ADFSDump

Un outil C# pour extraire toutes sortes de bonnes choses d'AD FS.

Créé par Doug Bienstock (@doughsec) lorsqu'il était chez Mandiant FireEye.

Cet outil est conçu pour être utilisé conjointement avec ADFSpoof. ADFSDump affichera toutes les informations nécessaires pour générer des jetons de sécurité à l'aide d'ADFSpoof.

Description détaillée

ADFSDump est un outil qui lit les informations d'Active Directory et de la base de données de configuration AD FS nécessaires pour générer des jetons de sécurité forgés. Ces informations peuvent ensuite être transmises à ADFSpoof pour générer ces jetons.

Prérequis

• ADFSDump doit être exécuté avec le contexte utilisateur du compte de service AD FS. Vous pouvez obtenir ces informations en listant les processus sur le serveur AD FS ou à partir de la sortie de la cmdlet Get-ADFSProperties. Seul le compte de service AD FS dispose des autorisations nécessaires pour accéder à la base de configuration. Même un DA ne peut pas y accéder.
• ADFSDump suppose que le service est configuré pour utiliser la base de données interne Windows (WID). Bien qu'il serait trivial de prendre en charge un serveur SQL externe, cette fonctionnalité n'existe pas pour le moment.
• ADFSDump doit être exécuté localement sur un serveur AD FS, PAS sur un proxy d'application web AD FS. La WID ne peut être accessible localement que via un canal nommé (named pipe).

Ce que fait cet outil

• Interroge Active Directory pour trouver la clé DKM actuelle et l'affiche sur STDOUT
• Interroge la base de données de configuration AD FS pour le blob EncryptedPFX de la paire clé/certificat de signature de jeton et l'affiche sur STDOUT
• Interroge la base de données de configuration AD FS pour toutes les applications fédérées configurées (parties de confiance) et affiche des informations importantes à leur sujet, telles que l'identifiant RP, l'algorithme de signature, le certificat de chiffrement des jetons, les règles d'émission, les règles de contrôle d'accès, etc. Tout cela est affiché sur STDOUT

Utilisation

• /domain: : Le domaine Active Directory cible. Par défaut, le domaine courant.
• /server: : Le contrôleur de domaine cible. Par défaut, le DC courant.
• /nokey : Interrupteur. Permet de désactiver la sortie de la clé DKM.
• /database: (facultatif) Chaîne de connexion SQL si AD FS utilise un MS SQL distant plutôt que la WID. Mettez-la entre guillemets, par exemple "/database:Data Source=sql.domain.com;Initial Catalog=AdfsConfigurationV4;Integrated Security=True"
• /username : (facultatif) Nom d'utilisateur sous lequel exécuter l'outil. S'il est défini, un mot de passe doit être fourni avec.
• /password : (facultatif) Mot de passe du compte utilisateur sous lequel exécuter l'outil.

Instructions de compilation

Une version compilée ne sera pas publiée. Vous devrez la compiler vous-même !

ADFSDump a été compilé avec .NET 4.5 sous Visual Studio 2017 Community Edition. Il suffit d'ouvrir le fichier .sln du projet, de choisir « Release », puis de compiler.

Cibler d'autres versions de .NET

La configuration de build par défaut d'ADFSDump cible .NET 4.5, ce qui échouera sur les systèmes où cette version n'est pas installée. Pour cibler ADFSDump sur .NET 4 ou 3.5, ouvrez la solution .sln, allez dans Projet -> Propriétés ADFSDump et changez le « Target framework » (framework cible) vers une autre version.

Notez qu'AD FS nécessite .NET Framework 4.5, donc je ne suis pas sûr de la raison pour laquelle vous auriez besoin d'utiliser une autre version 😉