SharePointDumper

SharePointDumper è un'utilità di estrazione e auditing basata su PowerShell che enumera i siti SharePoint a cui un utente ha accesso tramite Microsoft Graph e scarica i file tramite SharePoint.

È progettato per test SOC/DLP, purple teaming e valutazioni red-team non sofisticate, e pertanto produce report dettagliati che includono i file scaricati e ogni richiesta HTTP (Graph + SharePoint) per la correlazione SIEM.

Lo strumento non esegue l'autenticazione. Richiede invece un token di accesso OAuth2 già ottenuto con le autorizzazioni appropriate di Microsoft Graph (Sites.Read.All o Sites.ReadWrite.All).
Se hai bisogno di aiuto per ottenere tale token, puoi utilizzare EntraTokenAid (esempi inclusi di seguito), che semplifica la generazione di token di accesso utilizzabili.

✨ Caratteristiche

• Enumera siti SharePoint, unità, cartelle e file tramite Microsoft Graph
• Scarica ricorsivamente unità e cartelle (utilizzando URL di pre-autenticazione SharePoint)
• Nessuna dipendenza esterna obbligatoria (nessun modulo Microsoft Graph PowerShell, ecc.)
• Personalizza lo User-Agent
• Limiti di download globali: numero massimo di file e dimensione totale massima
• Filtri di inclusione/esclusione per siti ed estensioni di file
• Regolazione della limitazione delle richieste con jitter casuale
• Opzionale: ricerca IP pubblico
• Supporto proxy HTTP semplice
• Report strutturato che include:
  • Riepilogo (durata, limiti, filtri, IP pubblico)
  • Siti SharePoint visitati
  • Registri completi delle richieste HTTP (CSV o JSON)
• Oscuramento dei token di download di SharePoint, con opzione per registrarli non oscurati
• Gestione elegante di Ctrl+C che si ferma dopo il file corrente e scrive comunque il report completo e il registro HTTP prima di uscire
• Modalità di ripresa, che ri-enumera ma salta i file già scaricati
• Aggiornamento automatico opzionale del token di accesso (richiede EntraTokenAid https://github.com/zh54321/EntraTokenAid.git)

📦 Immagini

Esecuzione:

Esempio di registro API CSV (può essere CSV o JSON):

Esempio di registro download file (può essere CSV o JSON)

📦 Installazione

Clona il repository

git clone https://github.com/zh54321/SharePointDumper.git
cd SharePointDumper

🔑 Requisiti

SharePointDumper richiede un token di accesso Microsoft Graph valido con autorizzazioni delegate per enumerare siti e file:

• Sites.Read.All oppure
• Sites.ReadWrite.All

Inoltre, il client OAuth deve essere autorizzato a chiamare l'API SharePoint.

Più di 23 applicazioni Microsoft di prima parte hanno già autorizzazioni Sites.Read… pre-consentite. Possono scaricare file da SharePoint e possono essere utilizzate per ottenere un token valido senza ulteriore configurazione del tenant.

Raccomandazione sulla durata del token

Se possibile, utilizza un token di accesso abilitato per CAE, che rimane valido fino a 24 ore e riduce le interruzioni durante dump di lunga durata.

Ottenere un token con EntraTokenAid

Puoi utilizzare EntraTokenAid per ottenere un token di accesso adatto tramite PowerShell
(i token CAE sono richiesti per impostazione predefinita):

# Clona il modulo
git clone https://github.com/zh54321/EntraTokenAid.git
Import-Module EntraTokenAid/EntraTokenAid.psm1

# Ottieni i token
$tokens = Invoke-Auth -ClientID 'b26aadf8-566f-4478-926f-589f601d9c74' -RedirectUrl 'urn:ietf:wg:oauth:2.0:oob'

# Opzionale: salva in una variabile compatibile con gli esempi seguenti
$AccessToken = $tokens.access_token

🚀 Utilizzo

Utilizzo base

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -UserAgent "Not SharePointDumper"

Filtra siti

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -IncludeSites "Finance","Projects"

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -ExcludeSites "HR","Legal"

Filtra estensioni file

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -IncludeExtensions pdf,docx

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -ExcludeExtensions jpg,bmp

Limita download

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -MaxFiles 500

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -MaxTotalSizeMB 100

Rallenta le richieste

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -RequestDelaySeconds 2

Con jitter:

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -RequestDelaySeconds 2 -Variation 3

Riprendi (esempio dopo scadenza token)

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -Resume -OutputFolder .\20251121_1551_MyTenant

In modalità ripresa, -OutputFolder deve puntare alla cartella dell'esecuzione precedente.

Utilizzo dell'aggiornamento automatico del token

SharePointDumper può aggiornare automaticamente un token di accesso scaduto (HTTP 401) utilizzando un token di aggiornamento ed EntraTokenAid.

# Obbligatorio: il modulo deve essere importato affinché lo strumento possa utilizzare il comando Invoke-Refresh
Import-Module .\EntraTokenAid\EntraTokenAid.psm1

# Opzionale: ottieni i token utilizzando EntraTokenAid (sono possibili anche altri metodi)
$tokens = Invoke-Auth -ClientId 'b26aadf8-566f-4478-926f-589f601d9c74' -RedirectUrl 'urn:ietf:wg:oauth:2.0:oob'

# Esegui SharePointDumper con supporto aggiornamento
.\Invoke-SharePointDumper.ps1 -AccessToken $tokens.access_token -RefreshToken $tokens.refresh_token -RefreshClientId 'b26aadf8-566f-4478-926f-589f601d9c74'

Nota: i tentativi di aggiornamento del token NON vengono registrati nel registro API.

Parametri

🧾 Struttura dell'output

Struttura delle directory

20261115_MySecureTenant/
 ├── SharePointDumper_Report_20261115_080333.txt
 ├── SharePointDumper_ApiLog_20261115_080333.csv
 ├── SharePointDumper_FileLog_20261115_080333.csv
 ├── Sito A/
 │    └── Documenti/
 │         ├── file1.docx
 │         └── file2.pdf
 └── Sito B/
      └── Risorse del sito/

Registri

• Report: riepilogo di alto livello (Report_*.txt)
• Registro API: ogni richiesta HTTP Graph + SharePoint
  (ApiLog_*.csv o .json)
• Esecuzioni in ripresa generano:
  • SharePointDumper_ReportResume_*
  • SharePointDumper_ApiLogResume_*

⚠️ Errori di autenticazione

401 – Non autorizzato

Il token di accesso non è valido o è scaduto.

403 – Vietato

Il token di accesso è valido, ma mancano le autorizzazioni Microsoft Graph o SharePoint richieste.

🔍 Rilevamento

Le attività di SharePointDumper vengono registrate in:

• Registro di controllo unificato (UAL): registra l'attività di ricerca e download di SharePoint.
• Registri attività Graph: registrano tutte le richieste di enumerazione di siti e unità (/organization, /sites, /drives).

Esempio UAL:

Esempio registro attività Graph:

📝 Licenza

Rilasciato sotto la Licenza MIT.