9. Tools en technieken

---

Dit is een selectie van tools en bronnen die onder andere gebruikt kunnen worden tijdens de pentest. Wij werken op basis van behoefde en de gebruikte tools kunnen sterk afwijken. Op voorhand worden er wel altijd afspraken gemaakt over tools die het netwerk zwaar kunnen belasten.

---

Inoudsopgave

• Tools

• Enumeratie

• Informatieverzameling

• Laterale Beweging

• Exploitaties

• Aanvallen op Inloggegevens

• Bronnen

• Artikelen

• Lijsten en Cheatsheets

Tools

Enumeratie

• o365creeper - Geldige e-mailadressen opsporen

• CloudBrute - Vind cloudinfrastructuur van een bedrijf bij de grootste cloudproviders

• cloud_enum - Multi-cloud OSINT-tool om openbare resources te identificeren in AWS, Azureen Google Cloud

• Azucar - Beveiligingsaudit-tool voor Azure-omgevingen

• CrowdStrike Reporting Tool for Azure (CRT) - Controleer moeilijk te vinden rechten en configuraties in Azure AD/O365

• ScoutSuite - Multi-cloud beveiligingsaudit-tool voor beveiligingsbeoordelingen van cloudomgevingen

• BlobHunter - Tool voor het scannen van Azure Blob Storage-accounts op openbaar toegankelijke blobs

• Grayhat Warfare - Zoek naar open Azure-blobs en AWS-buckets

• Office 365 User Enumeration - Opsporen van geldige gebruikersnamen in Office 365 via ActiveSync, Autodiscover v1 of de inlogpagina van office.com

• CloudFox - Automatisering van situational awareness voor cloud-penetratietests

• Monkey365 - Beoordelen van Microsoft 365-, Azure-subscripties en Azure AD-configuraties

• Azure-AccessPermissions - PowerShell-script voor toegangsmachtigingen in een Azure AD-omgeving

• Prowler - Uitvoeren van beveiligingsaudits en best practice-beoordelingen voor AWS en Azure

• BloodHoundAD/AzureHound voor Azure Active Directory

Informatieverzameling

• o365recon - Informatieverzameling met geldige Azure-gegevens

• Get-MsolRolesAndMembers.ps1 - Lijst met rollen en bijbehorende leden ophalen

• ROADtools - Framework voor interactie met Azure AD

• PowerZure - PowerShell-framework voor het beoordelen van Azure-beveiliging

• Azurite - Enumeratie en verkenning van de Microsoft Azure Cloud

• Sparrow.ps1 - Opsporen van mogelijk gecompromitteerde accounts en apps in Azure/M365

• Hawk - Powershell-tool voor onderzoek naar O365-inbreuken

• Microsoft Azure AD Assessment - Tooling voor het beoordelen van een Azure AD-tenant

• Cloud Katana - Gebruik van serverless computing om beveiligingscontroles te beoordelen

• SCuBA M365 Security Baseline Assessment Tool - Automatisering voor het beoordelen van de M365-omgeving op basis van CISA-baselines

Laterale Beweging

• Stormspotter - Azure Red Team-tool voor grafische weergave van Azure-objecten

• AzureADLateralMovement - Laterale bewegingsgrafiek voor Azure AD

• SkyArk - Ontdek en beveilig de meest bevoorrechte entiteiten in Azure en AWS

• omigood (OM I GOOD?) - Scanner voor kwetsbare VMs met "OMIGOD"-kwetsbaarheden

Exploitaties

• MicroBurst - Scripts voor beoordeling van Microsoft Azure-beveiliging

• azuread_decrypt_msol_v2.ps1 - Decodeer Azure AD MSOL-serviceaccounts

• Microsoft-Teams-GIFShell - Gebruik van Teams-berichten voor reverse shells

Aanvallen op Inloggegevens

• MSOLSpray - Wachtwoordspray-tool voor Microsoft Online-accounts

• MSOLSpray.py - Python-versie van MSOLSpray

• o365spray - Gebruikersnamen en wachtwoordspray-tool gericht op Microsoft O365

• MFASweep - Controleert of MFA is ingeschakeld voor meerdere Microsoft-services

• adconnectdump - Dump Azure AD Connect-inloggegevens

Bronnen

Artikelen

• Misbruik van Azure AD SSO met de Primary Refresh Token

• Misbruik van dynamische groepen in Azure AD voor privilege-escalatie

• Aanvallen op Azure, Azure AD en introductie van PowerZure

• Aanvallen op Azure & Azure AD, deel II

• Azure AD Connect voor Red Teamers

• Introductie tot Azure AD voor Red Teamers

• Azure AD Pass The Certificate

• Azure AD privilege-escalatie: Overname van standaard applicatierechten als Application Admin

• Verdediging en detectie van aanvallen binnen Azure

• Azure-beheerders opsporen voor verticale escalatie

• Office 365-gebruikers imiteren met Mimikatz

• Lateral Movement van Azure naar On-Premises AD

• Kwaadaardige Azure AD applicatieregistraties

• Lateraal bewegen tussen Azure AD-verbonden machines

• CrowdStrike lanceert gratis tool om risico's in Azure AD te identificeren en te verminderen

• Privilege-escalatie kwetsbaarheid in Azure Functions

• Azure Application Proxy Command & Control

• Wachtwoorden in platte tekst herstellen van Azure Virtual Machines alsof het de jaren 90 is

• Forensisch onderzoek op Azure VMs

• Netwerkforensisch onderzoek op Azure VMs

• Cross-account overname van containers in Azure Container Instances

• Azure Active Directory wachtwoord brute-forcing kwetsbaarheid

• Hoe backdoors in Azure Active Directory te detecteren: Identity Federation

• Kwetsbaarheid in Azure App Service onthulde honderden broncode-repositories

• AutoWarp: Cross-Account kwetsbaarheid in Microsoft Azure Automation Service

• Microsoft Azure Synapse Pwnalytics

• Microsoft Azure Site Recovery DLL Hijacking

• FabriXss (CVE-2022-35829): CSTI- en XSS-kwetsbaarheden in Azure Fabric Explorer

• Azure Active Directory Principals en toegangsrechten ontleden

• Hoe OAuth Access Token diefstal in Azure te detecteren

• Hoe om te gaan met ransomware op Azure

• Orca vond SSRF-kwetsbaarheden in vier Azure-services

• EmojiDeploy: Smile! Je Azure-webservice is gecompromitteerd

• Ticket Bouncing en Silver Iodide op Azure AD Kerberos

Lijsten en Sheets

• Lijst met alle Microsoft-portals

• Azure-artikelen van NetSPI Azure Cheat Sheet op CloudSecDocs

• Bronnen over Azure van Cloudberry Engineering

• Bronnen van PayloadsAllTheThings

• Encyclopedie voor het hacken van de cloud

• Azure AD - Aanval en verdedigingshandboek

• Azure Security Bronnen en notities

• Azure Threat Research Matrix

Presentaties en Video's

• Aanvallen en verdedigen van de Microsoft Cloud (Office 365 & Azure AD)

• Presentatieslides

• TR19: Ik zit in jouw cloud en lees ieders e-mails - Azure AD hacken via Active Directory

• Presentatieslides

• Dirk Jan Mollema - Ik zit in jouw cloud en beheer jouw Azure-omgeving - DEF CON 27 Conference

• Presentatieslides

• Avonturen in Azure privilege-escalatie door Karl Fosaaen

• Presentatieslides

• Introductie van ROADtools - Azure AD verkennen voor Red en Blue Teams