SSOh-No

Questo strumento è progettato per enumerare utenti, effettuare password spraying e attacchi di forza bruta contro qualsiasi organizzazione che utilizzi Azure AD o O365.

Generalmente, questo endpoint fornisce errori estremamente verbosi che possono essere sfruttati per enumerare utenti e validare le loro password tramite attacchi di forza bruta/spraying, senza peraltro registrare alcun tentativo di autenticazione fallito.

Questo strumento è una versione armata di una PoC dimostrata nell'articolo di ricerca di arstechnica che discute le tecniche utilizzate per sfruttare l'endpoint.

Questo endpoint è noto a Microsoft, ma, come al solito, è stato etichettato come funzionalità, non come bug.

Questo endpoint applica lo "smart locking", che può essere aggirato ruotando l'IP.

Perché è unico?

L'endpoint SSO Autologon non contiene alcun tipo di registrazione, a parte il possibile aggiornamento del campo "Ultimo accesso" dell'utente.

I seguenti sono stati testati e non contengono log:

• AzureAD
• Sentinel
• Defender for Identity (ex Advanced Threat Protection)
• Defender for Cloud Apps

Utilizzo

$ ./SSOh-No -h
usage: SSOh-No [-h|--help] [-e|--email "<value>"] [-p|--password "<value>"]
               [-U|--userlist "<value>"] [-o|--outfile "<value>"]

               Enumerate and abuse a sub-par Azure SSO endpoint.

Arguments:

  -h  --help      Print help information
  -e  --email     Email address to query. Example: [email protected]
  -p  --password  Password to spray. Example: Password123!
  -U  --userlist  Specify userlist to enumerate
  -o  --outfile   Specify outfile. Example: validated.txt

Funzionalità in arrivo

• Implementazione del proxy per bypassare lo smart lock
• Forza bruta delle password a partire da liste di password (singolo utente – nessun piano per la forza bruta su una lista di utenti)