TATS — टोकन विश्लेषण और ट्रैकिंग प्रणाली

कैप्चर किए गए नेटवर्क ट्रैफ़िक में OAuth 2.0, OIDC, और Microsoft Entra ID टोकन ट्रैक करें। Burp Suite XML निर्यात, mitmproxy फ़्लो फ़ाइलें, या लाइव Chrome DevTools Protocol स्ट्रीम को एक SQLite डेटाबेस में इनजेस्ट करता है, फिर टोकन फ़िल्टर करने, एक्सचेंजों को देखने, जोखिम भरे स्कोप को पहचानने, रीप्ले के लिए टोकन निर्यात करने, और टोकन जीवनचक्र को Mermaid ग्राफ़ के रूप में विज़ुअलाइज़ करने के लिए एक इंटरैक्टिव वेब डैशबोर्ड प्रदान करता है।

स्थिति: TATS व्यक्तिगत / एंगेजमेंट उपयोग के लिए स्थिर है। Microsoft 365 / Entra इकोसिस्टम (FOCI, BroCI/NAA, ESTSAUTH सत्र कुकीज़, entrascopes.com संवर्धन) के लिए अनुकूलित है, लेकिन किसी भी मानक-जैसे OAuth/OIDC ट्रैफ़िक के साथ काम करता है।

यह क्यों मौजूद है

जब आप Burp / mitmproxy के माध्यम से एक लंबे Microsoft 365 या Azure सत्र को प्रॉक्सी करते हैं, तो परिणामी कैप्चर बहुत बड़ा होता है और अधिकांश टूल या तो:

एक समय में केवल एक टोकन दिखाते हैं (Burp का JWT एक्सटेंशन), या
Microsoft की OAuth बोली (FOCI, BroCI, ESTSAUTH कुकीज़) का पालन नहीं करते, या
WebSocket फ़्रेम ट्रैक नहीं करते, जहाँ Teams / Skype / SignalR टोकन भेजते हैं, या
आपको यह नहीं बताते कि कौन से टोकन अभी भी वैध हैं।

यह टूल हर देखे गए access / refresh / id टोकन को निकालता है, उन्हें फ़िंगरप्रिंट करता है ताकि विभिन्न स्रोतों में एक ही टोकन को सहसंबंधित किया जा सके, JWT क्लेम डिकोड करता है, Microsoft client / resource GUIDs को entrascopes.com के विरुद्ध हल करता है, और पूरी तस्वीर को एक डैशबोर्ड के रूप में प्रस्तुत करता है — जिसमें एक refresh-token चेन व्यू भी शामिल है जो FOCI क्रॉस-ऐप एक्सचेंजों और BroCI नेस्टेड-ऐप टोकन जारी करने का अनुसरण करता है।

यह प्रोजेक्ट मुख्य रूप से अनुसंधान और शिक्षा उद्देश्यों के लिए है, लेकिन कमांड प्रीव्यू और टोकन निर्यात जैसे विकल्प प्रदान करता है जो कुछ आक्रामक टूलिंग का समर्थन कर सकते हैं।

विशेषताएँ

मुख्य

एक टूल में तीन इनजेस्ट स्रोत:
- ingest — Burp Suite "Save items" XML निर्यात
- mitm — mitmproxy .mitm फ़्लो फ़ाइल (HTTP और WebSocket फ़्रेम)
- cdp — DevTools Protocol के माध्यम से Chrome / Edge से लाइव अटैच (रीयल-टाइम, प्रॉक्सी CA के बिना TLS-डिक्रिप्टेड HTTP और WebSocket फ़्रेम कैप्चर करता है; ब्राउज़र-स्तरीय ऑटो-अटैच के माध्यम से हर मौजूदा टैब और रन के दौरान खोले गए हर टैब को ट्रैक करता है)
एक कैनोनिकल SQLite स्टोर जिससे डैशबोर्ड पढ़ता है। प्रत्येक इनजेस्ट पास को --append के साथ चलाया जा सकता है ताकि मौजूदा डेटाबेस में मर्ज किया जा सके; टोकन अपसर्ट किए जाते हैं (उपयोग गणना + देखे गए जीवनकाल संचित होते हैं), इवेंट और एक्सचेंज जोड़े जाते हैं, और पंक्ति का source_tag हर उस पास को रिकॉर्ड करता है जिसने टोकन देखा है।
लाइव वेब डैशबोर्ड जो एक stdlib HTTP सर्वर द्वारा प्रदान किया जाता है। हर 5 सेकंड में डेटाबेस को पोल करता है और जब अंतर्निहित डेटा बदलता है तो पुनः रेंडर करता है — इसलिए एक चल रहा CDP कैप्चर डैशबोर्ड को लगभग रीयल-टाइम में अपडेट करता है।
मुख्य पथों के लिए कोई स्वामित्व निर्भरता नहीं। Burp इनजेस्ट, डेटाबेस लेयर, वेब UI, और CDP अटैच सभी केवल stdlib हैं। mitmproxy आयात एकमात्र वैकल्पिक निर्भरता है (pip install mitmproxy)।

