List tenants in az-ad collection uses different audience than the rest of the objects

オープン 初心者向け
  • 何か問題がありますか？
#128 コメント 1 件 リアクション 1 件 担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度
2/5
見積もり時間
1〜3時間
初心者へのやさしさ
78/100
issue の種類
バグ
明瞭さ
明確に書かれている
活発さ
静か
技術スタック
azure, go
領域
api, authentication, cloud

調査の方向性

cmd/list-azure-ad.go の101-102行目付近から始め、client/tenants.go の61-69行目付近を他の az-ad コレクションリクエストと比較します。テナント一覧リクエストが Graph API audience を使用していることを確認し、次に PowerShell JWT コマンドを再現して、az-ad が invalid-audience エラーなしでテナントを一覧表示することを確認します。

索引モデルが issue の本文から書いたものです。

説明

Summary

The az-ad collection tries to list tenants:

https://github.com/SpecterOps/AzureHound/blob/abfd482afac9353f421e6985f69e45a775e004e5/cmd/list-azure-ad.go#L101-L102

But the ListAzureADTenants function uses the resourceManager audience for its request:

https://github.com/SpecterOps/AzureHound/blob/abfd482afac9353f421e6985f69e45a775e004e5/client/tenants.go#L61-L69

This leads to an error when using JWT auth because the az-ad collection needs the Graph API audience.

2025-05-13T10:52:37-05:00 INF collecting azure ad objects...
2025-05-13T10:52:37-05:00 ERR unable to continue processing tenants error="invalid audience"

The rest of the collection steps in az-ad work as expected because they all have the Graph API audience.

Steps to reproduce

$env:GRAPH_JWT = (Get-AzAccessToken -ResourceUrl "https://graph.microsoft.com").Token
./AzureHound.exe --jwt $env:GRAPH_JWT --list az-ad --tenant "contoso.onmicrosoft.com" -o "./entraid.json"
主要言語
Go
スター
982
フォーク
152
平均マージ
1時間 45分
マージ済み PR（30日）
1

環境構築

  • Dockerfile または Docker Compose ファイルあり
  • プルリクエストのテンプレートなし
  • コントリビューションガイドなし

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

SpecterOps/AzureHound のほかの issue

SpecterOps/AzureHound の issue をすべて見る

似ている issue

Go の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。