BARK

BARK का पूर्ण रूप BloodHound Attack Research Kit है। यह एक PowerShell स्क्रिप्ट है जिसे BloodHound Enterprise टीम को दुरुपयोग प्रिमिटिव्स पर शोध करने और उन्हें निरंतर मान्य करने में सहायता के लिए बनाया गया है। BARK वर्तमान में Microsoft के Azure उत्पादों और सेवाओं के सूट पर केंद्रित है।

BARK को किसी तृतीय-पक्ष निर्भरता की आवश्यकता नहीं है। BARK के फ़ंक्शन यथासंभव सरल और रखरखाव योग्य बनाए गए हैं। अधिकांश फ़ंक्शन विभिन्न REST API एंडपॉइंट्स पर अनुरोध करने के लिए बहुत ही सरल रैपर हैं। BARK के बुनियादी फ़ंक्शन एक-दूसरे पर निर्भर भी नहीं हैं - आप BARK से लगभग किसी भी BARK फ़ंक्शन को निकाल सकते हैं और यह आपकी अपनी स्क्रिप्ट्स में एक स्टैंडअलोन फ़ंक्शन के रूप में पूरी तरह से काम करेगा।

लेखक और योगदानकर्ता

प्राथमिक लेखक: Andy Robbins @_wald0

योगदानकर्ता:

• Jonas Bülow Knudsen @Jonas_B_K
• Fabian Bader @fabian_bader
• CravateRouge @CravateRouge
• g60ocR @g60ocR

आरंभ करना

PowerShell स्क्रिप्ट आयात करने के कई तरीके हैं। यहाँ एक तरीका है:

पहले, इस रिपॉजिटरी को क्लोन करके या GitHub से इसकी कच्ची सामग्री को कॉपी-पेस्ट करके BARK.ps1 डाउनलोड करें।

git clone https://github.com/BloodHoundAD/BARK

अब, उस निर्देशिका में cd करें जहाँ PS1 है:

cd BARK

अंत में, आप PS1 को इस प्रकार डॉट-इम्पोर्ट कर सकते हैं:

. .\BARK.ps1

एंटर दबाएँ, और आपके PowerShell इंस्टेंस के पास अब BARK के सभी फ़ंक्शनों तक पहुँच होगी।

अपने पहले BARK कमांड चलाना

बहुत कम अपवादों को छोड़कर, Azure API एंडपॉइंट्स के साथ इंटरैक्ट करने के लिए प्रमाणीकरण आवश्यक है। BARK में कुछ फ़ंक्शन हैं जो MS Graph और Azure REST APIs के साथ इंटरैक्ट करने के लिए आवश्यक टोकन प्राप्त करने में आपकी मदद करेंगे। कोई भी BARK फ़ंक्शन जो Azure API के साथ इंटरैक्ट करता है जिसमें प्रमाणीकरण की आवश्यकता है, उसके लिए आपको एक टोकन प्रदान करना होगा।

मान लीजिए कि आप किसी Entra ID टेनेंट में सभी उपयोगकर्ताओं को सूचीबद्ध करना चाहते हैं। पहले आपको MS Graph के लिए स्कोप किया गया एक टोकन प्राप्त करना होगा। इस टोकन को प्राप्त करने के कई तरीके हैं:

यदि आपके पास उस टेनेंट में एक Entra उपयोगकर्ता के लिए उपयोगकर्ता नाम/पासवर्ड संयोजन है, तो आप पहले BARK के Get-EntraRefreshTokenWithUsernamePassword फ़ंक्शन का उपयोग करके उपयोगकर्ता के लिए एक रिफ्रेश टोकन प्राप्त कर सकते हैं:

$MyRefreshTokenRequest = Get-EntraRefreshTokenWithUsernamePassword -username "[email protected]" -password "MyVeryCoolPassword" -TenantID "contoso.onmicrosoft.com"

आपके द्वारा अभी बनाया गया ऑब्जेक्ट, $MyRefreshTokenRequest, में आपके उपयोगकर्ता के लिए एक रिफ्रेश टोकन शामिल होगा। अब आप इस रिफ्रेश टोकन का उपयोग करके MS Graph-स्कोप्ड टोकन का अनुरोध कर सकते हैं:

$MyMSGraphToken = Get-MSGraphTokenWithRefreshToken -RefreshToken $MyRefreshTokenRequest.refresh_token -TenantID "contoso.onmicrosoft.com"

