AzureRT

Powershell 모듈로, 공격적 관점에서 Azure 및 Azure AD와 상호작용하기 위한 다양한 cmdlet을 구현합니다.

액세스 토큰 기반 인증 처리, Az에서 AzureAD 및 az cli 인터페이스 간 전환, Runbook 기반 명령 실행과 같은 사용하기 쉬운 사전 제작 공격 등에 유용한 유틸리티를 제공합니다.

가장 가치 있는 Cmdlet

이 툴킷은 다양한 cmdlet을 제공합니다. 이 섹션에서는 가장 중요하고 유용한 cmdlet을 강조합니다.

도난된 자격 증명으로 시작하는 일반적인 Red Team / 감사 워크플로는 다음과 같이 요약할 수 있습니다.

Credentials Stolen -> Authenticate to Azure/AzureAD -> find whether they're valid -> find out what you can do with them

아래 cmdlet은 이 순서를 따르는 데 정확히 적합합니다:

1. Connect-ART - Azure에 인증하기 위한 다양한 방법(자격 증명, PSCredential, 토큰)을 제공합니다.

2. Connect-ARTAD - Azure AD에 인증하기 위한 다양한 방법(자격 증명, PSCredential, 토큰)을 제공합니다.

3. Get-ARTWhoami - 인증한 후, whoami 를 확인하고 액세스 유효성을 검증하기 위해 실행합니다.

4. Get-ARTAccess - 그런 다음, 액세스 권한이 있다는 것을 알게 되면 Azure 상황 인식을 수행하여 무엇을 할 수 있고 무엇이 가능한지 확인합니다.

5. Get-ARTADAccess - 마찬가지로 Azure AD 범위 내에서 무엇을 할 수 있는지 확인할 수 있습니다.

사용 사례

이 모듈에 구현된 cmdlet은 다음과 같은 사용 및 공격 시나리오에서 유용했습니다:

• Az에서 AzureAD로, 그리고 다시 되돌아오는 액세스 토큰 처리.
• Az, AzureAD, Microsoft.Graph, az cli에서 인증 컨텍스트(일명 whoami)를 동시에 깔끔하게 출력.
• 대상 Azure VM에 부여된 사용 가능한 권한 표시.
• 액세스 가능한 Azure 리소스와 그에 대해 보유한 권한 표시.
• 액세스 가능한 모든 Azure Key Vault 비밀을 쉽게 읽기.
• Service Principal로 인증하여 해당 Service Principal에 할당된 Privileged Role Administrator 역할 활용.
• 악성 Runbook을 통한 Azure Automation 공격 실행.

설치

이 모듈은 Powershell Az 및 AzureAD 모듈이 사전 설치되어 있어야 합니다. Microsoft.Graph와 az cli는 선택 사항이지만 여전히 매우 유용합니다. Azure를 다루기 전에 다음 명령을 사용하여 공격 환경을 준비할 수 있습니다:

Install-Module Az -Force -Confirm -AllowClobber -Scope CurrentUser
Install-Module AzureAD -Force -Confirm -AllowClobber -Scope CurrentUser
Install-Module Microsoft.Graph -Force -Confirm -AllowClobber -Scope CurrentUser # 선택 사항
Install-Module MSOnline -Force -Confirm -AllowClobber -Scope CurrentUser        # 선택 사항
Install-Module AzureADPreview -Force -Confirm -AllowClobber -Scope CurrentUser  # 선택 사항
Install-Module AADInternals -Force -Confirm -AllowClobber -Scope CurrentUser    # 선택 사항

Import-Module Az
Import-Module AzureAD

AzureRT에 필요한 모듈은 처음 두 개뿐이지만, 다른 모듈도 사전 설치해 두는 것이 좋습니다.

그런 다음 이 모듈을 로드하려면 간단히 다음을 입력하세요:

PS> . .\AzureRT.ps1

그러면 바로 사용할 수 있습니다.

또는 AzureRT가 모든 종속성을 설치하고 가져오도록 할 수 있습니다:

PS> . .\AzureRT.ps1
PS> Import-ARTModules

포함된 배터리

모듈은 지속적으로 추가 도구와 유틸리티를 제공받을 예정이며, 자연스럽게 킬 체인의 후속 단계로 분류됩니다.

모든 cmdlet에는 매개변수, 설명 및 예제 사용법을 자세히 설명하는 도움말 메시지가 포함되어 있습니다:

PS C:\> Get-Help Connect-ART

현재 포함된 유틸리티는 다음과 같습니다:

인증 및 토큰 메커니즘

• Get-ARTWhoami - Azure, AzureAD, Microsoft.Graph, AZ CLI 인터페이스에서 현재 인증 컨텍스트를 표시하고 유효성을 검증합니다.

• Connect-ART - Connect-AzAccount를 호출하여 제공된 액세스 토큰 또는 자격 증명으로 현재 세션을 Azure Portal에 인증합니다. 제공된 토큰에서 Tenant ID 및 Account ID를 자동으로 추출하여 직접 제공해야 하는 번거로움을 건너뜁니다.

• Connect-ARTAD - Connect-AzureAD(및 선택적으로 Connect-MgGraph)를 호출하여 제공된 액세스 토큰 또는 자격 증명으로 현재 세션을 Azure Active Directory에 인증합니다. 제공된 토큰에서 Tenant ID 및 Account ID를 자동으로 추출하여 직접 제공해야 하는 번거로움을 건너뜁니다.

