AzureRedOps

Una herramienta navaja suiza para red teaming en Azure / Entra ID.

Autor: Mr.Un1k0d3r (TrueCyber Inc) Versión: 0.1 Lenguaje: Python 3.12+

---

Resumen

AzureRedOps es un conjunto de herramientas de seguridad ofensiva para evaluar la postura de seguridad de los inquilinos de Microsoft Entra ID y Azure. Envuelve los flujos de trabajo más comunes de red team — autenticación, gestión de tokens, enumeración de directorios, verificación de privilegios, pulverización de contraseñas y acciones posteriores a la explotación contra Microsoft Graph — detrás de una CLI consistente impulsada por --activity. Cada operación se selecciona con -a/--activity. Los tokens obtenidos durante la autenticación pueden almacenarse en caché localmente (.azure_creds) y reutilizarse por nombre con -l/--load-access-token, por lo que rara vez tendrás que pegar JWTs sin procesar.

Aprende más sobre la herramienta en el blog de CYPFER

Características

• Gestión de tokens — guardar, listar, decodificar/ver y eliminar tokens de acceso/actualización en un almacén de credenciales local (.azure_creds). Cualquier flujo puede persistir sus tokens automáticamente con -s/--save + -n/--name.
• Múltiples flujos de autenticación:
  • ROPC (auth) — autenticación directa con nombre de usuario/contraseña.
  • Phishing de código de dispositivo (phish-start / phish-capture) — abusa de la concesión de autorización de dispositivo OAuth para capturar tokens emitidos cuando un objetivo ingresa tu código de usuario en microsoft.com/devicelogin. Captura automática por defecto.
  • Consentimiento de aplicación de terceros (auth-app) — flujo completo de Código de Autorización + PKCE contra un registro de aplicación personalizado, servido por un listener HTTPS local integrado que recibe la redirección.
  • Captura interactiva del navegador (auth-interactive) — conducir un navegador real (Playwright; Firefox por defecto, -br para cambiar) (maneja MFA / Acceso Condicional / SSO), luego cosechar cada token de la sesión HAR grabada.
  • Intercambio de token de actualización (refresh) — intercambiar un token de actualización por tokens de acceso nuevos.
  • Concesión On-Behalf-Of (obo) — intercambiar un token de acceso ya emitido por un nuevo token con ámbito para un recurso descendente (OAuth 2.0 jwt-bearer / OBO).
  • SSO de token a navegador (browser-sso) — abrir un navegador real ya autenticado como el usuario directamente en la aplicación web objetivo (Outlook en la web, Teams, SharePoint, el portal de Azure, ...). Con -aprt/--auto-prt genera automáticamente una cookie de Primary Refresh Token (PRT) a partir de un token de actualización (registro de dispositivo → PRT → x-ms-RefreshTokenCredential), de modo que un navegador fresco completa el inicio de sesión único sin inicio de sesión manual.
• Enumeración de directorios a través de Microsoft Graph — usuarios, aplicaciones, entidades de servicio, políticas de autorización y un recopilador masivo gather-all.
• Pulverización de contraseñas contra IDs de aplicación propias de Microsoft conocidas (spray) y pulverización de tokens de actualización entre aplicaciones (spray-refresh).
• Post-explotación — registrar aplicaciones, crear grupos, asignar roles de directorio, invitar usuarios externos (invitados) y subir archivos a OneDrive.
• Ayudantes de reconocimiento — magic-app encuentra aplicaciones con redireccionamiento público y consentimiento AllPrincipals; listas incorporadas de IDs de aplicación de Microsoft conocidas/interesantes.
• Calidad de vida — cambio de endpoint beta, encabezados personalizados, user-agent/scope/audiencia personalizados, filtrado de atributos, salida expandida, registro de depuración/HTTP verbose y redirección de salida a un archivo.

---

Requisitos

• Python 3.12 o superior (el código depende de la sintaxis de f-string de PEP 701).
• Paquetes de Python (ver requirements.txt):
  • PyJWT
  • requests
  • playwright
  • cryptography (solo necesario para browser-sso -aprt, el flujo auto-PRT)
• Un runtime de navegador Playwright para los flujos de navegador (auth-interactive, browser-sso). Firefox es el motor predeterminado (-br/--browser); instálalo con python -m playwright install firefox.
• Certificado TLS + clave en includes/web/cert.pem y includes/web/key.pem (solo necesario para el flujo PKCE de auth-app — ver Notas).

---

Instalación```bash

Clone the repository

git clone AzureRedOps cd AzureRedOps

Create and activate a virtual environment

python3 -m venv AzureRedOps source AzureRedOps/bin/activate # Linux / macOS

.\AzureRedOps\Scripts\Activate.ps1 # Windows PowerShell

Install dependencies

pip install -r requirements.txt

Install the browser used by the browser flows (one-time).

Firefox is the default engine; install the one(s) you plan to use with -br.

python -m playwright install firefox

python -m playwright install chromium webkit # optional, for -br chromium/webkit

python -m playwright install-deps # Linux/WSL: pull system libs

Ejecuta la herramienta:```bash
python3 AzureRedOps.py -a <activity> [options]

---

Uso

El patrón de invocación general es:```bash python3 AzureRedOps.py -a [authentication] [activity options] [global options]

### Proporcionando un token

Las actividades que llaman a Microsoft Graph necesitan un token de acceso. Puedes proporcionarlo de dos maneras:

| Método | Bandera | Ejemplo |
|--------|---------|---------|
| Pasar un token sin procesar | `-ac, --access-token` | `-ac eyJ0eXAi...` |
| Cargar un token almacenado en caché por nombre | `-l, --load-access-token` | `-l mytoken` |

Cuando se usa `-l`, el `access_token` coincidente (y, cuando sea relevante, `refresh_token` y `tenant`) se lee del almacén `.azure_creds`.

### Guardando tokens en un archivo (`-s` / `-n`)

Cualquier actividad que obtenga tokens (`auth`, `auth-app`, `auth-interactive`, `phish-start`/`phish-capture`, `refresh`) puede **persistirlos automáticamente** en el almacén de credenciales local (`.azure_creds`) añadiendo `-s/--save` junto con `-n/--name`:```bash
# Authenticate and save the resulting tokens under the name "victim1"
python3 AzureRedOps.py -a auth -u [email protected] -p 'P@ssw0rd!' -tid <tenant-guid> -s -n victim1

• -s/--save activa el guardado automático; requiere -n/--name — la herramienta finaliza con un error si falta -n.
• -n/--name es la clave bajo la cual se almacena el token. Más tarde puedes reutilizarlo con -l victim1 en lugar de pegar el JWT sin procesar, verlo con -a view -n victim1, o eliminarlo con -a delete -n victim1.
• La actividad auth-interactive siempre se guarda automáticamente y te pedirá un nombre de forma interactiva si no se proporciona -n.

Guardar la salida de la actividad en un archivo (-j)

La mayoría de las actividades de enumeración (list-users, list-applications, list-principals, gather-all, raw-url) aceptan -j/--json <filename> para escribir la respuesta sin procesar de la API en un archivo JSON en lugar de (o además de) imprimirla:```bash

Dump every user to users.json

python3 AzureRedOps.py -a list-users -l victim1 -j users.json

Para `gather-all`, el nombre de archivo proporcionado se utiliza como sufijo y se escribe un archivo por endpoint de Graph (por ejemplo, `users-<name>`, `groups-<name>`, ...).

> Consejo: `-j` controla la exportación JSON estructurada, mientras que `-re/--redirect-to-file` refleja la salida formateada de la consola en `output.txt`. Ambos son independientes.

### Identificadores de inquilino