ADFSDump

Uma ferramenta em C# para extrair todo tipo de material interessante do AD FS.

Criada por Doug Bienstock (@doughsec) durante sua passagem pela Mandiant FireEye.

Esta ferramenta foi projetada para ser executada em conjunto com o ADFSpoof. O ADFSDump exibirá todas as informações necessárias para gerar tokens de segurança usando o ADFSpoof.

Descrição detalhada

O ADFSDump é uma ferramenta que lê informações do Active Directory e do banco de dados de configuração do AD FS necessárias para gerar tokens de segurança forjados. Essas informações podem então ser fornecidas ao ADFSpoof para gerar esses tokens.

Requisitos

• O ADFSDump deve ser executado no contexto de usuário da conta de serviço do AD FS. Você pode obter essas informações executando uma listagem de processos no servidor AD FS ou a partir da saída do cmdlet Get-ADFSProperties. Somente a conta de serviço do AD FS tem as permissões necessárias para acessar o banco de dados de configuração. Nem mesmo um administrador de domínio (DA) consegue acessá-lo.
• O ADFSDump pressupõe que o serviço esteja configurado para usar o Windows Internal Database (WID). Embora seja trivial oferecer suporte a um servidor SQL externo, esse recurso não existe no momento.
• O ADFSDump deve ser executado localmente em um servidor AD FS, NÃO em um proxy de aplicativo web do AD FS. O WID só pode ser acessado localmente por meio de um named pipe.

O que esta ferramenta faz

• Consultar o Active Directory para encontrar a chave DKM atual e enviá-la para o STDOUT
• Consultar o banco de dados de configuração do AD FS em busca do blob EncryptedPFX do par chave/certificado de assinatura de token e enviá-lo para o STDOUT
• Consultar o banco de dados de configuração do AD FS em busca de todos os aplicativos federados configurados (relying parties) e exibir informações importantes sobre eles, como o Identificador do RP, o algoritmo de assinatura, o certificado de criptografia de token, as regras de emissão, as regras de controle de acesso e muito mais. Tudo isso é enviado para o STDOUT

Uso

• /domain:: O domínio do Active Directory a ser alvo. O padrão é o domínio atual.
• /server:: O controlador de domínio a ser alvo. O padrão é o DC atual.
• /nokey: Flag. Use para desabilitar a saída da chave DKM.
• /database: (opcional) Cadeia de conexão SQL se o ADFS estiver usando MS SQL remoto em vez de WID. Coloque entre aspas, ex.: "/database:Data Source=sql.domain.com;Initial Catalog=AdfsConfigurationV4;Integrated Security=True"
• /username: (opcional) Nome de usuário para executar a ferramenta. Se definido, deve ter uma senha fornecida junto.
• /password: (opcional) Senha da conta de usuário para executar a ferramenta.

Instruções de Compilação

Uma versão compilada não será disponibilizada. Você terá que compilá-la você mesmo!

O ADFSDump foi compilado contra .NET 4.5 com Visual Studio 2017 Community Edition. Basta abrir o arquivo .sln do projeto, escolher "Release" e compilar.

Direcionando a Outras Versões do .NET

A configuração de compilação padrão do ADFSDump é para .NET 4.5, que falhará em sistemas sem essa versão instalada. Para direcionar o ADFSDump para .NET 4 ou 3.5, abra a solução .sln, vá em Project -> ADFSDump Properties e altere a "Target framework" para outra versão.

Observe que o AD FS exige o .NET Framework 4.5, então não sei por que você precisaria usar uma versão diferente de qualquer forma 😉