अब इस नए ऑब्जेक्ट, $MyMSGraphToken, में इसकी एक प्रॉपर्टी मान के रूप में आपके उपयोगकर्ता के लिए एक MS Graph-स्कोप्ड JWT होगा। अब आप इस टोकन का उपयोग Entra टेनेंट में सभी उपयोगकर्ताओं को सूचीबद्ध करने के लिए तैयार हैं:

$MyUsers = Get-AllEntraUsers -Token $MyMSGraphToken.access_token -ShowProgress

समाप्त होने पर, $MyEntraUsers वेरिएबल आपके Entra टेनेंट के सभी उपयोगकर्ताओं का प्रतिनिधित्व करने वाले ऑब्जेक्ट्स से भर जाएगा।

टोकन प्रबंधन और हेरफेर फ़ंक्शन

• Get-AzureKeyVaultTokenWithClientCredentials क्लाइंट ID और सीक्रेट का उपयोग करके Azure Vault को संसाधन/इच्छित दर्शक के रूप में निर्दिष्ट करते हुए STS से एक टोकन का अनुरोध करता है।
• Get-AzureKeyVaultTokenWithUsernamePassword उपयोगकर्ता द्वारा प्रदान किए गए उपयोगकर्ता नाम और पासवर्ड का उपयोग करके Azure Vault को संसाधन/इच्छित दर्शक के रूप में निर्दिष्ट करते हुए STS से एक टोकन का अनुरोध करता है।
• Get-AzurePortalTokenWithRefreshToken उपयोगकर्ता द्वारा प्रदान किए गए रिफ्रेश टोकन के साथ एक Azure Portal Auth Refresh टोकन का अनुरोध करता है।
• Get-AzureRMTokenWithClientCredentials क्लाइंट ID और सीक्रेट के साथ AzureRM-स्कोप्ड JWT का अनुरोध करता है। Entra सेवा प्रिंसिपल के रूप में प्रमाणीकरण के लिए उपयोगी।
• Get-AzureRMTokenWithPortalAuthRefreshToken उपयोगकर्ता द्वारा प्रदान किए गए Azure Portal Auth Refresh टोकन के साथ AzureRM-स्कोप्ड JWT का अनुरोध करता है।
• Get-AzureRMTokenWithRefreshToken उपयोगकर्ता द्वारा प्रदान किए गए रिफ्रेश टोकन के साथ AzureRM-स्कोप्ड JWT का अनुरोध करता है।
• Get-AzureRMTokenWithUsernamePassword उपयोगकर्ता द्वारा प्रदान किए गए उपयोगकर्ता नाम और पासवर्ड के साथ AzureRM-स्कोप्ड JWT का अनुरोध करता है।
• Get-EntraRefreshTokenWithUsernamePassword login.microsoftonline.com से उपयोगकर्ता द्वारा प्रदान किए गए उपयोगकर्ता नाम और पासवर्ड के साथ एक रिफ्रेश टोकन सहित टोकन का एक संग्रह का अनुरोध करता है। यह विफल होगा यदि उपयोगकर्ता पर मल्टी-फ़ैक्टर प्रमाणीकरण की आवश्यकताएँ हैं या कोई सशर्त एक्सेस नीति प्रभावित करती है।

BARK में रिफ्रेश टोकन-आधारित फ़ंक्शन TokenTactics के फ़ंक्शनों पर आधारित हैं, जो Steve Borosh द्वारा है।

Entra गणना फ़ंक्शन

• Get-AllEntraApps सभी Entra एप्लिकेशन पंजीकरण ऑब्जेक्ट्स एकत्र करता है।
• Get-AllEntraGroups सभी Entra समूह एकत्र करता है।
• Get-AllEntraRoles सभी Entra व्यवस्थापक भूमिकाएँ एकत्र करता है।
• Get-AllEntraServicePrincipals सभी Entra सेवा प्रिंसिपल ऑब्जेक्ट्स एकत्र करता है।
• Get-AllEntraUsers सभी Entra उपयोगकर्ता एकत्र करता है।
• Get-EntraAppOwner Entra ऐप पंजीकरण के स्वामी एकत्र करता है।
• Get-EntraDeviceRegisteredUsers Entra डिवाइस के पंजीकृत उपयोगकर्ता एकत्र करता है।
• Get-EntraGroupMembers Entra समूह के सदस्य एकत्र करता है।
• Get-EntraGroupOwner Entra समूह के स्वामी एकत्र करता है।
• Get-EntraRoleTemplates Entra व्यवस्थापक भूमिका टेम्पलेट एकत्र करता है।
• Get-EntraServicePrincipal एक Entra सेवा प्रिंसिपल एकत्र करता है।