• Connect-ARTADServicePrincipal - Connect-AzAccount를 호출하여 제공된 액세스 토큰 또는 자격 증명으로 현재 세션을 Azure Portal에 인증합니다. 제공된 토큰에서 Tenant ID 및 Account ID를 자동으로 추출하여 직접 제공해야 하는 번거로움을 건너뜁니다. 그런 다음 자체 서명된 PFX 인증서를 생성하고 이를 Service Principal에 연결하여 인증합니다. 이후 해당 Service Principal로 AzureAD에 인증하고 해당 인증서를 연결 해제하여 정리합니다.

정찰 및 상황 인식

• Get-ARTAccess - Azure 상황 인식을 수행합니다.

• Get-ARTADAccess - Azure AD 상황 인식을 수행합니다.

• Get-ARTTenants - 현재 인증된 사용자(또는 제공된 액세스 토큰 기반)에 사용 가능한 테넌트를 나열합니다.

• Get-ARTDangerousPermissions - 액세스 가능한 Azure 리소스와 사용자가 그 리소스에 대해 보유한 관련 권한을 분석하여 공격자가 남용할 수 있는 모든 위험한 권한을 찾습니다.

• Get-ARTResource - 제공된 액세스 토큰을 사용하여 https://management.azure.com에 인증하고 액세스 가능한 리소스와 토큰 소유자가 그 리소스에 대해 보유한 권한을 가져옵니다.

• Get-ARTRoleAssignment - 현재 사용 중인 보안 주체에 할당된 Azure RBAC 역할을 더 읽기 쉬운 형태로 표시합니다.

• Get-ARTADRoleAssignment - 현재 사용자 또는 모든 Azure AD 사용자에 대한 Azure AD 역할 할당을 표시합니다.

• Get-ARTADScopedRoleAssignment - 현재 사용자 또는 모든 Azure AD 사용자에 대한 Azure AD 범위 역할 할당(관리 단위와 연결됨)을 표시합니다.

• Get-ARTRolePermissions - 지정된 Azure RBAC 역할에 부여된 모든 권한을 표시합니다.

권한 상승

• Add-ARTADGuestUser - Azure AD 게스트 사용자 초대 이메일을 전송하여 외부 공격자가 AAD 테넌트에 대한 액세스를 확장할 수 있도록 하며, 초대를 쉽게 수락할 수 있는 초대 상환 URL을 반환합니다.

• Set-ARTADUserPassword - Authentication Administrator 역할 할당을 남용하여 다른 관리자가 아닌 사용자의 암호를 재설정합니다.

• Add-ARTUserToGroup - 지정된 Azure AD 사용자를 지정된 Azure AD 그룹에 추가합니다.

• Add-ARTUserToRole - 지정된 Azure AD 사용자를 지정된 Azure AD 역할에 추가합니다.

• Add-ARTADAppSecret - Azure AD 애플리케이션에 클라이언트 비밀을 추가합니다. Nikhil Mittal, @nikhil_mitt 작성.

측면 이동

• Invoke-ARTAutomationRunbook - 지정된 Automation 계정 아래에 선택한 작업자 그룹에 대해 Automation Runbook을 생성합니다. 이 Runbook은 영향을 받는 모든 Azure VM에서 실행될 Powershell 명령을 포함합니다.

• Invoke-ARTRunCommand - 지정된 Azure VM에 대해 virtualMachines/runCommand 권한을 남용하여 사용자 지정 Powershell 명령을 실행합니다.

• Update-ARTAzVMUserData - 직접 API 호출을 통해 Azure VM 사용자 데이터 스크립트를 수정합니다.

• Invoke-ARTCustomScriptExtension - Azure VM 사용자 지정 스크립트 확장을 새로 생성하거나 수정하여 원격 코드 실행을 유도합니다.

기타

• Get-ARTTenantID - 현재 사용자의 테넌트 ID 또는 제공된 도메인 이름에 기반한 테넌트 ID를 검색합니다.

• Get-ARTPRTToken - Dirk-Jan Mollema의 ROADtoken을 사용하여 현재 사용자의 PRT(기본 새로 고침 토큰) 값을 검색합니다.

• Get-ARTPRTNonce - 현재 사용자의 PRT(기본 새로 고침 토큰) nonce 값을 검색합니다.

• Get-ARTUserId - Az 모듈을 통해 현재 사용자 또는 매개변수 ObjectId에 지정된 사용자를 획득합니다.

• Get-ARTSubscriptionId - 현재 구독 ID를 수집하는 도우미입니다.

• Parse-JWTtokenRT - 입력 JWT 토큰을 구문 분석하여 깔끔하게 출력합니다.

• Invoke-ARTGETRequest - 액세스 토큰을 받아 지정된 URI에 대해 GET REST 메서드 API 요청을 호출합니다. 또한 제공된 토큰에 필요한 대상(audience)이 설정되어 있는지 확인합니다.

• Import-ARTModules - Azure Red Team 활동에 필요한 및 선택적 Powershell 모듈을 설치하고 가져옵니다.

☕ 지원 ☕

이 프로젝트와 다른 프로젝트들은 잠 못 이루는 밤과 많은 노력의 결과입니다. 제가 하는 일을 좋아하고 항상 커뮤니티에 환원하는 것을 감사하게 생각하신다면, 커피 한 잔 사주기 (또는 맥주 한 잔이 더 낫습니다) 꼭 감사 인사를 전해주세요! 💪

Mariusz Banach / mgeeky, (@mariuszbit)
<mb [at] binary-offensive.com>