ADFSDump

Uno strumento C# per estrarre ogni genere di informazioni utili da AD FS.

Creato da Doug Bienstock (@doughsec) mentre era in Mandiant FireEye.

Questo strumento è progettato per essere eseguito insieme ad ADFSpoof. ADFSdump restituirà tutte le informazioni necessarie per generare token di sicurezza utilizzando ADFSpoof.

Descrizione dettagliata

ADFSDump è uno strumento che legge le informazioni da Active Directory e dal database di configurazione di AD FS necessarie per generare token di sicurezza contraffatti. Queste informazioni possono poi essere passate ad ADFSpoof per generare tali token.

Requisiti

• ADFSDump deve essere eseguito nel contesto utente dell'account del servizio AD FS. Puoi ottenere queste informazioni eseguendo un elenco dei processi sul server AD FS oppure dall'output del cmdlet Get-ADFSProperties. Solo l'account del servizio AD FS dispone delle autorizzazioni necessarie per accedere al database di configurazione. Nemmeno un DA può accedervi.
• ADFSDump presuppone che il servizio sia configurato per utilizzare il database interno di Windows (WID). Sebbene sarebbe banale supportare un server SQL esterno, questa funzionalità al momento non esiste.
• ADFSDump deve essere eseguito localmente su un server AD FS, NON su un proxy di applicazione Web AD FS. Il WID può essere accessibile solo localmente tramite una named pipe.

Cosa farà questo strumento

• Interroga Active Directory per trovare la chiave DKM corrente e la restituisce su STDOUT
• Interroga il database di configurazione di AD FS per ottenere il blob EncryptedPFX relativo alla coppia chiave/certificato per la firma dei token e lo restituisce su STDOUT
• Interroga il database di configurazione di AD FS per tutte le applicazioni federate configurate (relying party) e restituisce informazioni importanti su di esse, come l'identificatore RP, l'algoritmo di firma, il certificato di crittografia dei token, le regole di emissione, le regole di controllo degli accessi e altro ancora. Tutto viene restituito su STDOUT

Utilizzo

• /domain:: il dominio Active Directory da usare come destinazione. Per impostazione predefinita usa il dominio corrente.
• /server:: il controller di dominio da usare come destinazione. Per impostazione predefinita usa il DC corrente.
• /nokey: flag. Attivalo per disabilitare l'output della chiave DKM.
• /database: (facoltativo) stringa di connessione SQL se ADFS utilizza MS SQL remoto invece di WID. Racchiudila tra virgolette, ad esempio "/database:Data Source=sql.domain.com;Initial Catalog=AdfsConfigurationV4;Integrated Security=True"
• /username: (facoltativo) nome utente con cui eseguire lo strumento. Se impostato, deve essere passata anche una password.
• /password: (facoltativo) password per l'account utente con cui eseguire lo strumento.

Istruzioni di compilazione

Non verrà rilasciata una versione compilata. Dovrai compilarla tu stesso!

ADFSDump è stato compilato con .NET 4.5 e Visual Studio 2017 Community Edition. Basta aprire il file di progetto .sln, scegliere "Release" e compilare.

Supporto per altre versioni di .NET

La configurazione di compilazione predefinita di ADFSDump è per .NET 4.5, che fallirà sui sistemi senza quella versione installata. Per destinare ADFSDump a .NET 4 o 3.5, apri la soluzione .sln, vai su Progetto -> Proprietà di ADFSDump e modifica il "Target framework" con un'altra versione.

Nota: AD FS richiede .NET Framework 4.5, quindi non sono sicuro del motivo per cui dovresti usare una versione diversa comunque 😉