Azure Resource Manager गणना फ़ंक्शन

• Get-AllAzureManagedIdentityAssignments सभी प्रबंधित पहचान असाइनमेंट एकत्र करता है।
• Get-AllAzureRMAKSClusters एक सब्सक्रिप्शन के अंतर्गत सभी कुबरनेटिस सेवा क्लस्टर एकत्र करता है।
• Get-AllAzureRMAutomationAccounts एक सब्सक्रिप्शन के अंतर्गत सभी ऑटोमेशन खाते एकत्र करता है।
• Get-AllAzureRMAzureContainerRegistries एक सब्सक्रिप्शन के अंतर्गत सभी कंटेनर रजिस्ट्री एकत्र करता है।
• Get-AllAzureRMFunctionApps एक सब्सक्रिप्शन के अंतर्गत सभी फ़ंक्शन ऐप्स एकत्र करता है।
• Get-AllAzureRMKeyVaults एक सब्सक्रिप्शन के अंतर्गत सभी की वॉल्ट एकत्र करता है।
• Get-AllAzureRMLogicApps एक सब्सक्रिप्शन के अंतर्गत सभी लॉजिक ऐप्स एकत्र करता है।
• Get-AllAzureRMResourceGroups एक सब्सक्रिप्शन के अंतर्गत सभी संसाधन समूह एकत्र करता है।
• Get-AllAzureRMSubscriptions सभी AzureRM सब्सक्रिप्शन एकत्र करता है।
• Get-AllAzureRMVMScaleSetsVMs एक VM स्केल सेट के अंतर्गत सभी वर्चुअल मशीन एकत्र करता है।

Intune गणना फ़ंक्शन

• Get-IntuneManagedDevices Intune-प्रबंधित डिवाइस एकत्र करता है।
• Get-IntuneRoleDefinitions उपलब्ध Intune भूमिका परिभाषाएँ एकत्र करता है।

Entra दुरुपयोग फ़ंक्शन

• Add-MemberToEntraGroup किसी सिद्धांत को Entra समूह में जोड़ने का प्रयास करेगा।
• Enable-EntraRole Entra भूमिका को सक्षम (या "सक्रिय") करने का प्रयास करेगा।
• New-EntraAppOwner Entra ऐप में एक नया स्वामी जोड़ने का प्रयास करेगा।
• New-EntraAppRoleAssignment एक सेवा प्रिंसिपल को एक ऐप भूमिका प्रदान करने का प्रयास करेगा। उदाहरण के लिए, आप इसका उपयोग किसी सेवा प्रिंसिपल को RoleManagement.ReadWrite.Directory ऐप भूमिका प्रदान करने के लिए कर सकते हैं।
• New-EntraAppSecret मौजूदा Entra ऐप पंजीकरण के लिए एक नया गुप्त बनाने का प्रयास करेगा।
• New-EntraGroupOwner Entra समूह में एक नया स्वामी जोड़ने का प्रयास करेगा।
• New-EntraRoleAssignment निर्दिष्ट सिद्धांत को Entra व्यवस्थापक भूमिका निर्दिष्ट करने का प्रयास करेगा।
• New-EntraServicePrincipalOwner Entra सेवा प्रिंसिपल में एक नया स्वामी जोड़ने का प्रयास करेगा।
• New-EntraServicePrincipalSecret मौजूदा Entra सेवा प्रिंसिपल के लिए एक नया गुप्त बनाने का प्रयास करेगा।
• Reset-EntraUserPassword किसी अन्य उपयोगकर्ता का पासवर्ड रीसेट करने का प्रयास करेगा। सफल होने पर, आउटपुट में उपयोगकर्ता का नया, Azure-जनरेटेड पासवर्ड होगा।

