AzureRT

攻撃者の視点からAzureおよびAzure ADとやり取りするためのさまざまなコマンドレットを実装したPowerShellモジュール。

アクセストークンベースの認証の処理、AzからAzureAD、az cliインターフェースへの切り替え、Runbookベースのコマンド実行などの簡単に使用できる事前構築済み攻撃など、便利なユーティリティ。

最も価値のあるコマンドレット

このツールキットにはさまざまなコマンドレットが含まれています。このセクションでは、最も重要で有用なものを強調します。

盗まれた資格情報から始まる典型的なRed Team / 監査ワークフローは、次のようにまとめられます。

Credentials Stolen -> Authenticate to Azure/AzureAD -> find whether they're valid -> find out what you can do with them

以下のコマンドレットは、このシーケンスを追跡するのに最適です。

1. Connect-ART - 資格情報、PSCredential、トークンなど、Azureへの認証のさまざまな手段を提供します。

2. Connect-ARTAD - 資格情報、PSCredential、トークンなど、Azure ADへの認証のさまざまな手段を提供します。

3. Get-ARTWhoami - 認証したら、これを実行して_whoami_を確認し、アクセスを検証します。

4. Get-ARTAccess - アクセス権があることを確認したら、Azureの状況認識を実行して、何ができるか、何が可能かを調べます。

5. Get-ARTADAccess - 同様に、Azure ADにスコープされた操作可能な内容を調べます。

ユースケース

このモジュールで実装されたコマンドレットは、次のユースケースや攻撃シナリオで役立ちます。

• AzからAzureAD、そして元に戻すアクセストークンの操作。
• Az、AzureAD、Microsoft.Graph、az cliでの認証コンテキスト（別名_whoami_）を同時にきれいに表示。
• ターゲットのAzure VMに対するユーザーに付与された利用可能な権限を表示。
• アクセス可能なAzureリソースと、それらに対する権限を表示。
• アクセス可能な_Azure Key Vault_シークレットを簡単に読み取り。
• サービスプリンシパルとして認証し、そのサービスプリンシパルに割り当てられた_Privileged Role Administrator_ロールを活用。
• 悪意のあるRunbookを介したAzure Automationへの攻撃を実行。

インストール

このモジュールは、PowerShell AzおよびAzureADモジュールが事前にインストールされている必要があります。Microsoft.Graphおよびaz cliはオプションですが、非常に便利です。 Azureを操作し始める前に、以下のコマンドを使用して攻撃環境を準備することができます。

Install-Module Az -Force -Confirm -AllowClobber -Scope CurrentUser
Install-Module AzureAD -Force -Confirm -AllowClobber -Scope CurrentUser
Install-Module Microsoft.Graph -Force -Confirm -AllowClobber -Scope CurrentUser # OPTIONAL
Install-Module MSOnline -Force -Confirm -AllowClobber -Scope CurrentUser        # OPTIONAL
Install-Module AzureADPreview -Force -Confirm -AllowClobber -Scope CurrentUser  # OPTIONAL
Install-Module AADInternals -Force -Confirm -AllowClobber -Scope CurrentUser    # OPTIONAL

Import-Module Az
Import-Module AzureAD

AzureRTに必要なのは最初の2つのモジュールだけですが、他のモジュールも事前にインストールしておくと良いでしょう。

次に、このモジュールをロードするには、単に次のように入力します。

PS> . .\AzureRT.ps1

これで準備完了です。

または、AzureRTにすべての依存関係をインストールおよびインポートさせることもできます。

PS> . .\AzureRT.ps1
PS> Import-ARTModules

バッテリー同梱

このモジュールには、今後もツールやユーティリティが徐々に追加され、当然キルチェーンの各フェーズに分類されます。

すべてのコマンドレットには、パラメータ、説明、使用例を詳述した適切なヘルプメッセージがあります。

PS C:\> Get-Help Connect-ART

現在、以下のユーティリティが含まれています。

認証とトークンの仕組み

• Get-ARTWhoami - Azure、AzureAD、Microsoft.Graph、AZ CLIインターフェースにおける認証コンテキストを表示_および検証_します。

• Connect-ART - Connect-AzAccountを呼び出し、提供されたアクセストークンまたは資格情報を介して現在のセッションをAzure Portalに認証します。提供されたトークンから自動的にテナントIDとアカウントIDを抽出することで、それらを指定する手間を省きます。

• Connect-ARTAD - Connect-AzureAD（およびオプションでConnect-MgGraph）を呼び出し、提供されたアクセストークンまたは資格情報を介して現在のセッションをAzure Active Directoryに認証します。提供されたトークンから自動的にテナントIDとアカウントIDを抽出することで、それらを指定する手間を省きます。

