M365Pwned

Strumenti Red Team per lo sfruttamento di Microsoft 365 tramite Microsoft Graph API.

Due strumenti GUI WinForms per enumerare, cercare ed esfiltrare dati da ambienti M365 utilizzando token OAuth a livello applicazione — nessuna interazione utente richiesta.

⚠️ Disclaimer

Questi strumenti sono destinati esclusivamente a engagement red team autorizzati, test di penetrazione e ricerca sulla sicurezza.
Utilizzarli contro sistemi di cui non si è proprietari o per cui non si dispone di esplicita autorizzazione scritta al test è illegale e potrebbe violare le leggi sulla frode informatica (CFAA, Computer Misuse Act, ecc.).
Gli autori declinano ogni responsabilità per un uso improprio o per i danni causati.

Requisiti

• PowerShell 5.1 (Windows PowerShell — PS7 non richiesto)
• Un'applicazione Azure AD registrata con autorizzazioni applicazione approvate da un amministratore (vedere le sezioni dedicate a ciascuno strumento di seguito)

Autenticazione

Entrambi gli strumenti supportano tre metodi di autenticazione:

Segreto client

-TenantId <guid> -ClientId <guid> -ClientSecret <secret>

Certificato (impronta)

-TenantId <guid> -ClientId <guid> -CertificateThumbprint <thumb>

Token di accesso grezzo (pass-the-token)

-AccessToken <jwt>

MailPwned-GUI.ps1

Panoramica

GUI WinForms per enumerare, cercare, leggere ed esfiltrare email da ambienti M365/Exchange Online.

Autorizzazioni

Nota: /v1.0/search/query con entityType message non supporta le autorizzazioni applicazione. L'enumerazione degli utenti + la ricerca per singola cassetta postale è l'unico approccio praticabile con i token dell'app — ed è esattamente ciò che MailPwned implementa.

Utilizzo

powershell.exe -STA -File .\MailPwned-GUI.ps1

-STA (Single-Threaded Apartment) è richiesto per WinForms.

Funzionalità

• Connettersi utilizzando tenant ID + client ID + segreto, impronta del certificato o token grezzo
• Selettore di regione per cloud sovrani/GCC (EUR, FRA, NAM, GBR, APC, AUS, CAN, IND, JPN)
• Carica cassetta postale — sfoglia l'albero delle cartelle, leggi le email con rendering HTML completo
• Ricerca globale — ricerca in tutte le cassette postali del tenant senza caricararne una specifica
• Ricerca mirata — ricerca all'interno di una cassetta postale caricata
• Anteprima email HTML — rendering completo con supporto per immagini inline (nessuna richiesta esterna)
• Download allegati — singolo o multiplo (bulk)
• Componi / Rispondi / Rispondi a tutti / Inoltra — invia email di impersonificazione
• Segna come letto/non letto, Elimina
• Esporta in CSV
• Pannello log API — log richieste/risposte in tempo reale con codifica a colori per il debug

Casi d'uso Red Team

• Caccia alle credenziali — cerca in tutte le cassette postali password, credentials, VPN, secret, ecc.
• Phishing laterale — leggi le conversazioni email in corso e invia risposte convincenti impersonando l'account compromesso
• Raccolta di intelligence — individua chi invia email a chi, trova progetti sensibili, dati HR, comunicazioni con gli investitori
• Esfiltrazione — download multiplo (bulk) degli allegati corrispondenti a una query di ricerca
• Scoperta di persistenza — cerca codici MFA, email di reset della password, conferme di token

SharePwned-GUI.ps1

Versione CLI

Una versione CLI sviluppata da Ethical-Kaizoku è disponibile qui

Panoramica

GUI WinForms per enumerare, esplorare, cercare, visualizzare in anteprima e scaricare file dai siti SharePoint e dalle unità OneDrive dell'intero tenant.

Autorizzazioni

Fallback: Quando Sites.Read.All non è disponibile, SharePwned ripiega sull'enumerazione delle unità per singolo utente tramite Files.Read.All.

Utilizzo

powershell.exe -STA -File .\SharePwned-GUI.ps1

Funzionalità

• Connettersi utilizzando tenant ID + client ID + segreto, impronta del certificato o token grezzo
• Selettore di regione per cloud sovrani/GCC
• Enumera tutti i siti SharePoint dell'intero tenant
• Esplora gli alberi delle unità — naviga nelle raccolte documenti dei siti e nelle cartelle OneDrive
• Ricerca full-text — ricerca per parole chiave in tutte le unità (/v1.0/search/query con entity driveItem)
• Ricerca di fallback — ricerca per singola unità quando Sites.Read.All è assente
• Anteprima file — estrazione del testo dai documenti, pannello di anteprima integrato
• Download file — download di singoli file con indicatore di avanzamento
• Icone per tipo di file — visualizzazione di icone in base all'estensione nell'esplora file
• Pannello log API — log richieste/risposte in tempo reale con codifica a colori per il debug

Casi d'uso Red Team

• Caccia alle credenziali — cerca in tutto SharePoint/OneDrive password, secret, private key, file di configurazione, .env, ecc.
• Raccolta di intelligence — enumera i siti di progetto, le unità HR, le raccolte documenti finanziarie
• Esfiltrazione — scarica i file di interesse senza lasciare un'ampia traccia di audit
• Mappatura degli accessi — enumera tutti i siti raggiungibili dall'app compromessa per comprendere il raggio d'impatto

Header di regione

L'intestazione Prefer: exchange.region=<region> instrada le richieste verso il datacenter corretto. Necessaria quando si ha come obiettivo tenant in regioni non predefinite.

Note OPSEC

• Tutte le richieste vanno direttamente a https://graph.microsoft.com — nessun proxy o relay
• Il token dell'app contiene il claim roles; i log di Graph mostreranno l'accesso a livello applicazione sotto l'identità dell'app registrata
• Caricare le cassette postali da un file (MailPwned) evita di chiamare GET /users — impronta minore quando un elenco di UPN è già disponibile tramite OSINT o accesso precedente
• Le email HTML scaricate incorporano le immagini inline come URI data: — nessuna richiesta in uscita all'apertura
• Entrambi gli strumenti sopprimono gli errori di script e funzionano completamente offline dopo l'acquisizione del token

Licenza

Solo per uso educativo e test di sicurezza autorizzati.