EntraGoat - Un ambiente Entra ID deliberatamente vulnerabile

EntraGoat è un'infrastruttura Microsoft Entra ID deliberatamente vulnerabile per i professionisti della sicurezza. Distribuisci errori di configurazione delle identità reali e percorsi di escalation dei privilegi nel tuo tenant, quindi esercitati a sfruttarli in un formato CTF sicuro, black-box.

📖 Documentazione  |  📝 Articoli del blog

Avvio rapido

Prerequisiti

• Tenant di test/prova Microsoft Entra ID con un Global Administrator
• Microsoft Graph PowerShell SDK

Opzione A: GUI PowerShell (consigliata, senza Node.js)

git clone https://github.com/Semperis/EntraGoat && cd EntraGoat
Install-Module Microsoft.Graph -Scope CurrentUser -Force
.\Start-EntraGoat.ps1

Richiede Windows (WPF). Funziona con PowerShell 5.1+ e 7+.
Zoom: Ctrl+Plus / Ctrl+Minus / Ctrl+0

Opzione B: Interfaccia web

git clone https://github.com/Semperis/EntraGoat && cd EntraGoat
Install-Module Microsoft.Graph -Scope CurrentUser -Force
cd frontend && npm install && npm start

Apri http://localhost:3000

Opzione C: Script manuali

cd scenarios
.\EntraGoat-Scenario1-Setup.ps1

Consulta docs/getting-started.md per istruzioni dettagliate di configurazione.

Sfide

Ogni scenario include uno script di configurazione, uno script di pulizia, una guida alla soluzione e una flag nascosta.

Schermate

GUI PowerShell (consigliata)

Home

Sfida

Output del terminale

Setup	Pulizia

Interfaccia web (alternativa)

Dashboard	Sfida

Presentato a

• Black Hat USA 2025 — Arsenal
• DEF CON 33 — Demo Labs
• BSides Frankfurt 2025
• SEC-T 0x11
• Black Hat SecTor 2025 — Arsenal
• Black Hat Europe 2025 — Arsenal
• Black Hat Asia 2026 — Arsenal

Risorse

• Cos'è EntraGoat?
• Come iniziare con EntraGoat
• Scenario 1: Abuso della proprietà del service principal
• Scenario 2: Sfruttare le autorizzazioni Graph solo app
• Scenario 6: Abuso dell'autenticazione basata su certificati

⚠️ Dichiarazione di non responsabilità

Solo per scopi educativi e test autorizzati. Utilizza un tenant di test dedicato. Consulta LICENSE per i termini completi. Gli autori non si assumono alcuna responsabilità per un uso improprio.

Buona caccia! — Il team di EntraGoat