EntraGoat - एक जानबूझकर कमजोर Entra ID वातावरण

EntraGoat सुरक्षा पेशेवरों के लिए एक जानबूझकर कमजोर Microsoft Entra ID अवसंरचना है। अपने स्वयं के टेनेंट में वास्तविक दुनिया की पहचान गलत कॉन्फ़िगरेशन और विशेषाधिकार वृद्धि पथ तैनात करें, फिर एक सुरक्षित, ब्लैक-बॉक्स CTF प्रारूप में उनका शोषण करने का अभ्यास करें।

📖 प्रलेखन  |  📝 ब्लॉग पोस्ट

त्वरित आरंभ

आवश्यक शर्तें

• Global Administrator अधिकार वाला Microsoft Entra ID परीक्षण/ट्रायल टेनेंट
• Microsoft Graph PowerShell SDK

विकल्प A: PowerShell GUI (अनुशंसित, Node.js की आवश्यकता नहीं)

git clone https://github.com/Semperis/EntraGoat && cd EntraGoat
Install-Module Microsoft.Graph -Scope CurrentUser -Force
.\Start-EntraGoat.ps1

Windows (WPF) आवश्यक है। PowerShell 5.1+ और 7+ पर कार्य करता है।
ज़ूम: Ctrl+Plus / Ctrl+Minus / Ctrl+0

विकल्प B: वेब UI

git clone https://github.com/Semperis/EntraGoat && cd EntraGoat
Install-Module Microsoft.Graph -Scope CurrentUser -Force
cd frontend && npm install && npm start

http://localhost:3000 खोलें

विकल्प C: मैन्युअल स्क्रिप्ट्स

cd scenarios
.\EntraGoat-Scenario1-Setup.ps1

विस्तृत सेटअप निर्देशों के लिए docs/getting-started.md देखें।

चुनौतियाँ

प्रत्येक परिदृश्य में एक सेटअप स्क्रिप्ट, क्लीनअप स्क्रिप्ट, समाधान वॉकथ्रू और एक छिपा हुआ फ़्लैग शामिल है।

स्क्रीनशॉट

PowerShell GUI (अनुशंसित)

होम

चुनौती

टर्मिनल आउटपुट

सेटअप	क्लीनअप

वेब UI (वैकल्पिक)

डैशबोर्ड	चुनौती

प्रस्तुत किया गया

• Black Hat USA 2025 — Arsenal
• DEF CON 33 — Demo Labs
• BSides Frankfurt 2025
• SEC-T 0x11
• Black Hat SecTor 2025 — Arsenal
• Black Hat Europe 2025 — Arsenal
• Black Hat Asia 2026 — Arsenal

संसाधन

• EntraGoat क्या है?
• EntraGoat के साथ शुरुआत
• परिदृश्य 1: Service Principal स्वामित्व दुरुपयोग
• परिदृश्य 2: App-Only Graph अनुमतियों का शोषण
• परिदृश्य 6: Certificate-Based Authentication दुरुपयोग

⚠️ अस्वीकरण

केवल शैक्षिक और अधिकृत परीक्षण के लिए। एक समर्पित परीक्षण टेनेंट का उपयोग करें। पूर्ण शर्तों के लिए LICENSE देखें। लेखक दुरुपयोग के लिए कोई दायित्व नहीं लेते हैं।

शुभ शिकार! — EntraGoat टीम