Az - Enumeration Tools

Reading time: 19 minutes

Installare PowerShell su Linux

sudo apt-get update
sudo apt-get install -y wget apt-transport-https software-properties-common

# Ubuntu 20.04
wget -q https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb

# Update repos
sudo apt-get update
sudo add-apt-repository universe

# Install & start powershell
sudo apt-get install -y powershell
pwsh

# Az cli
curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash

Installa PowerShell in MacOS

Istruzioni tratte dalla documentation:

1. Installa brew se non è ancora installato:

/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"

2. Installa l'ultima versione stabile di PowerShell:

brew install powershell/tap/powershell

3. Esegui PowerShell:

pwsh

4. Aggiornamento:

brew update
brew upgrade powershell

Principali strumenti di enumerazione

az cli

Azure Command-Line Interface (CLI) è uno strumento multipiattaforma scritto in Python per gestire e amministrare (la maggior parte delle) risorse Azure e Entra ID. Si connette ad Azure ed esegue comandi amministrativi tramite la riga di comando o script.

Segui questo link per le installation instructions¡.

I comandi in Azure CLI sono strutturati secondo lo schema: az <service> <action> <parameters>

Debug | MitM az cli

Usando il parametro --debug è possibile vedere tutte le richieste che lo strumento az sta inviando:

az account management-group list --output table --debug

Per eseguire un MitM allo strumento e controllare manualmente tutte le richieste che invia puoi fare:

export ADAL_PYTHON_SSL_NO_VERIFY=1
export AZURE_CLI_DISABLE_CONNECTION_VERIFICATION=1
export HTTPS_PROXY="http://127.0.0.1:8080"
export HTTP_PROXY="http://127.0.0.1:8080"

# If this is not enough
# Download the certificate from Burp and convert it into .pem format
# And export the following env variable
openssl x509 -in ~/Downloads/cacert.der -inform DER -out ~/Downloads/cacert.pem -outform PEM
export REQUESTS_CA_BUNDLE=/Users/user/Downloads/cacert.pem

set ADAL_PYTHON_SSL_NO_VERIFY=1
set AZURE_CLI_DISABLE_CONNECTION_VERIFICATION=1
set HTTPS_PROXY="http://127.0.0.1:8080"
set HTTP_PROXY="http://127.0.0.1:8080"

# If this is not enough
# Download the certificate from Burp and convert it into .pem format
# And export the following env variable
openssl x509 -in cacert.der -inform DER -out cacert.pem -outform PEM
set REQUESTS_CA_BUNDLE=C:\Users\user\Downloads\cacert.pem

$env:ADAL_PYTHON_SSL_NO_VERIFY=1
$env:AZURE_CLI_DISABLE_CONNECTION_VERIFICATION=1
$env:HTTPS_PROXY="http://127.0.0.1:8080"
$env:HTTP_PROXY="http://127.0.0.1:8080"

Az PowerShell

Azure PowerShell è un modulo con cmdlets per gestire le risorse Azure direttamente dalla riga di comando di PowerShell.

Follow this link for the installation instructions.

I comandi in Azure PowerShell AZ Module sono strutturati come: <Action>-Az<Service> <parameters>

Debug | MitM Az PowerShell

Usando il parametro -Debug è possibile vedere tutte le richieste che lo strumento invia:

Get-AzResourceGroup -Debug

Per effettuare un MitM sul tool e controllare manualmente tutte le richieste che invia, puoi impostare le variabili d'ambiente HTTPS_PROXY e HTTP_PROXY secondo i docs.

Microsoft Graph PowerShell

Microsoft Graph PowerShell è un SDK cross-platform che consente l'accesso a tutte le Microsoft Graph APIs, inclusi servizi come SharePoint, Exchange e Outlook, utilizzando un singolo endpoint. Supporta PowerShell 7+, l'autenticazione moderna tramite MSAL, identità esterne e query avanzate. Con un focus sul principio del minimo privilegio, garantisce operazioni sicure e riceve aggiornamenti regolari per adeguarsi alle ultime funzionalità delle Microsoft Graph API.

Segui questo link per le installation instructions.

I comandi in Microsoft Graph PowerShell sono strutturati come: <Action>-Mg<Service> <parameters>

Debug Microsoft Graph PowerShell

Usando il parametro -Debug è possibile vedere tutte le richieste che il tool invia:

Get-MgUser -Debug

AzureAD Powershell

Il modulo Azure Active Directory (AD), ora deprecato, fa parte di Azure PowerShell per la gestione delle risorse Azure AD. Fornisce cmdlet per attività come la gestione di utenti, gruppi e registrazioni di applicazioni in Entra ID.

