BARK

BARK sta per BloodHound Attack Research Kit. È uno script PowerShell creato per assistere il team di BloodHound Enterprise nella ricerca e nella convalida continua di primitive di abuso. BARK attualmente si concentra sulla suite di prodotti e servizi Microsoft Azure.

BARK non richiede dipendenze di terze parti. Le funzioni di BARK sono progettate per essere il più semplici e manutenibili possibile. La maggior parte delle funzioni sono semplicissimi wrapper per effettuare richieste a vari endpoint API REST. Le funzioni di base di BARK non dipendono nemmeno l'una dall'altra: puoi estrarre quasi qualsiasi funzione da BARK e funzionerà perfettamente come funzione autonoma nei tuoi script.

Autore e Collaboratori

Autore principale: Andy Robbins @_wald0

Collaboratori:

• Jonas Bülow Knudsen @Jonas_B_K
• Fabian Bader @fabian_bader
• CravateRouge @CravateRouge
• g60ocR @g60ocR

Per Iniziare

Ci sono molti modi per importare uno script PowerShell. Ecco un modo:

Prima, scarica BARK.ps1 clonando questo repository o semplicemente copiando/incollando i suoi contenuti grezzi da GitHub.

git clone https://github.com/BloodHoundAD/BARK

Ora, spostati nella directory in cui si trova il PS1:

cd BARK

Infine, puoi importare il PS1 con il dot sourcing in questo modo:

. .\BARK.ps1

Premi Invio, e la tua istanza di PowerShell avrà ora accesso a tutte le funzioni di BARK.

Eseguire i primi comandi di BARK

Con poche eccezioni, gli endpoint delle API di Azure richiedono autenticazione per interagire. BARK include alcune funzioni che ti aiuteranno ad acquisire i token necessari per interagire con le API MS Graph e Azure REST. Qualsiasi funzione BARK che interagisca con un'API di Azure che richiede autenticazione richiederà di fornire un token.

Diciamo che vuoi elencare tutti gli utenti in un tenant Entra ID. Prima devi ottenere un token con ambito MS Graph. Ci sono molti modi per ottenere questo token:

Se disponi di una combinazione nome utente/password per un utente Entra in quel tenant, puoi prima acquisire un token di aggiornamento per l'utente usando la funzione Get-EntraRefreshTokenWithUsernamePassword di BARK:

$MyRefreshTokenRequest = Get-EntraRefreshTokenWithUsernamePassword -username "[email protected]" -password "MyVeryCoolPassword" -TenantID "contoso.onmicrosoft.com"

L'oggetto risultante che hai appena creato, $MyRefreshTokenRequest, conterrà come parte di esso un token di aggiornamento per il tuo utente. Ora puoi richiedere un token con ambito MS Graph usando questo token di aggiornamento:

$MyMSGraphToken = Get-MSGraphTokenWithRefreshToken -RefreshToken $MyRefreshTokenRequest.refresh_token -TenantID "contoso.onmicrosoft.com"

Ora questo nuovo oggetto, $MyMSGraphToken, avrà come uno dei suoi valori di proprietà un JWT con ambito MS Graph per il tuo utente. Ora sei pronto per usare questo token per elencare tutti gli utenti nel tenant Entra:

$MyUsers = Get-AllEntraUsers -Token $MyMSGraphToken.access_token -ShowProgress

Una volta terminato, la variabile $MyEntraUsers sarà popolata da oggetti che rappresentano tutti gli utenti nel tuo tenant Entra.

Funzioni di Gestione e Manipolazione dei Token

• Get-AzureKeyVaultTokenWithClientCredentials richiede un token da STS con Azure Vault specificato come risorsa/pubblico previsto usando un ID client e un segreto.
• Get-AzureKeyVaultTokenWithUsernamePassword richiede un token da STS con Azure Vault specificato come risorsa/pubblico previsto usando un nome utente e una password forniti dall'utente.
• Get-AzurePortalTokenWithRefreshToken richiede un token di aggiornamento dell'autenticazione del portale Azure con un token di aggiornamento fornito dall'utente.
• Get-AzureRMTokenWithClientCredentials richiede un JWT con ambito AzureRM con un ID client e un segreto. Utile per autenticarsi come un'entità servizio Entra.
• Get-AzureRMTokenWithPortalAuthRefreshToken richiede un JWT con ambito AzureRM con un token di aggiornamento dell'autenticazione del portale Azure fornito dall'utente.
• Get-AzureRMTokenWithRefreshToken richiede un JWT con ambito AzureRM con un token di aggiornamento fornito dall'utente.
• Get-AzureRMTokenWithUsernamePassword richiede un JWT con ambito AzureRM con un nome utente e una password forniti dall'utente.
• Get-EntraRefreshTokenWithUsernamePassword richiede una raccolta di token, incluso un token di aggiornamento, da login.microsoftonline.com con un nome utente e una password forniti dall'utente. Fallirà se l'utente ha requisiti di autenticazione multifattore o è soggetto a una Criterio di Accesso Condizionale.
• Get-MSGraphTokenWithClientCredentials richiede un JWT con ambito MS Graph con un ID client e un segreto. Utile per autenticarsi come un'entità servizio Entra.
• Get-MSGraphTokenWithPortalAuthRefreshToken richiede un JWT con ambito MS Graph con un token di aggiornamento dell'autenticazione del portale Azure fornito dall'utente.
• Get-MSGraphTokenWithRefreshToken richiede un JWT con ambito MS Graph con un token di aggiornamento fornito dall'utente.
• Get-MSGraphTokenWithUsernamePassword richiede un JWT con ambito MS Graph con un nome utente e una password forniti dall'utente.
• Parse-JWTToken prende un JWT codificato in Base64 come input e lo analizza per te. Utile per verificare il pubblico e le rivendicazioni corrette del token.

Le funzioni basate su token di aggiornamento in BARK sono basate su funzioni in TokenTactics di Steve Borosh.

Funzioni di Enumerazione Entra

• Get-AllEntraApps raccoglie tutti gli oggetti di registrazione applicazioni Entra.
• Get-AllEntraGroups raccoglie tutti i gruppi Entra.
• Get-AllEntraRoles raccoglie tutti i ruoli amministrativi Entra.
• Get-AllEntraServicePrincipals raccoglie tutti gli oggetti entità servizio Entra.
• Get-AllEntraUsers raccoglie tutti gli utenti Entra.
• Get-EntraAppOwner raccoglie i proprietari di una registrazione app Entra.
• Get-EntraDeviceRegisteredUsers raccoglie gli utenti di un dispositivo Entra.
• Get-EntraGroupMembers raccoglie i membri di un gruppo Entra.
• Get-EntraGroupOwner raccoglie i proprietari di un gruppo Entra.
• Get-EntraRoleTemplates raccoglie i modelli di ruolo amministrativo Entra.
• Get-EntraServicePrincipal raccoglie un'entità servizio Entra.
• Get-EntraServicePrincipalOwner raccoglie i proprietari di un'entità servizio Entra.
• Get-EntraTierZeroServicePrincipals raccoglie le entità servizio Entra che hanno un'assegnazione di ruolo amministrativo Entra Tier Zero o di ruolo app MS Graph Tier Zero.
• Get-MGAppRoles raccoglie i ruoli app resi disponibili dall'entità servizio MS Graph.