Az - Entra ID (AzureAD) & Azure IAM

Last updated 3 days ago

Az - Entra ID (AzureAD) & Azure IAM

Learn & practice AWS Hacking: Learn & practice GCP Hacking:

Support HackTricks

Check the !
Join the 💬 or the or follow us on Twitter 🐦 .
Share hacking tricks by submitting PRs to the and github repos.

Basic Information

Azure Active Directory (Azure AD) služi kao Microsoftova usluga zasnovana na oblaku za upravljanje identitetom i pristupom. Ona je ključna za omogućavanje zaposlenima da se prijave i dobiju pristup resursima, kako unutar tako i van organizacije, uključujući Microsoft 365, Azure portal i brojne druge SaaS aplikacije. Dizajn Azure AD se fokusira na pružanje osnovnih usluga identiteta, posebno uključujući autentifikaciju, autorizaciju i upravljanje korisnicima.

Ključne karakteristike Azure AD uključuju višefaktorsku autentifikaciju i uslovni pristup, uz besprekornu integraciju sa drugim Microsoftovim bezbednosnim uslugama. Ove karakteristike značajno povećavaju bezbednost identiteta korisnika i omogućavaju organizacijama da efikasno implementiraju i sprovode svoje politike pristupa. Kao osnovna komponenta Microsoftovog ekosistema usluga zasnovanih na oblaku, Azure AD je ključan za upravljanje identitetima korisnika u oblaku.

Enumeration

Connection

Kada se prijavite putem CLI u Azure sa bilo kojim programom, koristite Azure aplikaciju iz tenanta koji pripada Microsoftu. Ove aplikacije, poput onih koje možete kreirati u svom nalogu, imaju klijent id. Nećete moći da vidite sve njih u listama dozvoljenih aplikacija koje možete videti u konzoli, ali su po defaultu dozvoljene.

Na primer, powershell skripta koja autentifikuje koristi aplikaciju sa klijent id 1950a258-227b-4e31-a9cf-717495945fc2. Čak i ako aplikacija ne pojavljuje u konzoli, sysadmin može blokirati tu aplikaciju tako da korisnici ne mogu pristupiti koristeći alate koji se povezuju putem te aplikacije.

Međutim, postoje drugi klijent-ids aplikacija koje će vam omogućiti da se povežete na Azure:

Tenants

Korisnici

Za više informacija o Entra ID korisnicima pogledajte:

Promena lozinke korisnika

MFA & Politike uslovnog pristupa

Preporučuje se dodavanje MFA za svakog korisnika, međutim, neke kompanije to neće postaviti ili će možda postaviti uz Uslovni pristup: Korisnik će biti obavezan MFA ako se prijavi sa određene lokacije, pretraživača ili neke uslove. Ove politike, ako nisu pravilno konfigurisane, mogu biti podložne obiđanjima. Proverite:

Grupe

Za više informacija o Entra ID grupama proverite:

Dodavanje korisnika u grupu

Vlasnici grupe mogu dodavati nove korisnike u grupu

Grupe mogu biti dinamične, što u osnovi znači da ako korisnik ispunjava određene uslove, biće dodat u grupu. Naravno, ako su uslovi zasnovani na atributima koje korisnik može kontrolisati, mogao bi zloupotrebiti ovu funkciju da uđe u druge grupe. Proverite kako zloupotrebiti dinamične grupe na sledećoj stranici:

Servisni Principi

Za više informacija o Entra ID servisnim principima proverite:

Vlasnik Servisnog Principala može promeniti svoju lozinku.

