EasyTokens

Un server di phishing basato su device-code per l'emulazione di avversari. Cattura i token OAuth di Microsoft 365 tramite il flusso Device Authorization Grant. Ispirato da GraphSpy.

Avviso — Solo per uso autorizzato. Questo strumento è destinato a penetration tester e red teamer che operano con esplicita autorizzazione scritta. Un uso improprio può violare le leggi contro le frodi informatiche.

Come funziona

1. L'operatore crea una campagna con device code tramite l'interfaccia operatore.
2. Una pagina di iscrizione destinata alla vittima (a tema Dunder Mifflin) mostra il codice utente e invita il bersaglio ad autenticarsi su microsoft.com/devicelogin.
3. Un poller in background rileva quando il bersaglio completa l'autenticazione e salva il token di accesso/refresh catturato in SQLite.
4. Il browser della vittima viene reindirizzato a una pagina di ricerca post-autenticazione.
5. L'operatore può cercare OneDrive ed email della vittima tramite Microsoft Graph utilizzando il token catturato.

Architettura

Backend Python (una porta per campagna) + front-end nginx + persistenza SQLite.

main_server.py          ← punto di ingresso unificato (esegui questo)
db.py                   ← strato di persistenza SQLite
html_enroll.py          ← costruttore pagina di iscrizione vittima
html_search.py          ← costruttore pagina di ricerca post-autenticazione vittima
css_shared.py           ← CSS condiviso per interfaccia operatore
nginx_helper.py         ← genera e ricarica automaticamente la configurazione del proxy inverso nginx
nginx.conf              ← configurazione nginx di base (include /etc/nginx/conf.d/*.conf)

Rotte

Nginx — Campagne con dominio

Quando una campagna viene creata con un dominio impostato, nginx_helper.py scrive automaticamente un blocco server per dominio in NGINX_CONF (/etc/nginx/conf.d/easytokens.conf di default) e ricarica nginx. Il traffico delle vittime in arrivo sulla porta 80 per quel dominio viene proxyzato all'istanza Python corretta.

• Le campagne senza dominio vengono servite direttamente sulla porta Python (default 3000).
• Le campagne con dominio vengono servite tramite nginx sulla porta 80.
• La configurazione base nginx.conf rifiuta qualsiasi richiesta il cui header Host non corrisponda a una campagna nota (return 444), impedendo l'esposizione accidentale del backend Python.
• Imposta NGINX_CONF='' o NGINX_RELOAD_CMD='' per disabilitare la gestione automatica di nginx.

Avvio rapido (Docker)

docker compose up --build

Porte esposte da Docker:

• Pagina vittima (diretta): http://localhost:3000/
• Interfaccia operatore: http://localhost:3000/app
• Campagne con dominio: http://<campagna-dominio>/ (instradate tramite nginx sulla porta 80)

I token catturati e i log sono persistenti su volumi Docker:

Configurazione manuale

Requisiti: Python 3.12+, nessun pacchetto di terze parti.

python main_server.py

Variabili d'ambiente

Nodo relay PHP

La directory php-relay/ contiene un contenitore Apache/PHP autonomo che funge da nodo distribuito rivolto alla vittima. Serve la stessa pagina di iscrizione device-code del server principale, effettua poll diretto di Microsoft e inoltra i token catturati al pannello principale tramite POST /webhook.

Come funziona

1. All'avvio, checkin.php esegue un POST su POST /relay/checkin del pannello principale, autenticandosi con RELAY_SECRET. Il pannello registra il nodo e restituisce un node_id.
2. Le vittime navigano verso la pagina di iscrizione del relay (index.php), che avvia un nuovo flusso device-code.
3. Il JS lato browser effettua poll su poll.php. Quando un token viene catturato, poll.php lo inoltra a POST /webhook del pannello principale, etichettato con il node_id.

Variabili d'ambiente del relay

Configura in php-relay/.env:

Avvio rapido

Entrambi i contenitori contemporaneamente (consigliato):

# da EasyTokens/
docker compose -f docker-compose.yml -f php-relay/docker-compose.yml up --build

Eseguire entrambi con un singolo merge -f li mette sulla stessa rete Docker, quindi MAIN_SERVER_URL=http://easytokens:3000 viene risolto correttamente.

Accesso:

Solo relay (pannello remoto):

cd php-relay
# Imposta MAIN_SERVER_URL sull'URL pubblico del pannello in .env
docker compose up --build

Configurazione del segreto condiviso

1. Genera un segreto: openssl rand -hex 32
2. Imposta RELAY_SECRET=<segreto> in EasyTokens/.env (viene raccolto dal pannello principale tramite docker-compose.yml)
3. Imposta lo stesso valore in php-relay/.env

Database

Due tabelle nel database SQLite:

• tokens — ogni token di accesso/refresh catturato (UPN, access token, refresh token, id token, scope, origine, timestamp cattura)
• device_codes — campagne avviate dall'operatore (codice utente, codice dispositivo, URL di verifica, stato, ID token collegato, porta, dominio)

Dettagli OAuth di Microsoft

Licenza

MIT — Copyright (c) 2026 Casey Smith