Follow this link for the installation instructions.

Strumenti automatizzati per Recon & Compliance

turbot azure plugins

Turbot con steampipe e powerpipe permette di raccogliere informazioni da Azure e Entra ID, eseguire controlli di compliance e individuare misconfigurazioni. I moduli Azure attualmente più raccomandati da eseguire sono:

• https://github.com/turbot/steampipe-mod-azure-compliance
• https://github.com/turbot/steampipe-mod-azure-insights
• https://github.com/turbot/steampipe-mod-azuread-insights

# Install
brew install turbot/tap/powerpipe
brew install turbot/tap/steampipe
steampipe plugin install azure
steampipe plugin install azuread

# Config creds via env vars or az cli default creds will be used
export AZURE_ENVIRONMENT="AZUREPUBLICCLOUD"
export AZURE_TENANT_ID="<tenant-id>"
export AZURE_SUBSCRIPTION_ID="<subscription-id>"
export AZURE_CLIENT_ID="<client-id>"
export AZURE_CLIENT_SECRET="<secret>"

# Run steampipe-mod-azure-insights
cd /tmp
mkdir dashboards
cd dashboards
powerpipe mod init
powerpipe mod install github.com/turbot/steampipe-mod-azure-insights
steampipe service start
powerpipe server
# Go to http://localhost:9033 in a browser

Prowler

Prowler è uno strumento di sicurezza Open Source per eseguire valutazioni delle best practice di sicurezza, audit, incident response, continuous monitoring, hardening e forensics readiness per AWS, Azure, Google Cloud e Kubernetes.

Permette fondamentalmente di eseguire centinaia di controlli su un ambiente Azure per individuare misconfigurazioni di sicurezza e raccogliere i risultati in json (e altri formati di testo) o consultarli sul web.

# Create a application with Reader role and set the tenant ID, client ID and secret in prowler so it access the app

# Launch web with docker-compose
export DOCKER_DEFAULT_PLATFORM=linux/amd64
curl -LO https://raw.githubusercontent.com/prowler-cloud/prowler/refs/heads/master/docker-compose.yml
curl -LO https://raw.githubusercontent.com/prowler-cloud/prowler/refs/heads/master/.env
## If using an old docker-compose version, change the "env_file" params to: env_file: ".env"
docker compose up -d
# Access the web and configure the access to run a scan from it

# Prowler cli
python3 -m pip install prowler --break-system-packages
docker run --rm toniblyx/prowler:v4-latest azure --list-checks
docker run --rm toniblyx/prowler:v4-latest azure --list-services
docker run --rm toniblyx/prowler:v4-latest azure --list-compliance
docker run --rm -e "AZURE_CLIENT_ID=<client-id>" -e "AZURE_TENANT_ID=<tenant-id>" -e "AZURE_CLIENT_SECRET=<secret>" toniblyx/prowler:v4-latest azure --sp-env-auth
## It also support other authentication types, check: prowler azure --help

Monkey365

Consente di eseguire automaticamente revisioni della configurazione di sicurezza delle Azure subscriptions e di Microsoft Entra ID.

I report HTML vengono memorizzati nella directory ./monkey-reports all'interno della cartella del repository GitHub.

git clone https://github.com/silverhack/monkey365
Get-ChildItem -Recurse monkey365 | Unblock-File
cd monkey365
Import-Module ./monkey365
mkdir /tmp/monkey365-scan
cd /tmp/monkey365-scan

Get-Help Invoke-Monkey365
Get-Help Invoke-Monkey365 -Detailed

# Scan with user creds (browser will be run)
Invoke-Monkey365 -TenantId <tenant-id> -Instance Azure -Collect All -ExportTo HTML

# Scan with App creds
$SecureClientSecret = ConvertTo-SecureString "<secret>" -AsPlainText -Force
Invoke-Monkey365 -TenantId <tenant-id> -ClientId <client-id> -ClientSecret $SecureClientSecret -Instance Azure -Collect All -ExportTo HTML

ScoutSuite

ScoutSuite raccoglie dati di configurazione per l'ispezione manuale e mette in evidenza le aree a rischio. È uno strumento di auditing della sicurezza multi-cloud che consente la valutazione della postura di sicurezza degli ambienti cloud.

virtualenv -p python3 venv
source venv/bin/activate
pip install scoutsuite
scout --help

# Use --cli flag to use az cli credentials
# Use --user-account to have scout prompt for user credentials
# Use --user-account-browser to launch a browser to login
# Use --service-principal to have scout prompt for app credentials

python scout.py azure --cli

Azure-MG-Sub-Governance-Reporting

È uno script powershell che ti aiuta a visualizzare tutte le risorse e le autorizzazioni all'interno di un Management Group e del tenant Entra ID e a trovare misconfigurazioni di sicurezza.