Azure Resource Manager दुरुपयोग फ़ंक्शन

• Invoke-AzureRMAKSRunCommand AKS क्लस्टर को एक कमांड निष्पादित करने का निर्देश देगा।
• Invoke-AzureRMVMRunCommand VM पर एक कमांड निष्पादित करने का प्रयास करेगा।
• Invoke-AzureRMWebAppShellCommand वेब ऐप कंटेनर पर एक कमांड निष्पादित करने का प्रयास करेगा।
• Invoke-AzureVMScaleSetVMRunCommand VM स्केल सेट VM पर एक कमांड निष्पादित करने का प्रयास करेगा।
• New-AzureAutomationAccountRunBook एक ऑटोमेशन खाते में एक रनबुक जोड़ने का प्रयास करेगा।
• New-AzureKeyVaultAccessPolicy किसी सिद्धांत को की वॉल्ट के गुप्त, कुंजियों और प्रमाणपत्रों पर "Get" और "List" अनुमतियाँ प्रदान करने का प्रयास करेगा।
• New-AzureRMRoleAssignment किसी विशेष सिद्धांत को एक निश्चित स्कोप पर उपयोगकर्ता-निर्दिष्ट AzureRM भूमिका असाइनमेंट प्रदान करने का प्रयास करेगा।
• New-PowerShellFunctionAppFunction एक फ़ंक्शन ऐप में एक नया PowerShell फ़ंक्शन बनाने का प्रयास करेगा।

मेटा फ़ंक्शन

• ConvertTo-Markdown का उपयोग Invoke-Tests फ़ंक्शनों से आउटपुट को किसी अन्य प्लेटफ़ॉर्म पर उपयोग के लिए संशोधित करने के लिए किया जाता है।
• Invoke-AllAzureMGAbuseTests MS Graph ऐप भूमिका धारण करके निष्पादित किए जा सकने वाले सभी दुरुपयोग सत्यापन परीक्षण करता है। एक ऑब्जेक्ट लौटाता है जो बताता है कि कौन से विशेषाधिकार प्रत्येक दुरुपयोग परीक्षण में सफल रहे।
• Invoke-AllAzureRMAbuseTests सभी AzureRM दुरुपयोग सत्यापन परीक्षण करता है और एक परिणामी ऑब्जेक्ट आउटपुट करता है जो बताता है कि किन AzureRM भूमिकाओं ने प्रत्येक दुरुपयोग करने की क्षमता प्रदान की।
• Invoke-AllEntraAbuseTests उन सभी दुरुपयोग सत्यापन परीक्षण करता है जो Entra व्यवस्थापक भूमिकाओं से संपन्न सिद्धांतों द्वारा निष्पादित किए जा सकते हैं। एक ऑब्जेक्ट लौटाता है जो बताता है कि कौन से विशेषाधिकार प्रत्येक दुरुपयोग परीक्षण में सफल रहे।
• New-EntraIDAbuseTestSPs प्रति सक्रिय Entra व्यवस्थापक भूमिका के लिए एक नया सेवा प्रिंसिपल बनाता है और प्रत्येक सेवा प्रिंसिपल को उपयुक्त भूमिका प्रदान करता है। प्रत्येक सेवा प्रिंसिपल के लिए बनाए गए सादे पाठ क्रेडेंशियल लौटाता है।
• New-EntraIDAbuseTestUsers प्रति सक्रिय Entra व्यवस्थापक भूमिका के लिए एक नया उपयोगकर्ता बनाता है और प्रत्येक उपयोगकर्ता को उपयुक्त भूमिका प्रदान करता है। प्रत्येक उपयोगकर्ता के लिए बनाए गए सादे पाठ क्रेडेंशियल लौटाता है।
• New-IntuneAbuseTestUsers प्रति Intune भूमिका के लिए एक नया उपयोगकर्ता बनाता है और प्रत्येक उपयोगकर्ता को उपयुक्त भूमिका प्रदान करता है। प्रत्येक उपयोगकर्ता के लिए बनाए गए सादे पाठ क्रेडेंशियल लौटाता है।
• New-MSGraphAppRoleTestSPs प्रति MS Graph ऐप भूमिका के लिए एक नया सेवा प्रिंसिपल बनाता है और प्रत्येक सेवा प्रिंसिपल को उपयुक्त भूमिका प्रदान करता है। प्रत्येक सेवा प्रिंसिपल के लिए बनाए गए सादे पाठ क्रेडेंशियल लौटाता है।