BARK

BARK sta per BloodHound Attack Research Kit. È uno script PowerShell creato per assistere il team di BloodHound Enterprise nella ricerca e nella convalida continua di primitive di abuso. BARK attualmente si concentra sulla suite di prodotti e servizi Microsoft Azure.

BARK non richiede dipendenze di terze parti. Le funzioni di BARK sono progettate per essere il più semplici e manutenibili possibile. La maggior parte delle funzioni sono semplicissimi wrapper per effettuare richieste a vari endpoint API REST. Le funzioni di base di BARK non dipendono nemmeno l'una dall'altra: puoi estrarre quasi qualsiasi funzione da BARK e funzionerà perfettamente come funzione autonoma nei tuoi script.

Autore e Collaboratori

Autore principale: Andy Robbins @_wald0

Collaboratori:

• Jonas Bülow Knudsen @Jonas_B_K
• Fabian Bader @fabian_bader
• CravateRouge @CravateRouge
• g60ocR @g60ocR

Per Iniziare

Ci sono molti modi per importare uno script PowerShell. Ecco un modo:

Prima, scarica BARK.ps1 clonando questo repository o semplicemente copiando/incollando i suoi contenuti grezzi da GitHub.

git clone https://github.com/BloodHoundAD/BARK

Ora, spostati nella directory in cui si trova il PS1:

cd BARK

Infine, puoi importare il PS1 con il dot sourcing in questo modo:

. .\BARK.ps1

Premi Invio, e la tua istanza di PowerShell avrà ora accesso a tutte le funzioni di BARK.

Eseguire i primi comandi di BARK

Con poche eccezioni, gli endpoint delle API di Azure richiedono autenticazione per interagire. BARK include alcune funzioni che ti aiuteranno ad acquisire i token necessari per interagire con le API MS Graph e Azure REST. Qualsiasi funzione BARK che interagisca con un'API di Azure che richiede autenticazione richiederà di fornire un token.

Diciamo che vuoi elencare tutti gli utenti in un tenant Entra ID. Prima devi ottenere un token con ambito MS Graph. Ci sono molti modi per ottenere questo token:

Se disponi di una combinazione nome utente/password per un utente Entra in quel tenant, puoi prima acquisire un token di aggiornamento per l'utente usando la funzione Get-EntraRefreshTokenWithUsernamePassword di BARK:

$MyRefreshTokenRequest = Get-EntraRefreshTokenWithUsernamePassword -username "[email protected]" -password "MyVeryCoolPassword" -TenantID "contoso.onmicrosoft.com"

L'oggetto risultante che hai appena creato, $MyRefreshTokenRequest, conterrà come parte di esso un token di aggiornamento per il tuo utente. Ora puoi richiedere un token con ambito MS Graph usando questo token di aggiornamento:

$MyMSGraphToken = Get-MSGraphTokenWithRefreshToken -RefreshToken $MyRefreshTokenRequest.refresh_token -TenantID "contoso.onmicrosoft.com"

Ora questo nuovo oggetto, $MyMSGraphToken, avrà come uno dei suoi valori di proprietà un JWT con ambito MS Graph per il tuo utente. Ora sei pronto per usare questo token per elencare tutti gli utenti nel tenant Entra:

$MyUsers = Get-AllEntraUsers -Token $MyMSGraphToken.access_token -ShowProgress

Una volta terminato, la variabile $MyEntraUsers sarà popolata da oggetti che rappresentano tutti gli utenti nel tuo tenant Entra.

