Énumération non authentifiée de Microsoft Entra ID (Azure AD)

Source : EvilMist Toolkit - Invoke-EntraEnum.ps1 - https://github.com/Logisek/EvilMist

1. Découverte du locataire (-TenantInfo)

Découvre les informations du locataire à l'aide d'API publiques.

1.1 API azmap.dev

Récupère les détails du locataire depuis le service azmap.dev.

# Replace DOMAIN with target domain (e.g., example.com)
curl -s "https://azmap.dev/api/tenant?domain=DOMAIN&extract=true"

La réponse contient : tenantId, displayName, countryCode

1.2 Configuration OpenID

Récupère la configuration OpenID Connect, y compris les points de terminaison de jeton.

# Replace DOMAIN with target domain
curl -s "https://login.microsoftonline.com/DOMAIN/v2.0/.well-known/openid-configuration"

La réponse contient : token_endpoint, authorization_endpoint, jwks_uri, issuer

2. Informations sur le realm du domaine (-DomainRealm)

Récupère l'espace de noms du domaine et la configuration de fédération.

# Replace DOMAIN with target domain
curl -s "https://login.microsoftonline.com/getuserrealm.srf?login=enum@DOMAIN&json=1"

La réponse contient :

NameSpaceType - « Managed » ou « Federated »
AuthURL - URL d'authentification de fédération (si fédéré)
CloudInstanceName - Instance cloud (par ex., « microsoftonline.com »)
FederationBrandName - Nom de marque de l'organisation
DomainName - Domaine vérifié

3. Énumération d'utilisateurs via GetCredentialType (-UserEnum)

Vérifie si un utilisateur existe dans Azure AD. Renvoie différents codes selon l'existence de l'utilisateur.

# Replace EMAIL with target email address
curl -s -X POST "https://login.microsoftonline.com/common/GetCredentialType" \
  -H "Content-Type: application/json" \
  -d '{
    "Username": "EMAIL",
    "isOtherIdpSupported": true,
    "checkPhones": false,
    "isRemoteNGCSupported": true,
    "isCookieBannerShown": false,
    "isFidoSupported": true,
    "originalRequest": "",
    "country": "US",
    "forceotclogin": false,
    "isExternalFederationDisallowed": false,
    "isRemoteConnectSupported": false,
    "federationFlags": 0,
    "isSignup": false,
    "flowToken": "",
    "isAccessPassSupported": true
  }'

Codes IfExistsResult :

0 = L'utilisateur existe (IdP Azure)
1 = L'utilisateur n'existe pas
2 = Requête invalide
4 = Erreur serveur
5 = L'utilisateur existe (IdP fédéré)
6 = L'utilisateur existe (IdP externe non Microsoft)

4. Reconnaissance DNS (-DnsEnum)

Requêtes DNS pour les enregistrements liés à Azure/M365. Utilisez les commandes dig, nslookup ou host.

4.1 Enregistrements CNAME

# Main domain CNAME
dig CNAME DOMAIN

# Autodiscover CNAME
dig CNAME autodiscover.DOMAIN
dig CNAME lyncdiscover.DOMAIN
dig CNAME sip.DOMAIN

4.2 Enregistrements TXT/SPF

dig TXT DOMAIN

4.3 Enregistrements SRV

dig SRV _ldap._tcp.DOMAIN
dig SRV _kerberos._tcp.DOMAIN
dig SRV _autodiscover._tcp.DOMAIN
dig SRV _sip._tls.DOMAIN
dig SRV _sipfederationtls._tcp.DOMAIN

4.4 Enregistrements MX

dig MX DOMAIN

5. Énumération d'utilisateurs OneDrive (-OneDriveEnum)

Totalement indétectable - Aucun journal d'audit généré.

Vérifie si un utilisateur existe en interrogeant l'URL de son site personnel OneDrive.