Lista i pokušaj dodavanja klijentske tajne na svaku Preduzetničku Aplikaciju

```powershell # Just call Add-AzADAppSecret Function Add-AzADAppSecret { <# .SYNOPSIS Add client secret to the applications.

.PARAMETER GraphToken Pass the Graph API Token

.EXAMPLE PS C:> Add-AzADAppSecret -GraphToken 'eyJ0eX..'

.LINK https://docs.microsoft.com/en-us/graph/api/application-list?view=graph-rest-1.0&tabs=http https://docs.microsoft.com/en-us/graph/api/application-addpassword?view=graph-rest-1.0&tabs=http #>

[CmdletBinding()] param( [Parameter(Mandatory=$True)] [String] $GraphToken = $null )

$AppList = $null $AppPassword = $null

List All the Applications

$Params = @{ "URI" = "https://graph.microsoft.com/v1.0/applications" "Method" = "GET" "Headers" = @{ "Content-Type" = "application/json" "Authorization" = "Bearer $GraphToken" } }

try { $AppList = Invoke-RestMethod @Params -UseBasicParsing } catch { }

Add Password in the Application

if($AppList -ne $null) { [System.Collections.ArrayList]$Details = @()

foreach($App in $AppList.value) { $ID = $App.ID $psobj = New-Object PSObject

$Params = @{ "URI" = "https://graph.microsoft.com/v1.0/applications/$ID/addPassword" "Method" = "POST" "Headers" = @{ "Content-Type" = "application/json" "Authorization" = "Bearer $GraphToken" } }

$Body = @{ "passwordCredential"= @{ "displayName" = "Password" } }

try { $AppPassword = Invoke-RestMethod @Params -UseBasicParsing -Body ($Body | ConvertTo-Json) Add-Member -InputObject $psobj -NotePropertyName "Object ID" -NotePropertyValue $ID Add-Member -InputObject $psobj -NotePropertyName "App ID" -NotePropertyValue $App.appId Add-Member -InputObject $psobj -NotePropertyName "App Name" -NotePropertyValue $App.displayName Add-Member -InputObject $psobj -NotePropertyName "Key ID" -NotePropertyValue $AppPassword.keyId Add-Member -InputObject $psobj -NotePropertyName "Secret" -NotePropertyValue $AppPassword.secretText $Details.Add($psobj) | Out-Null } catch { Write-Output "Failed to add new client secret to '$($App.displayName)' Application." } } if($Details -ne $null) { Write-Output "" Write-Output "Client secret added to : " Write-Output $Details | fl * } } else { Write-Output "Failed to Enumerate the Applications." } }

Tajni niz koji aplikacija koristi da dokaže svoj identitet prilikom zahteva za token je lozinka aplikacije. Dakle, ako pronađete ovu lozinku, možete pristupiti kao servisni principal unutar tenanta. Napomena: ova lozinka je vidljiva samo kada je generisana (možete je promeniti, ali je ne možete ponovo dobiti). Vlasnik aplikacije može dodati lozinku (tako da može da se pretvara da je ona). Prijave kao ovi servisni principi nisu označene kao rizične i neće imati MFA.

Upravljane identitete

Za više informacija o upravljanim identitetima proverite:

# List all manged identitiesaz identity list --output table# With the principal ID you can continue the enumeration in service principals

Azure Uloge

Za više informacija o Azure ulogama pogledajte:

# Get rolesaz role definition list# Get all assigned rolesaz role assignment list --all --query "[].roleDefinitionName"az role assignment list --all | jq '.[] | .roleDefinitionName,.scope'# Get info of 1 roleaz role definition list --name "AzureML Registry User"# Get only custom rolesaz role definition list --custom-role-only# Get only roles assigned to the resource group indicatedaz role definition list --resource-group <resource_group># Get only roles assigned to the indicated scopeaz role definition list --scope <scope># Get all the principals a role is assigned toaz role assignment list --all --query "[].