Установка

pipx

pip

Примеры

Опции

Ограничение скорости

Случайный джиттер добавляется поверх --delay между каждым запросом. Экспоненциальная задержка (до --retries попыток) применяется при ответах 429 и сетевых ошибках. Задержка по умолчанию — 2 секунды; увеличьте до 4-6 секунд для больших пакетов. User-Agent меняется из пула из 16 распространённых агентов (Windows, macOS, iOS, Android) при каждом запросе.

Точность и ограничения

Кратко

• Перечисление методов SSPR является разумным прокси для состояния MFA на большинстве современных тенантов Entra ID благодаря объединённой регистрации
• Не обнаружит ключи FIDO2, аутентификацию на основе сертификатов или методы на гостевых/федеративных учётных записях
• Учётные записи, для которых SSPR отключён, подтверждаются как существующие, но их методы неизвестны
• Это не окончательный аудит MFA — поймите, что он видит и чего не видит, прежде чем полагаться на вывод

Почему результаты SSPR являются разумным прокси для MFA

Объединённый процесс регистрации сведений безопасности Microsoft, включённый по умолчанию с 2020 года, регистрирует методы аутентификации как для SSPR, так и для MFA в едином потоке. На практике это означает, что на большинстве современных тенантов Entra ID методы, видимые через SSPR, — это те же методы, которые защищают вход. Учётная запись без зарегистрированного надёжного метода SSPR с большой вероятностью является учётной записью без зарегистрированного надёжного метода MFA.

Ссылки:

• Обзор объединённой регистрации сведений безопасности
• Как это работает: самостоятельный сброс пароля Azure AD

Известные недостатки

SSPR и MFA — это отдельные реестры. Объединённая регистрация заставляет их пересекаться в большинстве случаев, но это не одно и то же. Метод может существовать для MFA, не будучи видимым здесь, если он был зарегистрирован до включения объединённой регистрации или если администратор исключил его из политики SSPR.

Ключи безопасности FIDO2 и аутентификация на основе сертификатов не поддерживаются SSPR. Microsoft никогда не добавляла эти методы в процесс SSPR. Пользователь, единственным зарегистрированным фактором которого является ключ FIDO2 или смарт-карта, будет отображаться здесь как не имеющий методов — ложноотрицательный результат. На практике это редко для обычных пользователей, но чаще встречается в высокозащищённых или беcпарольных средах.

Ссылки:

• Методы аутентификации, доступные для SSPR
• Вход с ключом безопасности FIDO2

Несоответствия политик по методам. Администраторы могут разрешить метод для входа через MFA, но исключить его из политики SSPR, или наоборот. Например, организация может разрешить push-уведомление аутентификатора для входа, но не для сброса пароля. Инструмент видит только то, что готов предложить SSPR.

SSPR полностью отключён (SSPR_0011). Если SSPR не лицензирован или не включён для пользователя, конечная точка возвращает ViewSsprNotEnabledInUserPolicy и информация о методах недоступна. Учётная запись существует и, вероятно, имеет настроенный MFA, но этот инструмент не может определить какой.

Гостевые и федеративные учётные записи. Внешние пользователи и гости B2B аутентифицируются через свой домашний тенант. Конечная точка SSPR ресурсного тенанта не имеет видимости регистрации MFA домашнего тенанта и возвращает ViewFeatureNotAvailable. Их состояние MFA невидимо из этой конечной точки.

Ограничения методов на уровне тенанта. Если администратор отключил класс методов в политике SSPR, он не будет предложен ни одному пользователю независимо от индивидуальной регистрации, что делает невозможным отличить «метод не зарегистрирован» от «метод отключён».

Учётные записи администраторов всегда имеют включённый SSPR. Настройки политики SSPR Microsoft применяются только к обычным конечным пользователям. Учётные записи администраторов всегда включены для самостоятельного сброса пароля независимо от политики SSPR тенанта, и Microsoft требует, чтобы у них было зарегистрировано два метода аутентификации. Это обеспечивается на уровне платформы и не может быть отключено администраторами тенанта.

Ссылка: Документация по политикам SSPR

[!IMPORTANT] Это имеет полезное следствие для разведки. Если SSPR отключён для обычных пользователей в тенанте (возвращая ViewSsprNotEnabledInUserPolicy), любая учётная запись, которая успешно достигает экрана выбора метода, вероятно, является членом привилегированной роли. Учётные записи, которые чисто перечисляются через SSPR, когда общая политика тенанта отключена, выделяются как вероятные учётные записи администраторов, и их зарегистрированные методы видны, даже когда методы обычных пользователей не видны. Это позволяет идентифицировать высокоценные цели и привилегированные учётные записи, которые можно выделить для дальнейших целевых атак.

Сводка того, что инструмент предоставляет и не предоставляет

Как это работает

Кратко

• Два запроса на цель: GET для получения токенов сессии, затем POST, воспроизводящий асинхронную отправку формы браузером
• Поле ответа сервера CurrentViewName используется как источник истины для результата — а не сопоставление по телу HTML
• User-Agent меняется при каждом запросе из пула из 16 реалистичных строк браузеров
• Джиттер и экспоненциальная задержка применяются автоматически для избежания ограничения скорости

Обзор

Портал SSPR Microsoft (passwordreset.microsoftonline.com) показывает экран выбора контактного метода (MultigateAuthenticationControl) после принятия действительного имени пользователя. Возвращаемый HTML перечисляет каждый зарегистрированный метод проверки в виде радиокнопки в MultigateAuthenticationControl_RadioTable. Методы, строка <tr> которых имеет display:none, не зарегистрированы для этого пользователя и пропускаются.

Для каждой цели инструмент выполняет два запроса. Сначала GET на целевую страницу для установления сессии и извлечения токенов формы ASP.NET (__VIEWSTATE, __EVENTVALIDATION, WorkflowConsistencyCheck), которые необходимы для того, чтобы сервер принял POST. Эти токены криптографически привязаны к cookie сессии и не могут быть предсказаны или повторно использованы между сессиями. Во-вторых, POST, который отправляет адрес электронной почты вместе с этими токенами, воспроизводя асинхронный postback UpdatePanel, который выполняет браузер, когда пользователь нажимает Далее.

Скрытое поле CurrentViewName в ответе ASP.NET используется как авторитетный сигнал о том, что решил сервер, а не сопоставление подстрок в теле HTML.

Классификация методов

Альтернативная почта и контрольные вопросы помечены как слабые, поскольку они подвержены фишингу и не соответствуют смыслу второго фактора. Учётные записи только со слабыми методами или без методов вообще помечаются.

[!NOTE] Microsoft поддерживает как программные OATH-токены, так и аппаратные OATH-токены (предварительная версия) для SSPR. Программные OATH-токены, введённые через приложение-аутентификатор, скорее всего, отображаются через ту же кнопку AppCodeRadio, что и TOTP — оба представляют собой ввод шестизначного кода — поэтому они, вероятно, уже охвачены без отдельного radio ID. Аппаратные OATH-токены (физический брелок) — это отдельный класс устройств, но они также генерируют код на основе времени; они могут отображаться через ту же кнопку или другую, которая ещё не была замечена во время тестирования этого процесса.

Результаты

Благодарности

• RedByte1337/CredSpy
• Наш малыш Claude