• Connect-ARTADServicePrincipal - Connect-AzAccountを呼び出し、提供されたアクセストークンまたは資格情報を介して現在のセッションをAzure Portalに認証します。提供されたトークンから自動的にテナントIDとアカウントIDを抽出することで、それらを指定する手間を省きます。次に、自己署名PFX証明書を作成し、それを認証のためにサービスプリンシパルに関連付けます。その後、そのサービスプリンシパルとしてAzureADに認証し、その証明書を関連付け解除してクリーンアップします。

偵察と状況認識

• Get-ARTAccess - Azureの状況認識を実行します。

• Get-ARTADAccess - Azure ADの状況認識を実行します。

• Get-ARTTenants - 現在認証されているユーザー（または提供されたアクセストークンに基づくユーザー）が利用可能なテナントを一覧表示します。

• Get-ARTDangerousPermissions - アクセス可能なAzureリソースと、ユーザーがそれらに対して持つ関連権限を分析し、攻撃者に悪用される可能性のある危険な権限をすべて見つけます。

• Get-ARTResource - 提供されたアクセストークンを使用してhttps://management.azure.comに認証し、そのトークンの所有者が持つアクセス可能なリソースと権限を取得します。

• Get-ARTRoleAssignment - 現在使用中のプリンシパルに割り当てられたAzure RBACロールを、読みやすく表示します。

• Get-ARTADRoleAssignment - 現在のユーザー、またはすべてのAzure ADユーザーに対するAzure ADロールの割り当てを表示します。

• Get-ARTADScopedRoleAssignment - 現在のユーザー、またはすべてのAzure ADユーザーに対する、管理単位に関連付けられたAzure ADスコープ指定ロールの割り当てを表示します。

権限昇格

• Add-ARTADGuestUser - Azure ADゲストユーザー招待メールを送信し、外部攻撃者がAADテナントへのアクセスを拡大できるようにし、招待を簡単に受け入れるための招待承諾URLを返します。

• Set-ARTADUserPassword - Authentication Administratorロールの割り当てを悪用して、他の管理者以外のユーザーのパスワードをリセットします。

• Add-ARTUserToGroup - 指定されたAzure ADユーザーを指定されたAzure ADグループに追加します。

• Add-ARTUserToRole - 指定されたAzure ADユーザーを指定されたAzure ADロールに追加します。

• Add-ARTADAppSecret - Azure ADアプリケーションにクライアントシークレットを追加します。作成者：Nikhil Mittal, @nikhil_mitt

ラテラルムーブメント

• Invoke-ARTAutomationRunbook - 指定されたAutomation Account下、選択されたWorker Groupに対してAutomation Runbookを作成します。このRunbookには、影響を受けるすべてのAzure VM上で実行されるPowerShellコマンドが含まれます。

• Invoke-ARTRunCommand - 指定されたAzure VMに対するvirtualMachines/runCommandパーミッションを悪用して、カスタムPowerShellコマンドを実行します。

• Update-ARTAzVMUserData - 直接API呼び出しを通じてAzure VMのユーザーデータスクリプトを変更します。

• Invoke-ARTCustomScriptExtension - Azure VMのカスタムスクリプト拡張機能を作成または変更し、リモートコード実行につなげます。

その他

• Get-ARTTenantID - 現在のユーザーのテナントID、または指定されたドメイン名に基づくテナントIDを取得します。

• Get-ARTPRTToken - Dirk-Jan Mollema's ROADtokenを使用して、現在のユーザーのPRT（プライマリ更新トークン）値を取得します。

• Get-ARTPRTNonce - 現在のユーザーのPRT（プライマリ更新トークン）nonce値を取得します。

• Get-ARTUserId - Azモジュールを介して現在のユーザー、またはパラメータObjectIdで指定されたユーザーを取得します。

• Get-ARTSubscriptionId - 現在のサブスクリプションIDを収集するヘルパー。

• Parse-JWTtokenRT - 入力されたJWTトークンを解析し、きれいに出力します。

• Invoke-ARTGETRequest - アクセストークンを受け取り、指定されたURIに対してGET RESTメソッドAPIリクエストを呼び出します。また、提供されたトークンが必要な対象ユーザーを持っているかどうかを検証します。

• Import-ARTModules - Azure Red Teamアクティビティに必要な、およびオプションのPowerShellモジュールをインストールおよびインポートします。

☕ サポートを表示 ☕

このプロジェクトや他のプロジェクトは、寝ずの努力とたくさんの大変な作業の成果です。私の活動を気に入り、常にコミュニティに貢献していることに感謝してくれるなら、 コーヒーを一杯おごる (またはビールの方がいいかも) ことを検討してください。ありがとう！ 💪

Mariusz Banach / mgeeky, (@mariuszbit)
<mb [at] binary-offensive.com>