{principalName:principalName,principalType:principalType,resourceGroup:resourceGroup,roleDefinitionName:roleDefinitionName}[?roleDefinitionName=='<ROLE_NAME>']"# Get all the roles assigned to a useraz role assignment list --assignee "<email>" --all --output table# Get all the roles assigned to a user by filteringaz role assignment list --all --query "[?principalName=='carlos@carloshacktricks.onmicrosoft.com']" --output table# Get role assignments on the subscriptionGet-AzRoleDefinition# Get Role definitionGet-AzRoleDefinition -Name "Virtual Machine Command Executor"# Get roles of a user or resourceGet-AzRoleAssignment -SignInName test@corp.onmicrosoft.comGet-AzRoleAssignment -Scope /subscriptions/<subscription-id>/resourceGroups/<res_group_name>/providers/Microsoft.Compute/virtualMachines/<vm_name># Get permissions over a resource using ARM directly$Token = (Get-AzAccessToken).Token$URI = 'https://management.azure.com/subscriptions/b413826f-108d-4049-8c11-d52d5d388768/resourceGroups/Research/providers/Microsoft.Compute/virtualMachines/infradminsrv/providers/Microsoft.Authorization/permissions?api-version=2015-07-01'$RequestParams = @{Method = 'GET'Uri = $URIHeaders = @{'Authorization' = "Bearer $Token"}}(Invoke-RestMethod @RequestParams).value

Entra ID Uloge

Za više informacija o Azure ulogama proverite:

# List template Entra ID rolesaz rest --method GET \--uri "https://graph.microsoft.com/v1.0/directoryRoleTemplates"# List enabled built-in Entra ID rolesaz rest --method GET \--uri "https://graph.microsoft.com/v1.0/directoryRoles"# List all Entra ID roles with their permissions (including custom roles)az rest --method GET \--uri "https://graph.microsoft.com/v1.0/roleManagement/directory/roleDefinitions"# List only custom Entra ID rolesaz rest --method GET \--uri "https://graph.microsoft.com/v1.0/roleManagement/directory/roleDefinitions" | jq '.value[] | select(.isBuiltIn == false)'# List all assigned Entra ID rolesaz rest --method GET \--uri "https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments"# List members of a Entra ID rolesaz rest --method GET \--uri "https://graph.microsoft.com/v1.0/directoryRoles/<role-id>/members"# List Entra ID roles assigned to a useraz rest --method GET \--uri "https://graph.microsoft.com/v1.0/users/<user-id>/memberOf/microsoft.graph.directoryRole" \--query "value[]" \--output json# List Entra ID roles assigned to a groupaz rest --method GET \--uri "https://graph.microsoft.com/v1.0/groups/$GROUP_ID/memberOf/microsoft.graph.directoryRole" \--query "value[]" \--output json# List Entra ID roles assigned to a service principalaz rest --method GET \--uri "https://graph.microsoft.com/v1.0/servicePrincipals/$SP_ID/memberOf/microsoft.graph.directoryRole" \--query "value[]" \--output json# Get all available role templatesGet-AzureADDirectoryroleTemplate# Get enabled roles (Assigned roles)Get-AzureADDirectoryRoleGet-AzureADDirectoryRole -ObjectId <roleID> #Get info about the role# Get custom roles - use AzureAdPreviewGet-AzureADMSRoleDefinition | ?{$_.IsBuiltin -eq $False} | select DisplayName# Users assigned a role (Global Administrator)Get-AzureADDirectoryRole -Filter "DisplayName eq 'Global Administrator'" | Get-AzureADDirectoryRoleMemberGet-AzureADDirectoryRole -ObjectId <id> | fl# Roles of the Administrative Unit (who has permissions over the administrative unit and its members)Get-AzureADMSScopedRoleMembership -Id <id> | fl *

Uređaji

# If you know how to do this send a PR!# Enumerate DevicesGet-AzureADDevice -All $true | fl *# List all the active devices (and not the stale devices)Get-AzureADDevice -All $true | ?{$_.ApproximateLastLogonTimeStamp -ne $null}# Get owners of all devicesGet-AzureADDevice -All $true | Get-AzureADDeviceRegisteredOwnerGet-AzureADDevice -All $true | %{if($user=Get-AzureADDeviceRegisteredOwner -ObjectId $_.ObjectID){$_;$user.UserPrincipalName;"`n"}}# Registred users of all the devicesGet-AzureADDevice -All $true | Get-AzureADDeviceRegisteredUserGet-AzureADDevice -All $true | %{if($user=Get-AzureADDeviceRegisteredUser -ObjectId $_.ObjectID){$_;$user.UserPrincipalName;"`n"}}# Get dives managed using IntuneGet-AzureADDevice -All $true | ?