M365Pwned

أداة الفريق الأحمر لاستغلال Microsoft 365 عبر Microsoft Graph API.

أداتان بواجهة رسومية (WinForms) لتعداد البيانات والبحث عنها واستخراجها من بيئات M365 باستخدام رموز OAuth على مستوى التطبيق — دون الحاجة إلى تفاعل المستخدم.

⚠️ إخلاء مسؤولية

هذه الأدوات مخصصة حصريًا لمهام الفريق الأحمر المصرح بها، واختبارات الاختراق، وأبحاث الأمن.
استخدامها ضد أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها غير قانوني وقد ينتهك قوانين الاحتيال الحاسوبي (CFAA، قانون إساءة استخدام الحاسوب، إلخ).
لا يتحمل المؤلفون أي مسؤولية عن أي سوء استخدام أو ضرر ناتج.

المتطلبات

• PowerShell 5.1 (Windows PowerShell — لا حاجة إلى PS7)
• تطبيق Azure AD مسجل مع أذونات تطبيق بموافقة المسؤول (انظر أقسام كل أداة أدناه)

المصادقة

ثلاث طرق مصادقة مدعومة في كلتا الأداتين:

سر العميل (Client Secret)

-TenantId <guid> -ClientId <guid> -ClientSecret <secret>

الشهادة (بصمة الإبهام)

-TenantId <guid> -ClientId <guid> -CertificateThumbprint <thumb>

رمز الوصول الخام (تمرير الرمز)

-AccessToken <jwt>

MailPwned-GUI.ps1

نظرة عامة

واجهة رسومية (WinForms) لتعداد البريد الإلكتروني والبحث فيه وقراءته واستخراجه من بيئات M365/Exchange Online.

الأذونات

ملاحظة: لا يدعم /v1.0/search/query مع entityType message أذونات التطبيق. تعداد المستخدمين + البحث في كل صندوق بريد هو الأسلوب الوحيد القابل للتطبيق مع رموز التطبيق — وهذا ما ينفذه MailPwned بالضبط.

الاستخدام

powershell.exe -STA -File .\MailPwned-GUI.ps1

مطلوب -STA (Single-Threaded Apartment) لـ WinForms.

الميزات

• اتصال باستخدام معرف المستأجر + معرف العميل + السر، أو بصمة شهادة، أو رمز خام
• محدد المنطقة للسحب السيادية/GCC (EUR، FRA، NAM، GBR، APC، AUS، CAN، IND، JPN)
• تحميل صندوق بريد — تصفح شجرة المجلدات، قراءة رسائل البريد الإلكتروني مع عرض HTML كامل
• بحث عام — البحث في جميع صناديق بريد المستأجر دون تحميل صندوق معين
• بحث مقيد — البحث داخل صندوق بريد محمل
• معاينة بريد HTML — عرض كامل مع دعم الصور المضمنة (بدون طلبات خارجية)
• تنزيل المرفقات — مفردة أو مجمعة
• إنشاء / رد / الرد على الكل / إعادة توجيه — إرسال رسائل انتحال
• وضع علامة كمقروء/غير مقروء، حذف
• تصدير إلى CSV
• لوحة سجل API — سجل طلبات/استجابات ملون في الوقت الفعلي لتصحيح الأخطاء

حالات استخدام الفريق الأحمر

• صيد بيانات الاعتماد — البحث في جميع صناديق البريد عن password، credentials، VPN، secret، إلخ.
• التصيد الجانبي — قراءة سلاسل البريد الجارية وإرسال ردود مقنعة تنتحل هوية الحساب المخترق
• جمع المعلومات الاستخبارية — تعداد من يرسل إلى من، والعثور على مشاريع حساسة وبيانات HR واتصالات المستثمرين
• استخراج البيانات — تنزيل مرفقات مجمعة تطابق استعلام بحث
• اكتشاف الثبات — البحث عن رموز MFA ورسائل إعادة تعيين كلمة المرور وتأكيدات الرمز

SharePwned-GUI.ps1

إصدار CLI

إصدار CLI تم تطويره بواسطة Ethical-Kaizoku يمكن العثور عليه هنا

نظرة عامة

واجهة رسومية (WinForms) لتعداد ملفات SharePoint و OneDrive وتصفحها والبحث فيها ومعاينتها وتنزيلها عبر المستأجر.

الأذونات

التراجع: عندما يكون Sites.Read.All غير متاح، يتراجع SharePwned إلى تعداد محركات الأقراص لكل مستخدم عبر Files.Read.All.

الاستخدام

powershell.exe -STA -File .\SharePwned-GUI.ps1

الميزات

• اتصال باستخدام معرف المستأجر + معرف العميل + السر، أو بصمة شهادة، أو رمز خام
• محدد المنطقة للسحب السيادية/GCC
• تعداد جميع مواقع SharePoint عبر المستأجر
• تصفح أشجار محركات الأقراص — التنقل في مكتبات مستندات الموقع ومجلدات OneDrive
• بحث نص كامل — بحث بكلمة مفتاحية عبر جميع محركات الأقراص (/v1.0/search/query مع entity driveItem)
• بحث تراجعي — بحث لكل محرك أقراص عند غياب Sites.Read.All
• معاينة الملفات — استخراج النص للمستندات، لوحة معاينة مضمنة
• تنزيل الملفات — تنزيل ملف واحد مع مؤشر التقدم
• أيقونات أنواع الملفات — عرض أيقونات حسب الامتداد في متصفح الملفات
• لوحة سجل API — سجل طلبات/استجابات ملون في الوقت الفعلي لتصحيح الأخطاء

حالات استخدام الفريق الأحمر

• صيد بيانات الاعتماد — البحث في جميع SharePoint/OneDrive عن password، secret، private key، ملفات تكوين، .env، إلخ.
• جمع المعلومات الاستخبارية — تعداد مواقع المشاريع ومحركات أقراص HR ومكتبات مستندات المالية
• استخراج البيانات — تنزيل الملفات ذات الاهتمام دون ترك سجل تدقيق كبير
• رسم خرائط الوصول — تعداد جميع المواقع التي يمكن للتطبيق المخترق الوصول إليها لفهم نطاق الانفجار

رأس المنطقة

يقوم رأس Prefer: exchange.region=<region> بتوجيه الطلبات إلى مركز البيانات الصحيح. مطلوب عند استهداف مستأجرين في مناطق غير افتراضية.

ملاحظات OPSEC

• جميع الطلبات تذهب مباشرة إلى https://graph.microsoft.com — لا وكيل أو مرحل
• رمز التطبيق يحتوي على مطالبة roles؛ سجل Graph سيظهر الوصول على مستوى التطبيق تحت هوية التطبيق المسجل
• تحميل صناديق البريد من ملف (MailPwned) يتجنب استدعاء GET /users — بصمة أقل عندما تكون قائمة UPN متاحة بالفعل من OSINT أو الوصول السابق
• رسائل البريد الإلكتروني HTML التي تم تنزيلها تضمن الصور المضمنة كـ data: URIs — لا طلبات صادرة عند فتحها
• كلتا الأداتين تكتمان أخطاء البرنامج النصي وتعملان بشكل كامل دون اتصال بالإنترنت بعد الحصول على الرمز

الترخيص

للاستخدام التعليمي واختبار الأمن المصرح به فقط.