentUser  # OPTIONAL
Install-Module AADInternals -Force -Confirm -AllowClobber -Scope CurrentUser    # OPTIONAL

Import-Module Az
Import-Module AzureAD

Aunque solo los dos primeros módulos son requeridos por AzureRT, es bueno tener también los otros preinstalados.

Luego, para cargar este módulo, simplemente escribe:

PS> . .\AzureRT.ps1

Y ya estás listo.

O puedes dejar que AzureRT instale e importe todas las dependencias:

PS> . .\AzureRT.ps1
PS> Import-ARTModules

---

Baterías Incluidas

El módulo irá recibiendo gradualmente nuevas herramientas y utilidades, categorizadas naturalmente en fases posteriores de la cadena de eliminación.

Cada cmdlet tiene un mensaje de ayuda detallado con parámetros, descripción y ejemplo de uso:

PS C:\> Get-Help Connect-ART

Actualmente, se incluyen las siguientes utilidades:

Autenticación y mecánica de tokens

• Get-ARTWhoami - Muestra y valida nuestro contexto de autenticación en las interfaces Azure, AzureAD, Microsoft.Graph y AZ CLI.
• Connect-ART - Invoca Connect-AzAccount para autenticar la sesión actual en el Portal de Azure mediante un token de acceso o credenciales proporcionados. Evita la carga de proporcionar el Tenant ID y Account ID extrayéndolos automáticamente del token proporcionado.
• Connect-ARTAD - Invoca Connect-AzureAD (y opcionalmente Connect-MgGraph) para autenticar la sesión actual en Azure Active Directory mediante un token de acceso o credenciales proporcionados. Evita la carga de proporcionar el Tenant ID y Account ID extrayéndolos automáticamente del token proporcionado.
• Connect-ARTADServicePrincipal - Invoca Connect-AzAccount para autenticar la sesión actual en el Portal de Azure mediante un token de acceso o credenciales proporcionados. Evita la carga de proporcionar el Tenant ID y Account ID extrayéndolos automáticamente del token proporcionado. Luego crea un certificado PFX autofirmado y lo asocia con el Service Principal para la autenticación. Después, se autentica como ese Service Principal en AzureAD y desasocia ese certificado para limpiar.
• Get-ARTAccessTokenAzCli - Obtiene un token de acceso de az cli mediante az account get-access-token.
• Get-ARTAccessTokenAz - Obtiene un token de acceso del módulo Az mediante Get-AzAccessToken.
• Get-ARTAccessTokenAzureAD - Obtiene un token de acceso de Azure Active Directory. Creado por Simon Wahlin, @SimonWahlin
• Get-ARTAccessTokenAzureADCached - Intenta recuperar el token de acceso de AzureAD almacenado en caché local (https://graph.microsoft.com), guardado después de que ocurrió Connect-AzureAD.
• Remove-ARTServicePrincipalKey - Realiza acciones de limpieza después de ejecutar Connect-ARTADServicePrincipal.

Reconocimiento y conciencia situacional