{$_.IsCompliant -eq "True"}# Get devices owned by a userGet-AzureADUserOwnedDevice -ObjectId test@corp.onmicrosoft.com# Get Administrative Units of a deviceGet-AzureADMSAdministrativeUnit | where { Get-AzureADMSAdministrativeUnitMember -ObjectId $_.ObjectId | where {$_.ObjectId -eq $deviceObjId} }

Ako je uređaj (VM) AzureAD povezan, korisnici iz AzureAD će moći da se prijave. Štaviše, ako je prijavljeni korisnik Vlasnik uređaja, on će biti lokalni administrator.

Administrativne jedinice

Za više informacija o administrativnim jedinicama pogledajte:

# List all administrative unitsaz rest --method GET --uri "https://graph.microsoft.com/v1.0/directory/administrativeUnits"# Get AU infoaz rest --method GET --uri "https://graph.microsoft.com/v1.0/directory/administrativeUnits/a76fd255-3e5e-405b-811b-da85c715ff53"# Get membersaz rest --method GET --uri "https://graph.microsoft.com/v1.0/directory/administrativeUnits/a76fd255-3e5e-405b-811b-da85c715ff53/members"# Get principals with roles over the AUaz rest --method GET --uri "https://graph.microsoft.com/v1.0/directory/administrativeUnits/a76fd255-3e5e-405b-811b-da85c715ff53/scopedRoleMembers"# Get Administrative UnitsGet-AzureADMSAdministrativeUnitGet-AzureADMSAdministrativeUnit -Id <id># Get ID of admin unit by string$adminUnitObj = Get-AzureADMSAdministrativeUnit -Filter "displayname eq 'Test administrative unit 2'"# List the users, groups, and devices affected by the administrative unitGet-AzureADMSAdministrativeUnitMember -Id <id># Get the roles users have over the members of the AUGet-AzureADMSScopedRoleMembership -Id <id> | fl #Get role ID and role members

Entra ID Eskalacija Privilegija

Azure Eskalacija Privilegija

Odbrambeni Mehanizmi

Upravljanje Privilegovanim Identitetima (PIM)

Upravljanje Privilegovanim Identitetima (PIM) u Azure pomaže da se spreči dodeljivanje prekomernih privilegija korisnicima bez potrebe.

Jedna od glavnih funkcija koju PIM pruža je da omogućava da se ne dodeljuju uloge principima koji su konstantno aktivni, već da ih učini prikladnim na određeni vremenski period (npr. 6 meseci). Tada, kada korisnik želi da aktivira tu ulogu, mora da je zatraži navodeći vreme koliko mu je potrebna privilegija (npr. 3 sata). Tada administrator mora da odobri zahtev. Napomena: korisnik će takođe moći da zatraži da se prolongira vreme.

Pored toga, PIM šalje emailove svaki put kada se privilegovana uloga dodeljuje nekome.

Kada je PIM omogućen, moguće je konfigurisati svaku ulogu sa određenim zahtevima kao što su:

Maksimalno trajanje (sati) aktivacije
Zahteva MFA prilikom aktivacije
Zahteva kontekst autentifikacije uslovnog pristupa
Zahteva opravdanje prilikom aktivacije
Zahteva informacije o tiketu prilikom aktivacije
Zahteva odobrenje za aktivaciju
Maksimalno vreme za isteknuće prikladnih dodela
Puno više konfiguracija o tome kada i kome slati obaveštenja kada se određene radnje dogode sa tom ulogom

Politike Uslovnog Pristupa

Proverite:

Entra Zaštita Identiteta

Entra Zaštita Identiteta je bezbednosna usluga koja omogućava otkrivanje kada je korisnik ili prijavljivanje previše rizično da bi bilo prihvaćeno, omogućavajući da se blokira korisnik ili pokušaj prijavljivanja.

Omogućava administratoru da je konfiguriše da blokira pokušaje kada je rizik "Nizak i iznad", "Srednji i iznad" ili "Visok". Iako je po defaultu potpuno onemogućena:

Danas se preporučuje dodavanje ovih ograničenja putem politika uslovnog pristupa gde je moguće konfigurisati iste opcije.

Entra Zaštita Lozinki

Može se primeniti i na nivou oblaka i na lokalnom Active Directory-ju.

Podrazumevani režim je Revizija:

Reference

PreviousAz - Services NextAz - ACR

Last updated 3 days ago