SnaffPoint

Was ist das?

SnaffPoint ist ein Tool für Pentester, die etwas Süße in dieser Welt brauchen. Es soll dir helfen, sensible Dateien zu finden, die auf SharePoint Online und in freigegebenen OneDrive-Dateien deines Unternehmens (oder deines Kunden) verfügbar sind.

Wie funktioniert es?

Es gibt eigentlich 2 Tools:

• GetBearerToken führt die Authentifizierung für dich auf SharePoint durch, mit der üblichen GUI und Unterstützung für MFA
• SnaffPoint ist eine reine CLI und übernimmt die Enumeration selbst und findet die interessanten Dateien

GetBearerToken

Nichts Besonderes, führe das Tool wie folgt aus:

GetBearerToken.exe https://yoururl.sharepoint.com

Nach erfolgreicher Authentifizierung erhältst du ein Bearer-Token, das du in SnaffPoint verwenden kannst. Das ist größtenteils der Code von PNP-Tools (siehe Danksagungen unten).

SnaffPoint

Schau dir das Hilfemenü hier an:

Usage: SnaffPoint.exe -u URL -t JWT [OPTIONS]

-h, --help              This is me :)

Mandatory:
-u, --url               SharePoint online URL where you want to search
-t, --token             Bearer token that grants access to said SharePoint

Common options:
-m, --max-rows          Max. number of rows to return per search query (default is 50)

Presets mode (default):
-p, --preset            Path to a folder containing XML search presets (default is ./presets)

Single query mode:
-q, --query             Query search string
-l, --fql               Enables FQL (default is KQL)
-r, --refinement-filter Adds a refinement filter

Beachte, dass der Ordner preset viele Presets enthält, die du in deiner Umgebung testen möchtest oder auch nicht. Schau sie dir an und reiche bitte einen Pull-Request ein, wenn du Ideen für weitere Presets hast. Der Preset-Modus ist wahrscheinlich das, was du gegen dein eigenes Unternehmen ausführen möchtest. Wenn du hingegen die C#-Assembly im Speicher ausführen musst, solltest du wahrscheinlich eine einzelne Abfrage angeben, um die Presets auf der Festplatte zu vermeiden und mehr Kontrolle über die Suche zu haben.

Danksagungen

Dank an @mikeloss und @sh3r4_hax für Snaffler (https://github.com/SnaffCon/Snaffler), von dem ich den Namen übernommen und viele der Regeln angepasst habe.

Den Mitwirkenden von PNP-Tools: Der gesamte Code, der mit SharePoint interagiert, ist geklaut inspiriert von deren Search.QueryTool-Projekt: https://github.com/pnp/PnP-Tools/tree/master/Solutions/SharePoint.Search.QueryTool/SearchQueryTool

Sonstiges

Du kannst mich auf Twitter kontaktieren: @nicolasheiniger