M365Pwned

Microsoft Graph API経由でMicrosoft 365を攻略するためのレッドチームツール。

アプリケーションレベルのOAuthトークンを使用してM365環境からデータを列挙・検索・窃取するための2つのWinForms GUIツールです。ユーザー操作は不要です。

⚠️ 免責事項

これらのツールは、許可を得たレッドチーム演習、ペネトレーションテスト、およびセキュリティ研究専用に作られています。
所有していない、または明示的な書面によるテスト許可を得ていないシステムに対して使用することは違法であり、コンピュータ詐欺関連法（CFAA、Computer Misuse Actなど）に違反する可能性があります。
作者は、不正使用や損害について一切の責任を負いません。

要件

• PowerShell 5.1（Windows PowerShell — PS7は不要）
• 管理者が同意したアプリケーション権限を持つ登録済みAzure ADアプリケーション（各ツールのセクションを参照）

認証

両ツールとも以下の3つの認証方法に対応しています：

クライアントシークレット

-TenantId <guid> -ClientId <guid> -ClientSecret <secret>

証明書（サムプリント）

-TenantId <guid> -ClientId <guid> -CertificateThumbprint <thumb>

生アクセストークン（パス・ザ・トークン）

-AccessToken <jwt>

MailPwned-GUI.ps1

概要

M365/Exchange Online環境から電子メールを列挙・検索・閲覧・窃取するためのWinForms GUIです。

権限

注記： message entityTypeでの /v1.0/search/query はアプリケーション権限をサポートしていません。アプリトークンで実行可能な唯一の方法は、ユーザー列挙とメールボックス単位の検索です。MailPwnedはまさにこれを実装しています。

使用方法

powershell.exe -STA -File .\MailPwned-GUI.ps1

WinFormsを使用するには -STA（シングルスレッドアパートメント）が必要です。

機能

• 接続 — テナントID + クライアントID + シークレット、証明書サムプリント、または生トークンで接続
• リージョンセレクター — sovereign/GCCクラウド用（EUR、FRA、NAM、GBR、APC、AUS、CAN、IND、JPN）
• メールボックスの読み込み — フォルダツリーの閲覧、完全なHTMLレンダリングでのメール閲覧
• グローバル検索 — 特定のメールボックスを読み込まずにテナント内の全メールボックスを横断検索
• スコープ検索 — 読み込んだメールボックス内を検索
• HTMLメールプレビュー — インライン画像対応の完全レンダリング（外部リクエストなし）
• 添付ファイルのダウンロード — 単一または一括
• 作成 / 返信 / 全員に返信 / 転送 — なりすましメールの送信
• 既読/未読の設定、削除
• CSVエクスポート
• APIログパネル — デバッグ用のリアルタイム色分けされたリクエスト/レスポンスログ

レッドチームのユースケース

• 資格情報の探索 — すべてのメールボックスを password、credentials、VPN、secret などで検索
• 横展開型フィッシング — 進行中のメールスレッドを読み、侵害されたアカウントになりすまして説得力のある返信を送信
• 情報収集 — 誰が誰にメールしているかを列挙し、機密プロジェクト、人事データ、投資家向けコミュニケーションを発見
• データ窃取 — 検索クエリに一致する添付ファイルを一括ダウンロード
• 永続化の検出 — MFAコード、パスワードリセットメール、トークン確認メールを検索

SharePwned-GUI.ps1

CLI版

Ethical-Kaizoku によって開発されたCLI版はこちらにあります。

概要

テナント全体のSharePointサイトとOneDriveドライブからファイルを列挙・閲覧・検索・プレビュー・ダウンロードするためのWinForms GUIです。

権限

フォールバック： Sites.Read.All が利用できない場合、SharePwnedは Files.Read.All を使用してユーザー単位のドライブ列挙にフォールバックします。

使用方法

powershell.exe -STA -File .\SharePwned-GUI.ps1

機能

• 接続 — テナントID + クライアントID + シークレット、証明書サムプリント、または生トークンで接続
• リージョンセレクター — sovereign/GCCクラウド用
• すべてのSharePointサイトを列挙 — テナント全体
• ドライブツリーの閲覧 — サイトのドキュメントライブラリとOneDriveフォルダを移動
• 全文検索 — すべてのドライブを横断するキーワード検索（driveItem エンティティを使用した /v1.0/search/query）
• フォールバック検索 — Sites.Read.All がない場合のドライブ単位の検索
• ファイルプレビュー — ドキュメントのテキスト抽出、インラインプレビューパネル
• ファイルのダウンロード — 進捗表示付きの単一ファイルダウンロード
• ファイルタイプアイコン — ファイルブラウザでの拡張子に応じたアイコン表示
• APIログパネル — デバッグ用のリアルタイム色分けされたリクエスト/レスポンスログ

レッドチームのユースケース

• 資格情報の探索 — SharePoint/OneDrive全体を password、secret、private key、設定ファイル、.env などで検索
• 情報収集 — プロジェクトサイト、人事ドライブ、財務ドキュメントライブラリを列挙
• データ窃取 — 大きな監査証跡を残さずに関心のあるファイルをダウンロード
• アクセスマッピング — 侵害されたアプリが到達可能なすべてのサイトを列挙し、影響範囲を把握

リージョンヘッダー

Prefer: exchange.region=<region> ヘッダーは、リクエストを正しいデータセンターにルーティングします。デフォルト以外のリージョンのテナントを対象とする場合に必要です。

OPSECに関する注意事項

• すべてのリクエストは https://graph.microsoft.com に直接送信されます — プロキシやリレーは使用しません
• アプリトークンには roles クレームが含まれます。Graphログには登録済みアプリのIDの下でアプリケーションレベルのアクセスとして記録されます
• ファイルからメールボックスを読み込む（MailPwned）ことで GET /users の呼び出しを回避できます — OSINTや過去のアクセスでUPNリストが既に入手可能な場合、フットプリントを低減できます
• ダウンロードしたHTMLメールはインライン画像を data: URIとして埋め込みます — 開いても外部へのリクエストは発生しません
• 両ツールはスクリプトエラーを抑制し、トークン取得後は完全にオフラインで動作します

ライセンス

教育目的および許可を得たセキュリティテストの用途に限ります。