टोकन वर्गीकरण और संवर्धन

OAuth बॉडी कुंजियाँ (access_token, refresh_token, id_token) और कुकी-नाम ह्यूरिस्टिक्स टोकन प्रकार को निर्धारित करते हैं।
Microsoft सत्र कुकीज़ (ESTSAUTH, ESTSAUTHPERSISTENT, ESTSAUTHLIGHT, SignInStateCookie) को स्पष्ट रूप से refresh-समकक्ष टोकन के रूप में मान्यता दी जाती है (अन्यथा उन्हें सामान्य "auth" कुकी संकेत द्वारा गलत वर्गीकृत किया जाएगा)।
JWT क्लेम (हेडर + पेलोड) डिकोड किए जाते हैं और शब्दशः संग्रहीत किए जाते हैं — कभी छोटा नहीं किया जाता।
Microsoft FOCI (Family of Client IDs) टोकन-एंडपॉइंट प्रतिक्रियाओं में foci फ़ील्ड के माध्यम से पता लगाया जाता है।
Microsoft BroCI / Nested App Authentication अनुरोध बॉडी में brk_client_id, brk_redirect_uri, और brk-<guid>:// रीडायरेक्ट स्कीम के माध्यम से पता लगाया जाता है।
वैकल्पिक --enrich फ़्लैग https://entrascopes.com/ से firstpartyscopes.json और resources.json प्राप्त करता है और appid / azp / aud GUIDs को क्लिक करने योग्य लिंक के साथ मित्रवत नामों में हल करता है।

डैशबोर्ड कार्ड

सारांश टाइल्स — टोकन गणना, होस्ट, एक्सचेंज (FOCI / BroCI कॉल-आउट के साथ), और एक संवर्धन स्थिति संकेतक।
उपयोगकर्ता — upn / preferred_username / unique_name / email / name द्वारा टोकन बकेटिंग, sub@iss या oid पर वापस आना, और ऐप-केवल और अज्ञात-पहचान बकेट को अलग से सामने लाना। प्रत्येक पहचान पंक्ति एक captures बैज दिखाती है जब उपयोगकर्ता ≥2 source_tags में दिखाई देता है (क्रॉस-कैप्चर सर्वाइवल, मुख्य --append अनुसंधान संकेत) साथ ही एक first_seen → last_seen स्पैन और एक timeline बटन जो Sequence-diagram टैब पर उस उपयोगकर्ता के लिए हर टोकन को हाइलाइट करता है।
टोकन वैधता — वर्तमान में-वैध बनाम समाप्त access टोकन की गणना, refresh-token समाप्ति स्थिति (अपारदर्शी टोकन के लिए "unknown expiry" के साथ), और 30-सेकंड ऑटो-रिफ्रेश के साथ एक शीर्ष-3 "next to expire" सूची।
क्लाइंट — एक्सचेंजों में दिखाई देने वाला हर अलग ऐप (appid / azp / form-body client_id / brk_client_id / brk_nested_id), FOCI / brokerable / broker / nested बैज के साथ।
ऑडियंस — देखा गया हर aud क्लेम, जहाँ संभव हो entrascopes संसाधन नामों में हल किया गया।
टेनेंट — टोकन / उपयोगकर्ता / ऐप गणना के साथ अलग tid मान।
होस्ट — इवेंट, अलग bearer प्राप्तकर्ता, अलग जारीकर्ता, और प्रति होस्ट एक्सचेंज गणना।
विशेषाधिकार प्राप्त स्कोप और भूमिकाएँ — उच्च-प्रभाव वाले Microsoft Graph अनुमतियों और Azure संसाधन स्कोप की एक क्यूरेटेड वॉचलिस्ट के विरुद्ध प्रत्येक टोकन के scp / scope / roles की जाँच करता है।
ऑडियंस / होस्ट बेमेल — हर (token, host) जोड़ी को फ़्लैग करता है जहाँ टोकन का उपयोग ऐसे होस्ट पर किया गया था जो इसके aud क्लेम से मेल नहीं खाता (क्रेडेंशियल लीक या दुरुपयोग का सुझाव देता है)।
प्रमाणीकरण विधियाँ (amr) — pwd / mfa / pop / smartcard वितरण।
सुरक्षा विशेषताएँ — Continuous Access Evaluation (xms_cc=CP1), proof-of-possession बाइंडिंग (cnf क्लेम, ऑडियंस में साझा-kid डिटेक्शन के साथ), step-up auth आवश्यकताएँ (acrs), और acr प्रमाणीकरण-संदर्भ स्तर को फ़्लैग करता है। प्रत्येक पंक्ति क्लिक करने योग्य है और Tokens टैब को केवल उन टोकन तक फ़िल्टर करती है जो उस मार्कर को वहन करते हैं।
Refresh-token चेन — रोटेशन वंशावली की पहचान करने, सबसे लंबी चेन लंबाई, और निष्क्रिय refresh टोकन की पहचान करने के लिए एक्सचेंज किनारों पर चलता है। प्रत्येक चेन एक Δ scopes कॉलम दिखाती है (हॉप्स में जोड़े / हटाए गए स्कोप, होवर पर पूर्ण प्रति-हॉप डिफ के साथ) और उन चेन को फ़्लैग करती है जहाँ एक जोड़ा गया स्कोप विशेषाधिकार प्राप्त-स्कोप वॉचलिस्ट से मेल खाता है, एक ⚠ priv बैज के साथ — FOCI / BroCI-शैली विशेषाधिकार-विस्तार अनुसंधान संकेत।
स्रोत — प्रति-source_tag टोकन गणना ताकि आप देख सकें कि प्रत्येक इनजेस्ट पास से कितनी पंक्तियाँ आईं।

TATS