BARK

BARK signifie BloodHound Attack Research Kit. C'est un script PowerShell conçu pour aider l'équipe BloodHound Enterprise à rechercher et valider en continu les primitives d'abus. BARK se concentre actuellement sur la suite de produits et services Microsoft Azure.

BARK ne nécessite aucune dépendance tierce. Les fonctions de BARK sont conçues pour être aussi simples et maintenables que possible. La plupart des fonctions sont de simples wrappers pour effectuer des requêtes vers divers points de terminaison d'API REST. Les fonctions de base de BARK n'ont même pas besoin les unes des autres - vous pouvez extraire presque n'importe quelle fonction de BARK et elle fonctionnera parfaitement comme fonction autonome dans vos propres scripts.

Auteur et contributeurs

Auteur principal : Andy Robbins @_wald0

Contributeurs :

• Jonas Bülow Knudsen @Jonas_B_K
• Fabian Bader @fabian_bader
• CravateRouge @CravateRouge
• g60ocR @g60ocR

Pour commencer

Il existe de nombreuses façons d'importer un script PowerShell. En voici une :

Tout d'abord, téléchargez BARK.ps1 en clonant ce dépôt ou en copiant-collant simplement son contenu brut depuis GitHub.

git clone https://github.com/BloodHoundAD/BARK

Maintenant, placez-vous dans le répertoire où se trouve le PS1 :

cd BARK

Enfin, vous pouvez importer le script avec un point de cette manière :

. .\BARK.ps1

Appuyez sur Entrée, et votre instance PowerShell aura désormais accès à toutes les fonctions de BARK.

Exécuter vos premières commandes BARK

À quelques exceptions près, les points de terminaison de l'API Azure nécessitent une authentification pour interagir. BARK inclut quelques fonctions qui vous aideront à acquérir les jetons nécessaires pour interagir avec les API MS Graph et Azure REST. Toute fonction BARK qui interagit avec une API Azure nécessitant une authentification vous demandera de fournir un jeton.

Supposons que vous souhaitiez lister tous les utilisateurs d'un locataire Entra ID. Vous devez d'abord obtenir un jeton avec une portée pour MS Graph. Il existe plusieurs façons d'obtenir ce jeton :

Si vous disposez d'une combinaison nom d'utilisateur/mot de passe pour un utilisateur Entra dans ce locataire, vous pouvez d'abord acquérir un jeton d'actualisation pour l'utilisateur en utilisant la fonction Get-EntraRefreshTokenWithUsernamePassword de BARK :

$MyRefreshTokenRequest = Get-EntraRefreshTokenWithUsernamePassword -username "[email protected]" -password "MyVeryCoolPassword" -TenantID "contoso.onmicrosoft.com"

L'objet résultant que vous venez de créer, $MyRefreshTokenRequest, contiendra un jeton d'actualisation pour votre utilisateur. Vous pouvez maintenant demander un jeton avec une portée MS Graph en utilisant ce jeton d'actualisation :

$MyMSGraphToken = Get-MSGraphTokenWithRefreshToken -RefreshToken $MyRefreshTokenRequest.refresh_token -TenantID "contoso.onmicrosoft.com"

Maintenant, ce nouvel objet, $MyMSGraphToken, aura comme l'une de ses propriétés un JWT avec une portée MS Graph pour votre utilisateur. Vous êtes maintenant prêt à utiliser ce jeton pour lister tous les utilisateurs du locataire Entra :

$MyUsers = Get-AllEntraUsers -Token $MyMSGraphToken.access_token -ShowProgress

Une fois terminé, la variable $MyEntraUsers sera remplie d'objets représentant tous les utilisateurs de votre locataire Entra.

