hackmichnet/aztokenfinderUtilidad ofensiva de recolección de tokens que examina la memoria de procesos x64 y los archivos de caché de TokenBroker en busca de tokens JWT de Azure AD/O365 en Office, Edge, Teams y PowerShell.
Es una pequeña herramienta para extraer JWT (o datos que parecen JWT) de diferentes procesos, como PowerShell, Excel, Word u otros. La idea se inspiró en el artículo del blog https://mrd0x.com/stealing-tokens-from-office-applications/ del increíble @mrd0x.
En la nueva versión, añadí la investigación del fabuloso @_xpn_ y su artículo https://blog.xpnsec.com/wam-bam/.
AzTokenFinder.exe --help
--mode Required. (Default: Online) Use mode 'online' for parsing processes or use mode offline to decode TokenBroker Cache
--filename Set path to a BrokerCache File.
--processname Names of process you want to parse. Please omit the ".exe".
--processids ProcessIDs you want to parse.
--default Enumerate Edge, Excel, Word, PowerShell, Teams, Onedrive and PowerPoint.
--showexpiredtokens (Default: false) Shows expired tokens.
--targetapp (Default: false) Parses the files where Office, Azure CLI or Azure PowerShell stores its data. Can be Office
(TokenCache), AZCLI (Azure CLI) or AzPWSH (Azure Powershell)
--help Display this help screen.
--version Display version information.
No tiene nada de especial. Simplemente abre los procesos que le indiques y busca en la memoria datos que parezcan JWT y los extrae.
Actualmente solo funciona con procesos x64.