ADFSDump

Инструмент на C# для извлечения всевозможных полезных данных из AD FS.

Создан Дагом Бинстоком (@doughsec) во время работы в Mandiant FireEye.

Этот инструмент предназначен для запуска совместно с ADFSpoof. ADFSDump выводит всю информацию, необходимую для генерации токенов безопасности с помощью ADFSpoof.

Подробное описание

ADFSDump — это инструмент, который считывает из Active Directory и из базы данных конфигурации AD FS информацию, необходимую для генерации поддельных токенов безопасности. Эти данные затем можно передать в ADFSpoof для генерации таких токенов.

Требования

• ADFSDump должен запускаться в контексте пользователя учётной записи службы AD FS. Эту информацию можно получить, выполнив просмотр списка процессов на сервере AD FS или из вывода командлета Get-ADFSProperties. Только учётная запись службы AD FS обладает разрешениями, необходимыми для доступа к базе данных конфигурации. Доступ не имеет даже DA.
• ADFSDump предполагает, что служба настроена на использование Windows Internal Database (WID). Хотя поддержку внешнего SQL-сервера реализовать было бы несложно, сейчас такая функция отсутствует.
• ADFSDump должен запускаться локально на сервере AD FS, а НЕ на прокси веб-приложений AD FS. Доступ к WID возможен только локально через именованный канал.

Что делает этот инструмент

• Выполняет запрос к Active Directory для поиска текущего ключа DKM и выводит его в STDOUT
• Выполняет запрос к базе данных конфигурации AD FS для получения зашифрованного BLOB EncryptedPFX для пары ключ/сертификат подписи токенов и выводит его в STDOUT
• Выполняет запрос к базе данных конфигурации AD FS для получения всех настроенных федеративных приложений (checking parties) и выводит важную информацию о них, такую как идентификатор RP, алгоритм подписи, сертификат шифрования токенов, правила выпуска, правила контроля доступа и другое. Всё это выводится в STDOUT

Использование

• /domain:: Домен Active Directory, с которым нужно работать. По умолчанию — текущий домен.
• /server:: Целевой контроллер домена. По умолчанию — текущий контроллер домена.
• /nokey: Переключатель. Позволяет отключить вывод ключа DKM.
• /database: (необязательно) Строка подключения SQL, если AD FS использует удалённый MS SQL вместо WID. Заключайте в кавычки, например: "/database:Data Source=sql.domain.com;Initial Catalog=AdfsConfigurationV4;Integrated Security=True"
• /username: (необязательно) Имя пользователя, под которым запускать инструмент. Если задано, необходимо также указать пароль.
• /password: (необязательно) Пароль для учётной записи, под которой запускается инструмент.

Инструкции по компиляции

Готовая скомпилированная версия выпускаться не будет. Вам придётся скомпилировать её самостоятельно!

ADFSDump был собран под .NET 4.5 с использованием Visual Studio 2017 Community Edition. Просто откройте файл проекта .sln, выберите "Release" и выполните сборку.

Настройка на другие версии .NET

Конфигурация сборки ADFSDump по умолчанию предназначена для .NET 4.5, и сборка может завершиться ошибкой в системах, где эта версия не установлена. Чтобы настроить ADFSDump для .NET 4 или 3.5, откройте решение .sln, перейдите в Project -> ADFSDump Properties и измените "Target framework" на другую версию.

Обратите внимание, что AD FS требует .NET Framework 4.5, так что не уверен, зачем вам может понадобиться другая версия 😉