Fonctions de gestion et de manipulation des jetons

• Get-AzureKeyVaultTokenWithClientCredentials demande un jeton à STS avec Azure Vault spécifié comme ressource/public cible en utilisant un ID client et un secret.
• Get-AzureKeyVaultTokenWithUsernamePassword demande un jeton à STS avec Azure Vault spécifié comme ressource/public cible en utilisant un nom d'utilisateur et un mot de passe fournis par l'utilisateur.
• Get-AzurePortalTokenWithRefreshToken demande un jeton d'actualisation d'authentification du portail Azure avec un jeton d'actualisation fourni par l'utilisateur.
• Get-AzureRMTokenWithClientCredentials demande un JWT avec une portée AzureRM en utilisant un ID client et un secret. Utile pour s'authentifier en tant que principal de service Entra.
• Get-AzureRMTokenWithPortalAuthRefreshToken demande un JWT avec une portée AzureRM en utilisant un jeton d'actualisation d'authentification du portail Azure fourni par l'utilisateur.
• Get-AzureRMTokenWithRefreshToken demande un JWT avec une portée AzureRM en utilisant un jeton d'actualisation fourni par l'utilisateur.
• Get-AzureRMTokenWithUsernamePassword demande un JWT avec une portée AzureRM en utilisant un nom d'utilisateur et un mot de passe fournis par l'utilisateur.
• Get-EntraRefreshTokenWithUsernamePassword demande une collection de jetons, y compris un jeton d'actualisation, à login.microsoftonline.com avec un nom d'utilisateur et un mot de passe fournis par l'utilisateur. Cela échouera si l'utilisateur a des exigences d'authentification multifacteur ou est affecté par une stratégie d'accès conditionnel.
• Get-MSGraphTokenWithClientCredentials demande un JWT avec une portée MS Graph en utilisant un ID client et un secret. Utile pour s'authentifier en tant que principal de service Entra.
• Get-MSGraphTokenWithPortalAuthRefreshToken demande un JWT avec une portée MS Graph en utilisant un jeton d'actualisation d'authentification du portail Azure fourni par l'utilisateur.
• Get-MSGraphTokenWithRefreshToken demande un JWT avec une portée MS Graph en utilisant un jeton d'actualisation fourni par l'utilisateur.
• Get-MSGraphTokenWithUsernamePassword demande un JWT avec une portée MS Graph en utilisant un nom d'utilisateur et un mot de passe fournis par l'utilisateur.
• Parse-JWTToken prend un JWT encodé en Base64 en entrée et le parse pour vous. Utile pour vérifier l'audience et les revendications correctes du jeton.

Les fonctions basées sur les jetons d'actualisation dans BARK sont basées sur les fonctions de TokenTactics par Steve Borosh.

Fonctions d'énumération Entra

• Get-AllEntraApps collecte tous les objets d'enregistrement d'application Entra.
• Get-AllEntraGroups collecte tous les groupes Entra.
• Get-AllEntraRoles collecte tous les rôles d'administration Entra.
• Get-AllEntraServicePrincipals collecte tous les objets principal de service Entra.
• Get-AllEntraUsers collecte tous les utilisateurs Entra.
• Get-EntraAppOwner collecte les propriétaires d'un enregistrement d'application Entra.
• Get-EntraDeviceRegisteredUsers collecte les utilisateurs d'un appareil Entra.
• Get-EntraGroupMembers collecte les membres d'un groupe Entra.
• Get-EntraGroupOwner collecte les propriétaires d'un groupe Entra.
• Get-EntraRoleTemplates collecte les modèles de rôles d'administration Entra.
• Get-EntraServicePrincipal collecte un principal de service Entra.
• Get-EntraServicePrincipalOwner collecte les propriétaires d'un principal de service Entra.
• Get-EntraTierZeroServicePrincipals collecte les principaux de service Entra qui ont une attribution de rôle d'administration Entra de niveau zéro ou d'attribution de rôle d'application MS Graph de niveau zéro.
• Get-MGAppRoles collecte les rôles d'application rendus disponibles par le principal de service MS Graph.