hackmichnet/aztokenfinderUtility offensiva di raccolta di token che cerca nella memoria dei processi x64 e nei file di cache TokenBroker i token JWT di Azure AD/O365 in Office, Edge, Teams e PowerShell.
È un piccolo strumento per estrarre dati simili a JWT (o che sembrano JWT) da diversi processi, come PowerShell, Excel, Word o altri. L'idea è stata ispirata dal post del blog https://mrd0x.com/stealing-tokens-from-office-applications/ del fantastico @mrd0x.
Nella nuova versione, ho aggiunto la ricerca del favoloso @_xpn_ e il suo post https://blog.xpnsec.com/wam-bam/.
AzTokenFinder.exe --help
--mode Required. (Default: Online) Use mode 'online' for parsing processes or use mode offline to decode TokenBroker Cache
--filename Set path to a BrokerCache File.
--processname Names of process you want to parse. Please omit the ".exe".
--processids ProcessIDs you want to parse.
--default Enumerate Edge, Excel, Word, PowerShell, Teams, Onedrive and PowerPoint.
--showexpiredtokens (Default: false) Shows expired tokens.
--targetapp (Default: false) Parses the files where Office, Azure CLI or Azure PowerShell stores its data. Can be Office
(TokenCache), AZCLI (Azure CLI) or AzPWSH (Azure Powershell)
--help Display this help screen.
--version Display version information.
Non c'è nulla di speciale. Apre semplicemente i processi indicati, cerca nella memoria dati dall'aspetto simile a JWT e li estrae.
Attualmente funziona solo con processi x64.