SSOh-No

このツールは、Azure ADまたはO365を利用する組織に対して、ユーザー列挙、パスワードスプレー攻撃、ブルートフォース攻撃を実行するように設計されています。

一般的に、このエンドポイントは非常に冗長なエラーを返し、それを利用してユーザーを列挙し、ブルートフォース/スプレー攻撃でパスワードを検証できる一方、失敗した認証試行を一切ログに記録しません。

このツールは、arstechnicaの研究記事で実証されたPoCの武器化バージョンであり、エンドポイントを悪用するために利用される手法について説明しています。

このエンドポイントはMicrosoftに認識されていますが、いつものように、バグではなく機能として位置づけられています。

このエンドポイントは「スマートロック」を実装していますが、IPをローテーションすることで回避できます。

なぜこれがユニークなのか？

SSO Autologonエンドポイントには、ユーザーの「最終ログオン」時刻が更新される可能性がある以外、あらゆる種類のログが含まれていません。

以下はテスト済みで、ログは含まれていません：

• AzureAD
• Sentinel
• Defender for Identity (Formerly Advanced Thread Protection)
• Defender for Cloud Apps

使い方

$ ./SSOh-No -h
usage: SSOh-No [-h|--help] [-e|--email "<value>"] [-p|--password "<value>"]
               [-U|--userlist "<value>"] [-o|--outfile "<value>"]

               Enumerate and abuse a sub-par Azure SSO endpoint.

Arguments:

  -h  --help      Print help information
  -e  --email     Email address to query. Example: [email protected]
  -p  --password  Password to spray. Example: Password123!
  -U  --userlist  Specify userlist to enumerate
  -o  --outfile   Specify outfile. Example: validated.txt

今後の機能

• スマートロック回避のためのプロキシ実装
• パスワードリストからのパスワードブルートフォース（単一ユーザー対象 - ユーザーリストに対するパスワードリストブルートフォースの計画はありません）