SharePointDumper

SharePointDumper ist ein PowerShell-basiertes Extraktions- und Prüfprogramm, das SharePoint-Websites auflistet, auf die ein Benutzer über Microsoft Graph zugreifen kann, und Dateien über SharePoint herunterlädt.

Es ist für SOC-/DLP-Tests, Purple Teaming und nicht anspruchsvolle Red-Team-Bewertungen konzipiert und erstellt detaillierte Berichte, einschließlich heruntergeladener Dateien und aller HTTP-Anfragen (Graph + SharePoint) für die SIEM-Korrelation.

Das Tool führt keine Authentifizierung durch. Stattdessen benötigt es ein bereits erlangtes OAuth2-Zugriffstoken mit den entsprechenden Microsoft Graph-Berechtigungen (Sites.Read.All oder Sites.ReadWrite.All).
Wenn Sie Hilfe bei der Beschaffung eines solchen Tokens benötigen, können Sie EntraTokenAid verwenden (Beispiele unten enthalten), das die Erstellung nutzbarer Zugriffstoken vereinfacht.

✨ Funktionen

• Listet SharePoint-Websites, Laufwerke, Ordner und Dateien über Microsoft Graph auf
• Rekursives Herunterladen von Laufwerken und Ordnern (unter Verwendung von SharePoint-Vorauthentifizierungs-URLs)
• Keine zwingenden externen Abhängigkeiten (keine Microsoft Graph PowerShell-Module usw.)
• Anpassbarer User-Agent
• Globale Download-Limits: maximale Anzahl von Dateien und maximale Gesamtgröße
• Ein-/Ausschlussfilter für Websites und Dateierweiterungen
• Einstellbare Anforderungsdrosselung mit zufälligem Jitter
• Optionale öffentliche IP-Abfrage
• Unterstützt einfachen HTTP-Proxy
• Strukturierter Bericht mit:
  • Zusammenfassung (Dauer, Limits, Filter, öffentliche IP)
  • Aufgerufene SharePoint-Websites
  • Vollständige HTTP-Anfrageprotokolle (CSV oder JSON)
• Schwärzung von SharePoint-Download-Tokens, mit Option zur ungeschwärzten Protokollierung
• Graziöse Ctrl+C-Behandlung: wird nach der aktuellen Datei gestoppt und schreibt vor dem Beenden den vollständigen Bericht und das HTTP-Protokoll
• Fortsetzungsmodus, der die Auflistung wiederholt, aber bereits heruntergeladene Dateien überspringt
• Optionale automatische Zugriffstoken-Aktualisierung (erfordert EntraTokenAid https://github.com/zh54321/EntraTokenAid.git)

📦 Bilder

Ausführung:

Beispiel-CSV-API-Protokoll (kann CSV oder JSON sein):

Beispiel-Datei-Download-Protokoll (kann CSV oder JSON sein):

📦 Installation

Repository klonen

git clone https://github.com/zh54321/SharePointDumper.git
cd SharePointDumper

🔑 Voraussetzungen

SharePointDumper benötigt ein gültiges Microsoft Graph-Zugriffstoken mit delegierten Berechtigungen zum Auflisten von Websites und Dateien:

• Sites.Read.All oder
• Sites.ReadWrite.All

Darüber hinaus muss der OAuth-Client berechtigt sein, die SharePoint-API aufzurufen.

Mehr als 23 Microsoft-Erstanbieteranwendungen haben bereits vorab zugestimmte Sites.Read…-Berechtigungen. Sie können Dateien von SharePoint herunterladen und verwendet werden, um ohne zusätzliche Mandantenkonfiguration ein gültiges Token zu erhalten.

Token-Lebensdauer-Empfehlung

Verwenden Sie nach Möglichkeit ein CAE-aktiviertes Zugriffstoken, das bis zu 24 Stunden gültig bleibt und Unterbrechungen bei länger andauernden Dumps reduziert.

