Metodología de Azure Pentest

Reconocimiento externo

Partiendo de conocer el nombre del dominio y/o email se puede enumerar:

Información del Tenant

• Si la organización utiliza o no Tenant.

• ID del Tenant.

• Nombre del Tenant.

• Tipo de autenticación (Federada o no).

• Dominios.

• Servicios de Azure utilizados por la organización.

• Enumeración de IDs de emails.

> Enumeración del Tenant

Emails de la organización

• Enumeración con lista de emails recopilados vía OSINT.

• Enumeración con lista de posibles emails con nombres y formatos comunes.

> Enumeración de emails

Subdominios y servicios

Los servicios de Azure se encuentran disponibles en dominios y subdominios específicos, que pueden ser enumerados usando Microburst:

> Enumeración de subdominios y servicios

Aplicaciones web en Azure

Las aplicaciones web de Azure pueden ser explotadas, entre otras cosas, para:

• Enumerar posibles servicios expuestos como cuentas de almacenamiento (Storage Accounts).

• [Requiere RCE] Obtener información sobre las variables de entorno de la identidad administrada usada por el servidor web que permite la generación de tokens para una posterior autenticación en Azure.

Con la información obtenida se enumerarán los distintos recursos expuestos, como podrían ser:

• Aplicaciones empresariales (Enterprise Apps).

• Servicios de aplicaciones (App Services).

• Aplicaciones funcionales (Function Apps).

• Almacenamiento inseguro (Insecure Storage).

Acceso inicial

• Comprometer un recurso expuesto (por ejemplo, una aplicación web) que permita obtener variables de entorno para generar tokens, credenciales y/o ejecución de código remoto.

• Realizar un ataque de phishing con el fin de obtener credenciales, tokens, acceso y subida de ficheros a One Drive, etc. Con herramientas, como por ejemplo, o365-stealer o evilginx2. Y enviando el enlace al email de la víctima o desde un formulario de contacto.
• Realizar un ataque de concesión de consentimiento, que consiste en enviarle a la víctima un phishing con herramientas como o365-stealer que permitan obtener tokens de acceso con los permisos que se deseen.
• Realizar un ataque de password spraying con MSOLSpray contra una lista de emails previamente validada con O365EmailValidator.

Enumeración interna

Una vez se obtienen credenciales podremos enumerar la distinta información accesible desde Azure según los permisos y recursos asociados al usuario.

Es posible que al intentar iniciar sesión nos encontremos con restricciones debido a la política de acceso condicional establecida para el usuario.

Se puede establecer a distintos niveles, entre otros:

• Basadas en IP.

• Restricciones a nivel de país.

• Acceso permitido vía Exchange Online, SharePoint Online, Teams y MS Graph.

Teniendo credenciales válidas, se pueden enumerar los distintos servicios de Azure:

• Computación: VMs, Kubernetes, Containers, Function Apps.

• Redes: VNet, VPN Gateway, Load Balancing, CDN.

• Almacenamiento: Blob, File, Queue, Table.

• Mobile: Back-end services.

• Databases: Cosmos DB, Managed SQL, MySQL, PostgresSQL Database.

• Web: App Service, API Management, Cognitive Search.

• Internet of Things (IoT).

• Big data.

• AI.

• DevOps.

Los recursos más comunes que cuentan con configuraciones inseguras son:

• Cuentas de almacenamiento (Storage Accounts).

• Vaults de claves (Key Vaults).

• Blobs.

• Cuentas de automatización (Automation Accounts).

• Historial de despliegue (Deployment History).

• ...