侦察：Azure云与Kevin Klingbile - Black Hills信息安全公司

本次网络研讨会最初于2024年9月26日发布。

在本视频中，Black Hills信息安全的Kevin Klingbile讨论了Azure云服务和M365的复杂性，重点介绍了渗透测试中未认证和认证侦察的区别。他详细介绍了各种进行有效侦察的工具和技术，包括用户名枚举、密码喷洒和令牌提取。Kevin还分享了关于设置Azure开发订阅的实用见解，并强调了保持情境感知以增强安全态势的重要性。

主要内容

• 网络研讨会重点关注M365和Azure云服务之间的差异，以及渗透测试这些环境时的具体考虑因素
• 讨论了各种侦察技术，包括未认证和认证侦察，重点关注DNS记录、用户枚举和识别潜在安全配置错误
• 涵盖了几种利用M365和Azure中漏洞的工具和方法，包括使用Cloud Enum、Cred Master和Graph Runner进行详细侦察和潜在利用

重点内容

DNS记录：侦察和Microsoft租户验证的关键组成部分

探索DNS记录进行侦察，重点关注使用SPF和MX记录的Microsoft租户授权和电子邮件服务验证。

使用静态基础URL和Cloud Enum增强Azure中的手动发现

Azure中的手动发现利用静态基础URL访问各种存储账户，并可以使用cloud enum进行增强。

理解Microsoft 365服务中的用户名枚举

探索用户名枚举技术及其对Microsoft 365服务的影响，包括手动方法和用户名列表策略。

Cred Master：通过AWS IP循环增强安全测试

Cred Master利用Fireprox通过为每个请求循环AWS IP地址来进行有效的用户名枚举和密码喷洒。

使用Find Me Access生成令牌和JWT令牌化

通过Find Me Access为Microsoft Graph API和Azure Powershell生成令牌，包括JWT令牌化和权限细节。

使用TeamFiltration和访问令牌外泄Outlook电子邮件

演示在Windows上使用TeamFiltration工具通过特定访问令牌外泄Outlook电子邮件，并讨论令牌权限。

使用0365 Recon和Azure Hound进行认证侦察

使用0365 recon和azure Hound进行认证侦察，可以快速收集用户列表和Azure对象以进行安全审计。

完整视频内容

Kevin Klingbile首先解释了Azure云和M365的区别，指出大多数人将Azure视为Microsoft云服务，但实际上M365和Azure Cloud是不同的。他详细介绍了未认证和认证侦察的两个主要区别，并分享了自己的背景和经验。

DNS记录分析

Kevin介绍了如何通过DNS文本记录进行侦察，特别是MS值和SPF记录。他强调了注意假阴性的重要性，即使MX记录中没有显示mail.protection.outlook.com，也不意味着邮件不在该租户上运行。

手动发现和Cloud Enum

他讲解了Azure中的手动发现方法，包括使用静态基础URL和Google dorks。Cloud Enum工具可以程序化地检查这些静态URL，并发现存储账户和其他资源。

AAD Internals和用户名枚举

Kevin演示了如何使用AAD Internals工具获取租户信息，包括租户ID和其他域。他还详细介绍了用户名枚举技术，包括手动枚举和使用统计可能用户名列表的方法。

OneDrive和Teams枚举

他介绍了OneDrive枚举和Teams枚举工具，说明了它们的优势和使用注意事项。Teams枚举需要有效的商业账户和许可证，但可以提供用户状态信息。

Cred Master和密码喷洒

Kevin详细讲解了Cred Master工具，它使用Fireprox进行用户名枚举和密码喷洒。他强调了使用Fireprox可以避免智能锁定，但会在日志中留下指纹。

MFA检查和令牌生成

他介绍了Find Me Access和MFA Sweep工具，用于检查多因素认证设置和生成令牌。这些工具可以在日志中留下多个登录尝试的指纹。

认证侦察工具

一旦获得凭据，可以使用0365 Recon、Road Recon、Azure Hound和Graph Runner等工具进行认证侦察。这些工具可以快速收集用户列表、组、设备和其他Azure对象。

Scout Suite和最佳实践

Kevin推荐使用Scout Suite进行内部审计，但指出它需要订阅才能运行。他还强调了参考CIS基准和其他基准的重要性，并建议通过Microsoft开发者计划进行练习。

总结

Kevin强调了情境感知的重要性，建议组织运行这些工具来了解外部人员可以看到的信息。他再次强调了多因素认证的重要性，并建议仔细检查MFA配置。

问答环节

在问答环节中，Kevin回答了关于开发者订阅、外部垃圾邮件过滤器、Microsoft Defender检测能力等问题。他还分享了对工具开发和学习资源的看法。

注意：本文内容基于Black Hills信息安全公司的网络研讨会内容翻译，专注于Azure云和M365环境中的渗透测试侦察技术。