SnaffPoint

Qué es

SnaffPoint es una herramienta para pentesters que necesitan un poco de dulzura en este mundo. Debería ayudarte a encontrar archivos sensibles disponibles en SharePoint online y en archivos compartidos de OneDrive de tu empresa (o de tu cliente).

Cómo funciona

En realidad hay 2 herramientas:

• GetBearerToken realizará la autenticación por ti en SharePoint, con la interfaz gráfica habitual y soporte para MFA
• SnaffPoint es solo CLI y hará la enumeración en sí y encontrará los archivos interesantes

GetBearerToken

Nada lujoso, ejecuta la herramienta de la siguiente manera:

GetBearerToken.exe https://yoururl.sharepoint.com

Autentícate correctamente y deberías obtener un token Bearer para usar en SnaffPoint. Esto es principalmente el código de PNP-Tools (ver créditos más abajo).

SnaffPoint

Echa un vistazo al menú de ayuda aquí:

Usage: SnaffPoint.exe -u URL -t JWT [OPTIONS]

-h, --help              Este soy yo :)

Obligatorios:
-u, --url               URL de SharePoint online donde quieres buscar
-t, --token             Token Bearer que concede acceso a dicho SharePoint

Opciones comunes:
-m, --max-rows          Máx. número de filas a devolver por consulta de búsqueda (por defecto es 50)

Modo presets (por defecto):
-p, --preset            Ruta a una carpeta que contiene presets de búsqueda XML (por defecto es ./presets)

Modo de consulta única:
-q, --query             Cadena de búsqueda de la consulta
-l, --fql               Habilita FQL (por defecto es KQL)
-r, --refinement-filter Añade un filtro de refinamiento

Ten en cuenta que la carpeta preset contiene muchos presets que quizás quieras o no probar en tu entorno. Échales un vistazo y, por favor, envía una pull request si tienes ideas para otros presets. El modo preset es probablemente lo que quieras ejecutar contra tu propia empresa. Por otro lado, si necesitas ejecutar el ensamblado de C# en memoria, probablemente quieras especificar una consulta única para evitar los presets en disco y tener más control sobre lo que buscas.

Créditos

@mikeloss y @sh3r4_hax por Snaffler (https://github.com/SnaffCon/Snaffler), del cual tomé prestado el nombre y adapté muchas de las reglas.

Los contribuidores de PNP-Tools, todo el código que interactúa con SharePoint está plagiado inspirado en su proyecto Search.QueryTool: https://github.com/pnp/PnP-Tools/tree/master/Solutions/SharePoint.Search.QueryTool/SearchQueryTool

Cualquier otra cosa

Puedes contactarme en Twitter: @nicolasheiniger