M365Pwned

Outillage Red Team pour l'exploitation de Microsoft 365 via l'API Microsoft Graph.

Deux outils GUI WinForms pour énumérer, rechercher et exfiltrer des données d'environnements M365 à l'aide de jetons OAuth au niveau application — aucune interaction utilisateur requise.

⚠️ Avertissement

Ces outils sont destinés exclusivement à des engagements Red Team autorisés, à des tests d'intrusion et à des recherches en sécurité.
Les utiliser contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation écrite explicite de test est illégal et peut enfreindre les lois sur la fraude informatique (CFAA, Computer Misuse Act, etc.).
Les auteurs déclinent toute responsabilité en cas de mauvaise utilisation ou de dommages causés.

Prérequis

• PowerShell 5.1 (Windows PowerShell — pas de PS7 requis)
• Une application Azure AD enregistrée avec des autorisations d'application consenties par un administrateur (voir les sections dédiées à chaque outil ci-dessous)

Authentification

Trois méthodes d'authentification sont prises en charge par les deux outils :

Secret client

-TenantId <guid> -ClientId <guid> -ClientSecret <secret>

Certificat (empreinte)

-TenantId <guid> -ClientId <guid> -CertificateThumbprint <thumb>

Jeton d'accès brut (pass-the-token)

-AccessToken <jwt>

MailPwned-GUI.ps1

Présentation

GUI WinForms pour énumérer, rechercher, lire et exfiltrer des e-mails d'environnements M365/Exchange Online.

Autorisations

Remarque : /v1.0/search/query avec le type d'entité message ne prend pas en charge les autorisations d'application. L'énumération des utilisateurs + la recherche par boîte mail est la seule approche viable avec des jetons d'application — c'est exactement ce que MailPwned implémente.

Utilisation

powershell.exe -STA -File .\MailPwned-GUI.ps1

-STA (Single-Threaded Apartment) est requis pour WinForms.

Fonctionnalités

• Connexion via ID de locataire + ID client + secret, empreinte de certificat ou jeton brut
• Sélecteur de région pour les clouds souverains/GCC (EUR, FRA, NAM, GBR, APC, AUS, CAN, IND, JPN)
• Charger une boîte mail — parcourir l'arborescence des dossiers, lire les e-mails avec rendu HTML complet
• Recherche globale — rechercher dans toutes les boîtes mail du locataire sans charger une boîte spécifique
• Recherche ciblée — rechercher dans une boîte mail chargée
• Aperçu HTML des e-mails — rendu complet avec prise en charge des images intégrées (aucune requête externe)
• Téléchargement de pièces jointes — unique ou en masse
• Rédiger / Répondre / Répondre à tous / Transférer — envoyer des e-mails d'usurpation
• Marquer comme lu/non lu, Supprimer
• Exporter en CSV
• Panneau de journal API — journal requête/réponse en temps réel avec code couleur pour le débogage

Cas d'utilisation Red Team

• Chasse aux identifiants — rechercher dans toutes les boîtes mail des mots-clés comme password, credentials, VPN, secret, etc.
• Hameçonnage latéral — lire les fils de discussion en cours et envoyer des réponses convaincantes en usurpant le compte compromis
• Collecte de renseignements — identifier qui écrit à qui, trouver des projets sensibles, des données RH, des communications avec les investisseurs
• Exfiltration — télécharger en masse les pièces jointes correspondant à une requête de recherche
• Découverte de persistance — rechercher des codes MFA, des e-mails de réinitialisation de mot de passe, des confirmations de jetons

SharePwned-GUI.ps1

Version CLI

Une version CLI développée par Ethical-Kaizoku est disponible ici

Présentation

GUI WinForms pour énumérer, parcourir, rechercher, prévisualiser et télécharger des fichiers à partir des sites SharePoint et des lecteurs OneDrive dans tout le locataire.

Autorisations

Repli : lorsque Sites.Read.All n'est pas disponible, SharePwned bascule sur l'énumération des lecteurs par utilisateur via Files.Read.All.

Utilisation

powershell.exe -STA -File .\SharePwned-GUI.ps1

Fonctionnalités

• Connexion via ID de locataire + ID client + secret, empreinte de certificat ou jeton brut
• Sélecteur de région pour les clouds souverains/GCC
• Énumérer tous les sites SharePoint du locataire
• Parcourir les arborescences de lecteurs — naviguer dans les bibliothèques de documents des sites et les dossiers OneDrive
• Recherche en texte intégral — recherche par mots-clés dans tous les lecteurs (/v1.0/search/query avec l'entité driveItem)
• Recherche de repli — recherche par lecteur lorsque Sites.Read.All est absent
• Aperçu des fichiers — extraction de texte pour les documents, panneau d'aperçu intégré
• Téléchargement de fichiers — téléchargement d'un fichier avec progression
• Icônes de type de fichier — affichage d'icônes selon l'extension dans l'explorateur de fichiers
• Panneau de journal API — journal requête/réponse en temps réel avec code couleur pour le débogage

Cas d'utilisation Red Team

• Chasse aux identifiants — rechercher dans tout SharePoint/OneDrive des mots-clés comme password, secret, private key, fichiers de configuration, .env, etc.
• Collecte de renseignements — énumérer les sites de projets, les lecteurs RH, les bibliothèques de documents financiers
• Exfiltration — télécharger les fichiers d'intérêt sans laisser de traces d'audit importantes
• Cartographie des accès — énumérer tous les sites accessibles par l'application compromise pour comprendre le rayon d'impact

En-tête de région

L'en-tête Prefer: exchange.region=<region> route les requêtes vers le bon centre de données. Requis lors du ciblage de locataires dans des régions non par défaut.

Notes OPSEC

• Toutes les requêtes vont directement vers https://graph.microsoft.com — aucun proxy ni relais
• Le jeton d'application contient la revendication roles ; les journaux Graph montreront un accès au niveau application sous l'identité de l'application enregistrée
• Charger les boîtes mail depuis un fichier (MailPwned) évite d'appeler GET /users — empreinte réduite lorsqu'une liste d'UPN est déjà disponible via OSINT ou un accès antérieur
• Les e-mails HTML téléchargés intègrent les images en ligne sous forme d'URI data: — aucune requête sortante à l'ouverture
• Les deux outils suppriment les erreurs de script et fonctionnent entièrement hors ligne après l'obtention du jeton

Licence

Pour un usage éducatif et des tests de sécurité autorisés uniquement.