ADFSDump

AD FSからあらゆる有用情報をダンプするためのC#ツールです。

Mandiant FireEyeに在籍中のDoug Bienstock (@doughsec)によって作成されました。

このツールはADFSpoofと併用して実行するように設計されています。ADFSdumpは、ADFSpoofを使ってセキュリティトークンを生成するために必要なすべての情報を出力します。

詳細説明

ADFSDumpは、偽造セキュリティトークンの生成に必要な情報をActive DirectoryとAD FS構成データベースから読み取るツールです。この情報をADFSpoofに渡すことで、それらのトークンを生成できます。

要件

• ADFSDumpは、AD FSサービスアカウントのユーザーコンテキストで実行する必要があります。この情報は、AD FSサーバーでプロセス一覧を実行するか、Get-ADFSProperties コマンドレットの出力から取得できます。構成データベースにアクセスするために必要な権限を持つのは、AD FSサービスアカウントのみです。DAでさえアクセスできません。
• ADFSDumpは、サービスがWindows内部データベース(WID)を使用するように構成されていることを前提としています。外部SQLサーバーへの対応は簡単ですが、現在この機能は存在しません。
• ADFSDumpは、AD FS Webアプリケーションプロキシではなく、AD FSサーバー上でローカルに実行する必要があります。WIDには名前付きパイプを介してローカルからのみアクセスできます。

このツールが行うこと

• Active Directoryをクエリして現在のDKMキーを探し、STDOUTに出力します
• AD FS構成データベースをクエリして、トークン署名キー/証明書ペアのEncryptedPFXブロブを取得し、STDOUTに出力します
• AD FS構成データベースをクエリして、構成されているすべてのフェデレーションアプリケーション(証明書利用者)を取得し、RP識別子、署名アルゴリズム、トークン暗号化証明書、発行規則、アクセス制御規則など、それらに関する重要な情報を出力します。これらはすべてSTDOUTに出力されます

使用方法

• /domain:: 対象とするActive Directoryドメイン。デフォルトは現在のドメインです。
• /server:: 対象とするドメインコントローラー。デフォルトは現在のDCです。
• /nokey: スイッチ。DKMキーの出力を無効にするためのトグルです。
• /database: (オプション) ADFSがWIDではなくリモートMS SQLを使用している場合のSQL接続文字列。引用符で囲みます。例: "/database:Data Source=sql.domain.com;Initial Catalog=AdfsConfigurationV4;Integrated Security=True"
• /username: (オプション) ツールを実行するユーザー名。設定する場合は、パスワードも一緒に指定する必要があります。
• /password: (オプション) ツールを実行するユーザーアカウントのパスワード。

コンパイル手順

コンパイル済みバージョンは公開されません。自分でコンパイルする必要があります。

ADFSDumpは、Visual Studio 2017 Community Editionを使用して.NET 4.5向けに構築されています。プロジェクトの.slnを開き、"Release"を選択してビルドするだけです。

他の.NETバージョンへの対応

ADFSDumpのデフォルトのビルド構成は.NET 4.5用であり、そのバージョンがインストールされていないシステムでは失敗します。ADFSDumpを.NET 4または3.5に対応させるには、.slnソリューションを開き、[プロジェクト] -> [ADFSDumpのプロパティ] に移動して、"ターゲット フレームワーク"を別のバージョンに変更します。

なお、AD FSには.NET Framework 4.5が必要です。そもそも別のバージョンを使う必要がある理由はわかりませんが 😉