TATS — Token Analysis and Tracking System

Traccia token OAuth 2.0, OIDC e Microsoft Entra ID attraverso il traffico di rete catturato. Importa esportazioni XML di Burp Suite, file di flusso mitmproxy o stream live del Chrome DevTools Protocol in un unico database SQLite, quindi serve una dashboard web interattiva per filtrare i token, esaminare gli scambi, individuare scope rischiosi, esportare token per il replay e visualizzare i cicli di vita dei token come grafici Mermaid.

Stato: TATS è stabile per uso personale / di engagement. Ottimizzato per l'ecosistema Microsoft 365 / Entra (FOCI, BroCI/NAA, cookie di sessione ESTSAUTH, arricchimento entrascopes.com) ma funziona con qualsiasi traffico OAuth/OIDC sufficientemente standard.

---

Perché esiste

Quando si intercetta una lunga sessione Microsoft 365 o Azure attraverso Burp / mitmproxy la cattura risultante è enorme e la maggior parte degli strumenti o:

• Mostra un solo token alla volta (l'estensione JWT di Burp), oppure
• Non segue il dialetto OAuth di Microsoft (FOCI, BroCI, cookie ESTSAUTH), oppure
• Non traccia i frame WebSocket, dove Teams / Skype / SignalR inviano i token, oppure
• Non ti dice quali token sono ancora validi in questo momento.

Questo strumento estrae ogni access / refresh / id token osservato, ne calcola le impronte per correlare lo stesso token tra fonti diverse, decodifica i claim JWT, risolve i GUID di client / risorsa Microsoft tramite entrascopes.com, e rende l'intero quadro come un'unica dashboard — inclusa una vista delle catene di refresh-token che segue gli scambi cross-app FOCI e l'emissione di token di app annidate BroCI.

Questo progetto è destinato principalmente a scopi di ricerca e didattica ma fornisce opzioni come l'anteprima dei comandi e le funzionalità di esportazione dei token che possono supportare alcuni strumenti offensivi.

---

Funzionalità

Core

• Tre fonti di importazione in un unico strumento:
  • ingest — esportazione XML "Save items" di Burp Suite
  • mitm — file di flusso .mitm di mitmproxy (frame HTTP e WebSocket)
  • cdp — collegamento live a Chrome / Edge tramite DevTools Protocol (in tempo reale, cattura frame HTTP e WebSocket decifrati TLS senza una CA proxy; traccia ogni tab esistente E ogni tab aperto durante l'esecuzione tramite auto-attach a livello di browser)
• Un unico archivio SQLite canonico da cui legge la dashboard. Ogni passata di importazione può essere eseguita con --append per unirsi a un database esistente; i token vengono upsertati (usi + durata di vita osservata si accumulano), eventi e scambi vengono accodati, e il source_tag della riga registra ogni passata che ha visto il token.
• Dashboard web live servita da un server HTTP della stdlib. Interroga il database ogni 5 secondi e ri-renderizza quando i dati sottostanti cambiano — così una cattura CDP in esecuzione aggiorna la dashboard quasi in tempo reale.
• Nessuna dipendenza proprietaria per i percorsi core. L'importazione Burp, il livello database, la UI web e l'attach CDP sono tutti solo stdlib. L'importazione mitmproxy è l'unica dipendenza opzionale (pip install mitmproxy).

Classificazione e arricchimento dei token

• Chiavi del body OAuth (access_token, refresh_token, id_token) ed euristiche sui nomi dei cookie determinano il tipo di token.
• Cookie di sessione Microsoft (ESTSAUTH, ESTSAUTHPERSISTENT, ESTSAUTHLIGHT, SignInStateCookie) sono esplicitamente riconosciuti come token equivalenti al refresh (altrimenti verrebbero classificati erroneamente dal generico indizio cookie "auth").
• Claim JWT (header + payload) decodificati e memorizzati verbatim — mai troncati.
• Microsoft FOCI (Family of Client IDs) rilevato tramite il campo foci nelle risposte del token-endpoint.
• Microsoft BroCI / Nested App Authentication rilevato tramite brk_client_id, brk_redirect_uri e schemi di redirect brk-<guid>:// nel body della richiesta.
• Flag opzionale --enrich recupera firstpartyscopes.json e resources.json da https://entrascopes.com/ e risolve i GUID appid / azp / aud in nomi leggibili con link cliccabili.

Card della dashboard

• Riquadri di riepilogo — conteggi token, host, scambi (con evidenziazioni FOCI / BroCI) e un indicatore di stato dell'arricchimento.
• Utenti — raggruppamento dei token per upn / preferred_username / unique_name / email / name, con fallback su sub@iss o oid, ed esposizione separata dei bucket app-only e identità sconosciute. Ogni riga di identità mostra un badge captures quando l'utente appare in ≥2 source_tag (sopravvivenza cross-capture, il segnale di ricerca principale di --append) più un intervallo first_seen → last_seen e un pulsante timeline che evidenzia ogni token per quell'utente nella scheda Sequence-diagram.
• Validità dei token — conteggi degli access token attualmente validi vs scaduti, stato di scadenza dei refresh-token (con "scadenza sconosciuta" per i token opachi) e una lista top-3 "prossimi alla scadenza" con auto-refresh ogni 30 secondi.
• Client — ogni app distinta (appid / azp / client_id nel body del form / brk_client_id / brk_nested_id) apparsa negli scambi, con badge FOCI / brokerable / broker / nested.
• Audience — ogni claim aud osservato, risolto ai nomi delle risorse entrascopes dove possibile.
• Tenant — valori tid distinti con conteggi di token / utenti / app.
• Host — eventi, destinatari bearer distinti, issuer distinti e conteggi di scambi per host.
• Scope e ruoli privilegiati — verifica scp / scope / roles di ogni token rispetto a una watchlist curata di permessi Microsoft Graph ad alto impatto e scope di risorse Azure.
• Disallineamenti audience / host — segnala ogni coppia (token, host) in cui il token è stato usato presso un host che non concorda con il suo claim aud (suggerisce fuga di credenziali o uso improprio).
• Metodi di autenticazione (amr) — distribuzione di pwd / mfa / pop / smartcard.
• Funzionalità di sicurezza — segnala Continuous Access Evaluation (xms_cc=CP1), binding proof-of-possession (claim cnf, con rilevamento di kid condiviso tra audience), requisiti di step-up auth (acrs) e il livello di contesto di autenticazione acr. Ogni riga è cliccabile e filtra la scheda Tokens solo sui token che portano quel marcatore.
• Catene di refresh-token — percorre gli archi degli scambi per identificare le linee di rotazione, la lunghezza della catena più lunga e i refresh token inattivi. Ogni catena mostra una colonna Δ scopes (scope aggiunti / rimossi tra i salti, con il diff completo per salto al passaggio del mouse) e segnala le catene in cui uno scope aggiunto corrisponde alla watchlist degli scope privilegiati con un badge ⚠ priv — il segnale di ricerca di espansione dei privilegi in stile FOCI / BroCI.
• Fonti — conteggi token per source_tag così puoi vedere quante righe sono arrivate da ciascuna passata di importazione.