Atacando o Entra ID com ROADtools

Uso autorizado apenas: ROADtools interage com tenants ativos do Microsoft Entra ID (Azure AD) e pode registrar dispositivos, emitir e trocar tokens, e enumerar objetos de diretório. Use-o unicamente contra tenants que você possui ou para os quais está explicitamente autorizado por escrito a testar. Acesso não autorizado a um tenant na nuvem é ilegal.

Visão Geral

ROADtools (por Dirk-jan Mollema) é o kit de ferramentas ofensivo de fato para o Microsoft Entra ID. Ele possui dois componentes principais:

• ROADrecon — autentica no Entra ID, coleta o diretório completo em um banco de dados SQLite local via Azure AD Graph API, e serve uma GUI Angular para explorar usuários, grupos, roles, aplicações, service principals, políticas de acesso condicional e objetos de dispositivo offline. Um sistema de plugins exporta para BloodHound e analisa políticas de CA.
• roadtx (ROADtools Token eXchange) — adquire e troca tokens emitidos pelo Entra ID através dos muitos fluxos OAuth (ROPC, device code, auth-code, troca de refresh-token, app/federated app), realiza registro de dispositivo e gerencia operações de Primary Refresh Token (PRT), incluindo SSO baseado em PRT e emissão de cookies. Sua consciência de FOCI (Family of Client IDs) permite que um refresh token para um cliente de primeira parte seja resgatado por outro recurso.

Juntos, eles cobrem a fase de Descoberta contra a identidade na nuvem: enumerar o tenant (T1087.004 Descoberta de Conta: Conta na Nuvem) e obter/manipular os tokens necessários para alcançar o Microsoft Graph, Azure Resource Manager e outros recursos. O banco de dados offline do ROADrecon torna a recon mais furtiva e rápida; o roadtx torna o roubo de tokens, abuso de PRT e pivoteamento entre recursos prático.

Quando Usar

• Durante um teste de red-team ou de penetração na nuvem autorizado no Azure / Entra ID.
• Quando você tem uma credencial de ponto de entrada, refresh token ou PRT e precisa enumerar o tenant.
• Quando você precisa pivotar um token de um recurso (por exemplo, Azure CLI) para outro (por exemplo, Microsoft Graph).
• Ao validar que o acesso condicional, conformidade de dispositivo e controles de token realmente restringem um atacante.
• Ao mapear caminhos de ataque do Entra (exportar para BloodHound para análise de grafo).

Pré-requisitos

• Autorização por escrito e escopo definido para o tenant alvo.
• Uma credencial inicial: nome de usuário/senha (sem fluxos MFA), uma sessão de device code, um refresh/access token, ou o PRT de um dispositivo registrado.
• Python 3.7+ (fluxos Selenium do roadtx precisam de um geckodriver/Firefox correspondente).

# Core install (roadlib is a shared dependency, pulled in automatically)
python -m pip install roadrecon
python -m pip install roadtx
# Verify
roadrecon --help
roadtx --help

Objetivos

• Autenticar no Entra ID através do fluxo apropriado (device code preferido para MFA).
• Coletar o diretório completo com ROADrecon e analisá-lo na GUI.
• Exportar o diretório para BloodHound e executar plugins de análise de políticas de CA.
• Adquirir tokens com roadtx e trocar refresh tokens entre recursos/clientes.
• Demonstrar SSO baseado em PRT e documentar o acesso resultante.

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

Passo 1: Autenticar com ROADrecon

Escolha o fluxo que corresponde ao seu ponto de entrada. Device code suporta MFA; ROPC (-u/-p) não.

# Username/password (legacy, no MFA)
roadrecon auth -u user@tenant.onmicrosoft.com -p 'Password123!'

# Device-code flow (supports MFA)
roadrecon auth --device-code

# From a stolen access or refresh token
roadrecon auth --access-token <JWT>
roadrecon auth --refresh-token <refresh_token>

# From a PRT (with session key) for SSO-grade access
roadrecon auth --prt <prt> --prt-sessionkey <session_key>

A autenticação escreve .roadtools_auth no diretório de trabalho.

Passo 2: Coletar o diretório

# Coleta completa em roadrecon.db (padrão)
roadrecon gather


…