3. ADFSdump.exe

3.1. Private key 획득 시

• 획득 기전

  https://github.com/mandiant/ADFSDump/blob/master/ADFSDump/AD.cs

  • LDAP Query 경로: CN=ADFS, CN=Microsoft, CN=Program Data, DC=example, DC=com

  • DirectorySearcher(entry).Filter = (LdapFilter)

  • DirectorySearcher를 사용하여 AD에서 thumbnailPhoto 속성이 있는 개체를 검색.

  • thumbnailPhoto는 원래 사용자 프로필 사진을 저장하는 속성이지만, 이 코드에서는 ADFS의 개인 키가 저장되어 있을 가능성을 가정하고 이를 추출한다.

• 로깅 - LDAP Query 수행

  • [AD DS] Event ID 1644 (LDAP Query Latency)

    • (&(thumbnailphoto=*)(objectClass=contact)(!(cn=CryptoPolicy))) 필터가 나타난다.

    

3.2. EncryptedPfx & Provider 획득 시

• 획득 기전

  https://github.com/mandiant/ADFSDump/blob/master/ADFSDump/ReadDB.cshttps://github.com/mandiant/ADFSDump/blob/master/ADFSDump/RelyingPartyTrust.cs

  • ReadConfigurationDb() 함수에서 현재 OS 버전을 확인하고 AD FS 구성 DB에 접근함.

  • Windows Internal Database(WID) 또는 특정 SQL Server 인스턴스(MICROSOFT##WID)를 사용하여 AD FS 설정 정보를 조회함.

  • ServiceSettingsData 테이블에서 암호화된 PFX(인증서 키) 를 조회하여 출력함.

  • Scopes 테이블에서 AD FS의 Relying Party Trust 설정을 조회하고, 관련된 정책을 수집함.

  • 최종적으로 PolicyType을 기준으로 인증 및 인가 정책을 분석하여 출력함.

• 로깅 - SQL Query 수행

  • [AD FS] Event ID 33205 (SQL Query)

    • `SELECT PropertyName, PropertyValue FROM [IdentityServerPolicy].[SyncProperties] additional_information:<tsql_stack><frame nest_level = '1' database_name = 'AdfsConfigurationV4' schema_name = 'IdentityServerPolicy' object_name = 'GetSyncProperties'/></tsql_stack>