# Replace TENANT with tenant name (e.g., example)
# Replace USERPATH with email formatted as: user_domain_com (@ and . replaced with _)
# Example: [email protected] becomes john_doe_example_com

curl -s -o /dev/null -w "%{http_code}" -I \
  "https://TENANT-my.sharepoint.com/personal/USERPATH/_layouts/15/onedrive.aspx"

Codes de statut :

200 = L'utilisateur existe, OneDrive accessible
401/403 = L'utilisateur existe, accès refusé
404 = L'utilisateur n'existe pas

Exemple pour l'utilisateur [email protected] :

curl -s -o /dev/null -w "%{http_code}" -I \
  "https://example-my.sharepoint.com/personal/john_doe_example_com/_layouts/15/onedrive.aspx"

6. Métadonnées de fédération (-FederationMeta)

Récupère les métadonnées de fédération, y compris les certificats de signature et les points de terminaison de jeton.

# Replace DOMAIN with target domain
curl -s "https://login.microsoftonline.com/DOMAIN/FederationMetadata/2007-06/FederationMetadata.xml"

La réponse contient (XML) :

ID d'entité
Certificats de signature X509
Points de terminaison de jeton
Formats NameID
Types de revendications
Informations sur le serveur ADFS (si fédéré)

7. Détection du SSO transparent (-SeamlessSSO)

Détecte si le Desktop SSO (authentification unique transparente) est activé.

7.1 Vérifier la configuration SSO

# Replace DOMAIN with target domain
curl -s "https://login.microsoftonline.com/getuserrealm.srf?login=user@DOMAIN&json=1"

Recherchez : DesktopSsoEnabled: true

7.2 Tester le point de terminaison Autologon (si SSO activé)

# Replace TENANT_ID with the tenant GUID
curl -s -o /dev/null -w "%{http_code}" \
  "https://autologon.microsoftazuread-sso.com/TENANT_ID/winauth/trust/2005/usernamemixed"

8. Énumération des sous-domaines Azure (-SubdomainEnum)

Découvre les ressources Azure associées à un locataire. Utilise la résolution DNS.

Sous-domaines Azure principaux à vérifier :

# Replace TENANT with tenant name

# Primary tenant domain
dig A TENANT.onmicrosoft.com

# SharePoint
dig A TENANT.sharepoint.com

# OneDrive
dig A TENANT-my.sharepoint.com

# Azure Blob Storage
dig A TENANT.blob.core.windows.net

# Azure Files
dig A TENANT.file.core.windows.net

# Azure Queue
dig A TENANT.queue.core.windows.net

# Azure Table
dig A TENANT.table.core.windows.net

# Key Vault
dig A TENANT.vault.azure.net

# Azure SQL
dig A TENANT.database.windows.net

# App Service
dig A TENANT.azurewebsites.net

# Kudu/Git Deployment
dig A TENANT.scm.azurewebsites.net

# Cloud Services
dig A TENANT.cloudapp.net
dig A TENANT.cloudapp.azure.com

# Exchange Online Protection
dig A TENANT.mail.protection.outlook.com

# Container Registry
dig A TENANT.azurecr.io

# Redis Cache
dig A TENANT.redis.cache.windows.net

# Service Bus
dig A TENANT.servicebus.windows.net

# Front Door
dig A TENANT.azurefd.net

# Azure AD B2C
dig A TENANT.b2clogin.com

# API Management
dig A TENANT.azure-api.net

# Traffic Manager
dig A TENANT.trafficmanager.net

# HDInsight
dig A TENANT.azurehdinsight.net

# Cosmos DB
dig A TENANT.documents.azure.com

# Cognitive Search
dig A TENANT.search.windows.net

# Cognitive Services
dig A TENANT.cognitiveservices.azure.com

Exemples de permutations :

# Common suffixes: dev, prod, staging, test, uat, qa, backup, dr, api, app, web, data
dig A TENANTdev.blob.core.windows.net
dig A TENANTprod.azurewebsites.net
dig A TENANTstaging.vault.azure.net

9. Énumération Autodiscover V2 (-AutodiscoverEnum)

Vérifie l'existence d'un utilisateur via le point de terminaison JSON Autodiscover V2.

# Replace EMAIL with target email address
curl -s -o /dev/null -w "%{http_code}" -L --max-redirs 0 \
  "https://autodiscover-s.outlook.com/autodiscover/autodiscover.json?Email=EMAIL&Protocol=Autodiscoverv1"