ADFSDump

AD FS से तरह-तरह की अच्छी चीज़ें निकालने के लिए एक C# टूल।

Doug Bienstock (@doughsec) द्वारा Mandiant FireEye में रहते हुए बनाया गया।

यह टूल ADFSpoof के साथ मिलकर चलाने के लिए डिज़ाइन किया गया है। ADFSdump उन सभी जानकारियों को आउटपुट करेगा जो ADFSpoof का उपयोग करके सुरक्षा टोकन (security tokens) उत्पन्न करने के लिए आवश्यक हैं।

विस्तृत विवरण

ADFSDump एक ऐसा टूल है जो Active Directory और AD FS कॉन्फ़िगरेशन डेटाबेस से वह जानकारी पढ़ता है जो नकली सुरक्षा टोकन (forged security tokens) उत्पन्न करने के लिए आवश्यक होती है। इस जानकारी को फिर ADFSpoof में डालकर वे टोकन उत्पन्न किए जा सकते हैं।

आवश्यकताएँ

• ADFSDump को AD FS सेवा खाते (service account) के उपयोगकर्ता संदर्भ में चलाया जाना चाहिए। यह जानकारी आप AD FS सर्वर पर प्रोसेस लिस्टिंग चलाकर या Get-ADFSProperties cmdlet के आउटपुट से प्राप्त कर सकते हैं। केवल AD FS सेवा खाते के पास ही कॉन्फ़िगरेशन डेटाबेस तक पहुँचने के लिए आवश्यक अनुमतियाँ होती हैं। यहाँ तक कि एक DA (डोमेन एडमिन) भी इसे एक्सेस नहीं कर सकता।
• ADFSDump मान लेता है कि सेवा Windows Internal Database (WID) का उपयोग करने के लिए कॉन्फ़िगर की गई है। हालाँकि बाहरी SQL सर्वर का समर्थन करना आसान होगा, पर यह सुविधा अभी मौजूद नहीं है।
• ADFSDump को AD FS सर्वर पर स्थानीय रूप से चलाया जाना चाहिए, न कि AD FS वेब एप्लिकेशन प्रॉक्सी पर। WID को केवल नामित पाइप (named pipe) के माध्यम से स्थानीय रूप से एक्सेस किया जा सकता है।

यह टूल क्या करेगा

• Token Decryption Key (DKM) खोजने के लिए Active Directory से क्वेरी करेगा और उसे STDOUT पर आउटपुट करेगा
• टोकन साइनिंग कुंजी/प्रमाणपत्र जोड़ी के लिए EncryptedPFX ब्लॉब हेतु AD FS कॉन्फ़िगरेशन डेटाबेस से क्वेरी करेगा और उसे STDOUT पर आउटपुट करेगा
• सभी कॉन्फ़िगर किए गए फ़ेडरेटेड एप्लिकेशन (relying parties) के लिए AD FS कॉन्फ़िगरेशन डेटाबेस से क्वेरी करेगा और उनके बारे में महत्वपूर्ण जानकारी आउटपुट करेगा, जैसे RP Identifier, सिग्नेचर एल्गोरिदम, टोकन एन्क्रिप्शन प्रमाणपत्र, जारी करने के नियम (issuance rules), एक्सेस नियंत्रण नियम और बहुत कुछ। यह सब STDOUT पर आउटपुट होता है

उपयोग

• /domain:: लक्षित किया जाने वाला Active Directory डोमेन। डिफ़ॉल्ट रूप से वर्तमान डोमेन।
• /server:: लक्षित किया जाने वाला डोमेन कंट्रोलर। डिफ़ॉल्ट रूप से वर्तमान DC।
• /nokey: स्विच। DKM कुंजी के आउटपुट को अक्षम करने के लिए टॉगल करें।
• /database: (वैकल्पिक) SQL कनेक्शन स्ट्रिंग यदि ADFS WID के बजाय रिमोट MS SQL का उपयोग कर रहा है। इसे उद्धरण चिह्नों में लपेटें, जैसे "/database:Data Source=sql.domain.com;Initial Catalog=AdfsConfigurationV4;Integrated Security=True"
• /username: (वैकल्पिक) वह उपयोगकर्ता नाम जिसके रूप में टूल चलाना है। यदि सेट किया गया है, तो उसके साथ पासवर्ड भी दिया जाना चाहिए।
• /password: (वैकल्पिक) उस उपयोगकर्ता खाते के लिए पासवर्ड जिसके रूप में टूल चलाना है।

संकलन निर्देश

एक संकलित (compiled) संस्करण जारी नहीं किया जाएगा। आपको इसे स्वयं संकलित करना होगा!

ADFSDump को .NET 4.5 के विरुद्ध Visual Studio 2017 Community Edition के साथ बनाया गया था। बस प्रोजेक्ट .sln खोलें, "Release" चुनें, और बिल्ड करें।

अन्य .NET संस्करणों को लक्षित करना

ADFSDump की डिफ़ॉल्ट बिल्ड कॉन्फ़िगरेशन .NET 4.5 के लिए है, जो उन सिस्टमों पर विफल हो जाएगी जिनमें वह संस्करण स्थापित नहीं है। ADFSDump को .NET 4 या 3.5 के लिए लक्षित करने हेतु, .sln समाधान खोलें, Project -> ADFSDump Properties पर जाएँ और "Target framework" को दूसरे संस्करण में बदलें।

ध्यान दें कि AD FS के लिए .NET framework 4.5 आवश्यक है, इसलिए मुझे नहीं पता कि आपको किसी भिन्न संस्करण का उपयोग करने की आवश्यकता क्यों होगी 😉