hackmichnet/aztokenfinder攻撃用トークン収集ユーティリティで、Office、Edge、Teams、PowerShell の x64 プロセスメモリと TokenBroker キャッシュファイルから Azure AD/O365 の JWT トークンを検索します。
PowerShell、Excel、Word、その他のプロセスからJWT（またはJWTに似たデータ）を抽出する小さなツールです。このアイデアは、素晴らしい@mrd0xによるブログ記事https://mrd0x.com/stealing-tokens-from-office-applications/に触発されました。
新しいリリースでは、素晴らしい@_xpn_の研究と彼の記事https://blog.xpnsec.com/wam-bam/を追加しました。
AzTokenFinder.exe --help
--mode Required. (Default: Online) Use mode 'online' for parsing processes or use mode offline to decode TokenBroker Cache
--filename Set path to a BrokerCache File.
--processname Names of process you want to parse. Please omit the ".exe".
--processids ProcessIDs you want to parse.
--default Enumerate Edge, Excel, Word, PowerShell, Teams, Onedrive and PowerPoint.
--showexpiredtokens (Default: false) Shows expired tokens.
--targetapp (Default: false) Parses the files where Office, Azure CLI or Azure PowerShell stores its data. Can be Office
(TokenCache), AZCLI (Azure CLI) or AzPWSH (Azure Powershell)
--help Display this help screen.
--version Display version information.
特別なことは何もありません。指定したプロセスを開き、メモリ内をJWTに似たデータを検索して抽出するだけです。
現在、x64プロセスのみで動作します。