TokenFlare

Framework serverless de simulación de phishing AITM para Entra ID / M365

Características

• Ligero: La lógica principal (en src/worker.js solo ~530 líneas de JavaScript).
• Modular: Soporta varios flujos OAuth, con soporte para bypass de Conditional Access de Intune incluido de serie.
• Fácil de ajustar: Configura el branding del cliente, la estructura de URL (ruta de señuelo personalizada y parámetro), la redirección final tras completar la autenticación y más, con el subcomando semiinteractivo tokenflare configure campaign.
• Despliegue local o remoto: Soporta la obtención de certificados SSL con Certbot por ti, o el despliegue directamente a CF.
• OpSec integrado: Bloqueo de bots y scrapers, tu campaña no se quemará en 10 minutos.
• Rápido: Infraestructura funcional y lista para producción en minutos.

Artículo de blog complementario: Enlace

Requisitos previos

• Python 3.7+
• Node.js 20+ con la CLI de Wrangler. En Linux, recomendamos NodeSource:
  root@kitploit:~

  curl -fsSL https://deb.nodesource.com/setup_20.x | sudo -E bash -
  sudo apt-get install -y nodejs
  npm install -g wrangler
  

• Cuenta de CloudFlare con API Token (para despliegue remoto):
  1. Panel de CloudFlare → Create Token
  2. Usa la plantilla "Edit Cloudflare Workers" → Incluye tu cuenta en Account Resources → [opcional] Filtrado por IP
• [Opcional] Certbot para SSL local: sudo apt install certbot

Nota: Desarrollado y probado en un VPS Ubuntu alojado en una nube pública. Ejecutarlo en localhost es posible pero no recomendado (por razones como el reenvío de puertos, el registro DNS apuntando a ti, etc.)

Inicio rápido

# 1. Inicializar
python3 tokenflare.py init yourdomain.com

# 2. Configurar la campaña (asistente interactivo)
python3 tokenflare.py configure campaign

# 2.5. Obtener un certificado SSL válido para el dominio que apunta a tu VPS
sudo python3 tokenflare.py configure ssl

# 3. Desplegar localmente para pruebas
sudo python3 tokenflare.py deploy local


# 4. Desplegar a CloudFlare
python3 tokenflare.py configure cf
python3 tokenflare.py deploy remote

# 5. Solución de problemas
# cambia algunos ajustes en wrangler.toml, src/worker.js, o con tokenflare configure, luego
python3 tokenflare.py deploy local #o
python3 tokenflare.py deploy remote

Comandos

Credenciales capturadas

Las credenciales, códigos de autenticación y cookies de sesión se envían a tu webhook configurado. Soporta Slack, Discord, Teams y webhooks genéricos (autodetectados a partir de la URL).

Configúralo durante configure campaign o establece WEBHOOK_URL en wrangler.toml.

El guardado local de credenciales en archivos no está implementado debido a la naturaleza serverless de Workers. Si quieres añadir log(creds); en src/worker.js, ten en cuenta que CF podría redactar JWTs, cookies o credenciales capturadas. Disponer de un webhook funcional es el método más fiable en nuestra experiencia.

IoCs fáciles para los equipos azules

Header:     X-TokenFlare: Authorised-Security-Testing
User-Agent: TokenFlare/1.0 For_Authorised_Testing_Only

Agradecimientos

Muchas gracias a:

• TE - por ayudar, depurar, enseñarme muchísimo y ser por lo demás un ser humano increíble.
• Dave @Cyb3rC3lt - por crear nuestro Worker de producción interno v1.
• Zolderio - por crear el PoC Worker prototipo que empezó todo.
• ChoiSG - por señalar el soporte para Global API Key.

Aviso legal

SOLO PARA PRUEBAS DE SEGURIDAD AUTORIZADAS

El uso no autorizado contra sistemas que no poseas o para los que no tengas permiso de prueba es ilegal.

Usar los servicios de Cloudflare para hacer pruebas de penetración a un tercero podría ir en contra de algunos de sus Términos y Condiciones. No nos escribas si tu cuenta de CF de producción fue baneada: considera que has sido advertido.

Licencia

Ver el archivo LICENSE.