Funziona usando il modulo Az PowerShell, quindi qualsiasi autenticazione supportata da questo tool è supportata dal tool.

import-module Az
.\AzGovVizParallel.ps1 -ManagementGroupId <management-group-id> [-SubscriptionIdWhitelist <subscription-id>]

Strumenti automatici di Post-Exploitation

ROADRecon

L'enumerazione di ROADRecon fornisce informazioni sulla configurazione di Entra ID, come utenti, gruppi, ruoli, criteri di accesso condizionale...

cd ROADTools
pipenv shell
# Login with user creds
roadrecon auth -u test@corp.onmicrosoft.com -p "Welcome2022!"
# Login with app creds
roadrecon auth --as-app --client "<client-id>" --password "<secret>" --tenant "<tenant-id>"
roadrecon gather
roadrecon gui

AzureHound

AzureHound è il collector di BloodHound per Microsoft Entra ID e Azure. È un singolo binario statico Go per Windows/Linux/macOS che comunica direttamente con:

• Microsoft Graph (Entra ID directory, M365) e
• Azure Resource Manager (ARM) control plane (subscriptions, resource groups, compute, storage, key vault, app services, AKS, ecc.)

Caratteristiche principali

• Può essere eseguito da qualsiasi punto su Internet pubblico contro le API del tenant (non è richiesto accesso alla rete interna)
• Produce JSON per l'ingestione in BloodHound CE per visualizzare i percorsi di attacco attraverso identità e risorse cloud
• User-Agent predefinito osservato: azurehound/v2.x.x

Opzioni di autenticazione

• Nome utente + password: -u -p
• Refresh token: --refresh-token
• JSON Web Token (access token): --jwt
• Segreto del service principal: -a -s
• Certificato del service principal: -a --cert <cert.pem> --key <key.pem> [--keypass ]

Esempi

# Full tenant collection to file using different auth flows
## User creds
azurehound list -u "<user>@<tenant>" -p "<pass>" -t "<tenant-id|domain>" -o ./output.json

## Use an access token (JWT) from az cli for Graph
JWT=$(az account get-access-token --resource https://graph.microsoft.com -o tsv --query accessToken)
azurehound list --jwt "$JWT" -t "<tenant-id>" -o ./output.json

## Use a refresh token (e.g., from device code flow)
azurehound list --refresh-token "<refresh_token>" -t "<tenant-id>" -o ./output.json

## Service principal secret
azurehound list -a "<client-id>" -s "<secret>" -t "<tenant-id>" -o ./output.json

## Service principal certificate
azurehound list -a "<client-id>" --cert "/path/cert.pem" --key "/path/key.pem" -t "<tenant-id>" -o ./output.json

# Targeted discovery
azurehound list users -t "<tenant-id>" -o users.json
azurehound list groups -t "<tenant-id>" -o groups.json
azurehound list roles -t "<tenant-id>" -o roles.json
azurehound list role-assignments -t "<tenant-id>" -o role-assignments.json

# Azure resources via ARM
azurehound list subscriptions -t "<tenant-id>" -o subs.json
azurehound list resource-groups -t "<tenant-id>" -o rgs.json
azurehound list virtual-machines -t "<tenant-id>" -o vms.json
azurehound list key-vaults -t "<tenant-id>" -o kv.json
azurehound list storage-accounts -t "<tenant-id>" -o sa.json
azurehound list storage-containers -t "<tenant-id>" -o containers.json
azurehound list web-apps -t "<tenant-id>" -o webapps.json
azurehound list function-apps -t "<tenant-id>" -o funcapps.json

What gets queried

• Graph endpoints (examples):
• /v1.0/organization, /v1.0/users, /v1.0/groups, /v1.0/roleManagement/directory/roleDefinitions, directoryRoles, owners/members
• ARM endpoints (examples):
• management.azure.com/subscriptions/.../providers/Microsoft.Storage/storageAccounts
• .../Microsoft.KeyVault/vaults, .../Microsoft.Compute/virtualMachines, .../Microsoft.Web/sites, .../Microsoft.ContainerService/managedClusters

Preflight behavior and endpoints

• Each azurehound list