Funzioni di Gestione e Manipolazione dei Token

• Get-AzureKeyVaultTokenWithClientCredentials richiede un token da STS con Azure Vault specificato come risorsa/pubblico previsto usando un ID client e un segreto.
• Get-AzureKeyVaultTokenWithUsernamePassword richiede un token da STS con Azure Vault specificato come risorsa/pubblico previsto usando un nome utente e una password forniti dall'utente.
• Get-AzurePortalTokenWithRefreshToken richiede un token di aggiornamento dell'autenticazione del portale Azure con un token di aggiornamento fornito dall'utente.
• Get-AzureRMTokenWithClientCredentials richiede un JWT con ambito AzureRM con un ID client e un segreto. Utile per autenticarsi come un'entità servizio Entra.
• Get-AzureRMTokenWithPortalAuthRefreshToken richiede un JWT con ambito AzureRM con un token di aggiornamento dell'autenticazione del portale Azure fornito dall'utente.
• Get-AzureRMTokenWithRefreshToken richiede un JWT con ambito AzureRM con un token di aggiornamento fornito dall'utente.
• Get-AzureRMTokenWithUsernamePassword richiede un JWT con ambito AzureRM con un nome utente e una password forniti dall'utente.
• Get-EntraRefreshTokenWithUsernamePassword richiede una raccolta di token, incluso un token di aggiornamento, da login.microsoftonline.com con un nome utente e una password forniti dall'utente. Fallirà se l'utente ha requisiti di autenticazione multifattore o è soggetto a una Criterio di Accesso Condizionale.

Le funzioni basate su token di aggiornamento in BARK sono basate su funzioni in TokenTactics di Steve Borosh.

Funzioni di Enumerazione Entra

• Get-AllEntraApps raccoglie tutti gli oggetti di registrazione applicazioni Entra.
• Get-AllEntraGroups raccoglie tutti i gruppi Entra.
• Get-AllEntraRoles raccoglie tutti i ruoli amministrativi Entra.
• Get-AllEntraServicePrincipals raccoglie tutti gli oggetti entità servizio Entra.
• Get-AllEntraUsers raccoglie tutti gli utenti Entra.
• Get-EntraAppOwner raccoglie i proprietari di una registrazione app Entra.
• Get-EntraDeviceRegisteredUsers raccoglie gli utenti di un dispositivo Entra.
• Get-EntraGroupMembers raccoglie i membri di un gruppo Entra.
• Get-EntraGroupOwner raccoglie i proprietari di un gruppo Entra.
• Get-EntraRoleTemplates raccoglie i modelli di ruolo amministrativo Entra.
• Get-EntraServicePrincipal raccoglie un'entità servizio Entra.

Funzioni di Enumerazione di Azure Resource Manager

• Get-AllAzureManagedIdentityAssignments raccoglie tutte le assegnazioni di identità gestita.
• Get-AllAzureRMAKSClusters raccoglie tutti i cluster di servizi Kubernetes sotto una sottoscrizione.
• Get-AllAzureRMAutomationAccounts raccoglie tutti gli account di automazione sotto una sottoscrizione.
• Get-AllAzureRMAzureContainerRegistries raccoglie tutti i registri contenitori sotto una sottoscrizione.
• Get-AllAzureRMFunctionApps raccoglie tutte le app di funzione sotto una sottoscrizione.
• Get-AllAzureRMKeyVaults raccoglie tutti gli insiemi di chiavi sotto una sottoscrizione.
• Get-AllAzureRMLogicApps raccoglie tutte le app logiche sotto una sottoscrizione.
• Get-AllAzureRMResourceGroups raccoglie tutti i gruppi di risorse sotto una sottoscrizione.
• Get-AllAzureRMSubscriptions raccoglie tutte le sottoscrizioni AzureRM.
• Get-AllAzureRMVMScaleSetsVMs raccoglie tutte le macchine virtuali sotto un set di ridimensionamento VM.

Funzioni di Enumerazione Intune

• Get-IntuneManagedDevices raccoglie i dispositivi gestiti da Intune.
• Get-IntuneRoleDefinitions raccoglie le definizioni di ruoli Intune disponibili.