Token mit EntraTokenAid abrufen

Sie können EntraTokenAid verwenden, um ein geeignetes Zugriffstoken über PowerShell zu erhalten
(CAE-Token werden standardmäßig angefordert):

# Modul klonen
git clone https://github.com/zh54321/EntraTokenAid.git
Import-Module EntraTokenAid/EntraTokenAid.psm1

# Token abrufen
$tokens = Invoke-Auth -ClientID 'b26aadf8-566f-4478-926f-589f601d9c74' -RedirectUrl 'urn:ietf:wg:oauth:2.0:oob'

# Optional: In mit den folgenden Beispielen kompatibler Variable speichern
$AccessToken = $tokens.access_token

🚀 Verwendung

Grundlegende Verwendung

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -UserAgent "Not SharePointDumper"

Websites filtern

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -IncludeSites "Finance","Projects"

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -ExcludeSites "HR","Legal"

Dateierweiterungen filtern

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -IncludeExtensions pdf,docx

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -ExcludeExtensions jpg,bmp

Downloads begrenzen

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -MaxFiles 500

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -MaxTotalSizeMB 100

Anfragen verlangsamen

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -RequestDelaySeconds 2

Mit Jitter:

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -RequestDelaySeconds 2 -Variation 3

Fortsetzen (Beispiel nach Token-Ablauf)

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -Resume -OutputFolder .\20251121_1551_MyTenant

Im Fortsetzungsmodus muss -OutputFolder zwingend auf den Ordner des vorherigen Laufs verweisen.

Automatische Token-Aktualisierung verwenden

SharePointDumper kann ein abgelaufenes Zugriffstoken (HTTP 401) automatisch mit einem Aktualisierungstoken und EntraTokenAid erneuern.

# Zwingend: Das Modul muss importiert sein, damit das Tool den Befehl Invoke-Refresh verwenden kann
Import-Module .\EntraTokenAid\EntraTokenAid.psm1

# Optional: Token mit EntraTokenAid abrufen (andere Methoden sind ebenfalls möglich)
$tokens = Invoke-Auth -ClientId 'b26aadf8-566f-4478-926f-589f601d9c74' -RedirectUrl 'urn:ietf:wg:oauth:2.0:oob'

# SharePointDumper mit Aktualisierungsunterstützung ausführen
.\Invoke-SharePointDumper.ps1 -AccessToken $tokens.access_token -RefreshToken $tokens.refresh_token -RefreshClientId 'b26aadf8-566f-4478-926f-589f601d9c74'

Hinweis: Token-Aktualisierungsversuche werden NICHT im API-Protokoll protokolliert.

Parameter

🧾 Ausgabestruktur

Verzeichnisstruktur

20261115_MySecureTenant/
 ├── SharePointDumper_Report_20261115_080333.txt
 ├── SharePointDumper_ApiLog_20261115_080333.csv
 ├── SharePointDumper_FileLog_20261115_080333.csv
 ├── Site A/
 │    └── Documents/
 │         ├── file1.docx
 │         └── file2.pdf
 └── Site B/
      └── Site Assets/

Protokolle

• Bericht: Zusammenfassung auf hoher Ebene (Report_*.txt)
• API-Protokoll: Jede Graph- + SharePoint-HTTP-Anfrage
  (ApiLog_*.csv oder .json)
• Fortsetzungsläufe erzeugen:
  • SharePointDumper_ReportResume_*
  • SharePointDumper_ApiLogResume_*

⚠️ Authentifizierungsfehler

401 – Nicht autorisiert

Das Zugriffstoken ist ungültig oder abgelaufen.

403 – Verboten

Das Zugriffstoken ist gültig, aber die erforderlichen Microsoft Graph- oder SharePoint-Berechtigungen fehlen.

🔍 Erkennung

Aktivitäten von SharePointDumper werden protokolliert in:

• Unified Audit Log (UAL): protokolliert SharePoint-Such- und Download-Aktivitäten.
• Graph Activity Logs: zeichnen alle Anforderungen zur Auflistung von Websites und Laufwerken auf (/organization, /sites, /drives).

Beispiel UAL:

Beispiel Graph Activity Log:

📝 Lizenz

Veröffentlicht unter der MIT-Lizenz.