Funzioni di Abuso Entra

• Add-MemberToEntraGroup tenterà di aggiungere un'entità a un gruppo Entra.
• Enable-EntraRole tenterà di abilitare (o "attivare") il ruolo Entra.
• New-EntraAppOwner tenterà di aggiungere un nuovo proprietario a un'app Entra.
• New-EntraAppRoleAssignment tenterà di concedere un ruolo app a un'entità servizio. Ad esempio, puoi usarlo per concedere a un'entità servizio il ruolo app RoleManagement.ReadWrite.Directory.
• New-EntraAppSecret tenterà di creare un nuovo segreto per una registrazione app Entra esistente.
• New-EntraGroupOwner tenterà di aggiungere un nuovo proprietario a un gruppo Entra.
• New-EntraRoleAssignment tenterà di assegnare un ruolo amministrativo Entra a un'entità specificata.
• New-EntraServicePrincipalOwner tenterà di aggiungere un nuovo proprietario a un'entità servizio Entra.
• New-EntraServicePrincipalSecret tenterà di creare un nuovo segreto per un'entità servizio Entra esistente.
• Reset-EntraUserPassword tenterà di reimpostare la password di un altro utente. In caso di successo, l'output conterrà la nuova password generata da Azure dell'utente.

Funzioni di Abuso di Azure Resource Manager

• Invoke-AzureRMAKSRunCommand istruirà il cluster AKS a eseguire un comando.
• Invoke-AzureRMVMRunCommand tenterà di eseguire un comando su una VM.
• Invoke-AzureRMWebAppShellCommand tenterà di eseguire un comando su un contenitore di un'app web.
• Invoke-AzureVMScaleSetVMRunCommand tenterà di eseguire un comando su una VM di un set di ridimensionamento VM.
• New-AzureAutomationAccountRunBook tenterà di aggiungere un runbook a un account di automazione.
• New-AzureKeyVaultAccessPolicy tenterà di concedere a un'entità le autorizzazioni "Get" e "List" su segreti, chiavi e certificati di un insieme di chiavi.
• New-AzureRMRoleAssignment tenterà di concedere un'assegnazione di ruolo AzureRM specificata dall'utente a una determinata entità su un certo ambito.
• New-PowerShellFunctionAppFunction tenterà di creare una nuova funzione PowerShell in un'app di funzione.

Funzioni Meta

• ConvertTo-Markdown è utilizzato per elaborare l'output delle funzioni Invoke-Tests per l'uso in un'altra piattaforma.
• Invoke-AllAzureMGAbuseTests esegue tutti i test di convalida degli abusi che possono essere eseguiti possedendo un ruolo app MS Graph. Restituisce un oggetto che descrive quali privilegi hanno avuto successo nell'esecuzione di ciascun test di abuso.
• Invoke-AllAzureRMAbuseTests esegue tutti i test di convalida degli abusi AzureRM e restituisce un oggetto risultante che descrive quali ruoli AzureRM hanno concesso la capacità di eseguire ciascun abuso.
• Invoke-AllEntraAbuseTests esegue tutti i test di convalida degli abusi che possono essere eseguiti da entità a cui sono stati concessi ruoli amministrativi Entra. Restituisce un oggetto che descrive quali privilegi hanno avuto successo nell'esecuzione di ciascun test di abuso.
• New-EntraIDAbuseTestSPs crea un nuovo service principal per ogni ruolo amministrativo Entra attivo e concede a ciascun service principal il ruolo appropriato. Restituisce credenziali in testo semplice create per ciascun service principal.
• New-EntraIDAbuseTestUsers crea un nuovo utente per ogni ruolo amministrativo Entra attivo e concede a ciascun utente il ruolo appropriato. Restituisce credenziali in testo semplice create per ciascun utente.
• New-IntuneAbuseTestUsers crea un nuovo utente per ogni ruolo Intune e concede a ciascun utente il ruolo appropriato. Restituisce credenziali in testo semplice create per ciascun utente.
• New-MSGraphAppRoleTestSPs crea un nuovo service principal per ogni ruolo app MS Graph e concede a ciascun service principal il ruolo appropriato. Restituisce credenziali in testo semplice create per ciascun service principal.