SharePointDumper

SharePointDumper は、PowerShell ベースの抽出・監査ユーティリティで、Microsoft Graph を介してユーザーがアクセスできる SharePoint サイトを列挙し、SharePoint 経由でファイルをダウンロードします。

SOC / DLP テスト、パープルチーミング、および単純なレッドチーム評価向けに設計されており、ダウンロードしたファイルや HTTP リクエスト (Graph + SharePoint) すべてを含む詳細なレポートを生成し、SIEM との相関を可能にします。

このツールは認証を行いません。代わりに、適切な Microsoft Graph アクセス許可 (Sites.Read.All または Sites.ReadWrite.All) を持つ、すでに取得済みの OAuth2 アクセストークンが必要です。
トークンの取得には EntraTokenAid を使用できます（以下に例を含みます）。このツールは使用可能なアクセストークンの生成を簡素化します。

✨ 機能

• Microsoft Graph を介した SharePoint サイト、ドライブ、フォルダ、ファイルの列挙
• SharePoint 事前認証 URL を使用したドライブとフォルダの再帰的ダンプ
• 必須の外部依存関係なし（Microsoft Graph PowerShell モジュールなどは不要）
• User-Agent のカスタマイズ
• グローバルダウンロード制限：最大ファイル数と最大合計サイズ
• サイトとファイル拡張子の包含/除外フィルタリング
• ランダムジッター付きの調整可能なリクエストスロットリング
• オプションのパブリック IP ルックアップ
• シンプルな HTTP プロキシ対応
• 構造化レポート（以下を含む）：
  • サマリー（期間、制限、フィルター、パブリック IP）
  • アクセスされた SharePoint サイト
  • 完全な HTTP リクエストログ（CSV または JSON）
• SharePoint ダウンロードトークンの編集（編集せずにログ出力するオプションあり）
• グレースフルな Ctrl+C ハンドリング：現在のファイル終了後に停止し、完全なレポートと HTTP ログを書き出してから終了
• 再開モード：再列挙は行うが、すでにダウンロード済みのファイルはスキップ
• オプションの自動アクセストークン更新（EntraTokenAid が必要：https://github.com/zh54321/EntraTokenAid.git）

📦 スクリーンショット

実行画面:

CSV API ログの例（CSV または JSON に対応）:

ファイルダウンロードログの例（CSV または JSON）

📦 インストール

リポジトリのクローン

git clone https://github.com/zh54321/SharePointDumper.git
cd SharePointDumper

🔑 必要条件

SharePointDumper は、サイトとファイルを列挙するための委任アクセス許可を持つ有効な Microsoft Graph アクセストークンを必要とします。

• Sites.Read.All または
• Sites.ReadWrite.All

さらに、OAuth クライアントは SharePoint API を呼び出すことが許可されている必要があります。

23 以上の Microsoft ファーストパーティアプリケーションには、すでに Sites.Read… アクセス許可が事前同意されています。これらは SharePoint からファイルをダウンロードできるため、追加のテナント構成なしで有効なトークンを取得するために使用できます。

トークンの有効期間に関する推奨

可能であれば、CAE 対応のアクセストークンを使用してください。これは最大 24 時間有効で、長時間のダンプ中に中断が少なくなります。

EntraTokenAid を使用したトークンの取得

EntraTokenAid を使用して、適切なアクセストークンを PowerShell 経由で取得できます。 （デフォルトで CAE トークンが要求されます）：

# モジュールのクローン
git clone https://github.com/zh54321/EntraTokenAid.git
Import-Module EntraTokenAid/EntraTokenAid.psm1

# トークンの取得
$tokens = Invoke-Auth -ClientID 'b26aadf8-566f-4478-926f-589f601d9c74' -RedirectUrl 'urn:ietf:wg:oauth:2.0:oob'

# オプション: 以下の例と互換性のある変数に保存
$AccessToken = $tokens.access_token

🚀 使用方法

基本使用法

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -UserAgent "Not SharePointDumper"

サイトのフィルタリング

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -IncludeSites "Finance","Projects"

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -ExcludeSites "HR","Legal"

ファイル拡張子のフィルタリング

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -IncludeExtensions pdf,docx

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -ExcludeExtensions jpg,bmp

ダウンロード制限

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -MaxFiles 500

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -MaxTotalSizeMB 100

リクエストの速度制限

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -RequestDelaySeconds 2

ジッターあり:

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -RequestDelaySeconds 2 -Variation 3

再開（トークン有効期限切れ後の例）

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -Resume -OutputFolder .\20251121_1551_MyTenant

再開モードでは、-OutputFolder は前回の実行フォルダを指定する必要があります。

自動トークン更新の使用

SharePointDumper は、更新トークンと EntraTokenAid を使用して、期限切れのアクセストークン（HTTP 401）を自動的に更新できます。

# 必須：ツールが Invoke-Refresh コマンドを使用できるように、モジュールをインポートする必要があります
Import-Module .\EntraTokenAid\EntraTokenAid.psm1

# オプション：EntraTokenAid を使用してトークンを取得します（他の方法も可能）
$tokens = Invoke-Auth -ClientId 'b26aadf8-566f-4478-926f-589f601d9c74' -RedirectUrl 'urn:ietf:wg:oauth:2.0:oob'

# 更新サポート付きで SharePointDumper を実行
.\Invoke-SharePointDumper.ps1 -AccessToken $tokens.access_token -RefreshToken $tokens.refresh_token -RefreshClientId 'b26aadf8-566f-4478-926f-589f601d9c74'

注：トークン更新の試行は API ログには記録されません。

パラメーター

🧾 出力構成

ディレクトリ構成

20261115_MySecureTenant/
 ├── SharePointDumper_Report_20261115_080333.txt
 ├── SharePointDumper_ApiLog_20261115_080333.csv
 ├── SharePointDumper_FileLog_20261115_080333.csv
 ├── Site A/
 │    └── Documents/
 │         ├── file1.docx
 │         └── file2.pdf
 └── Site B/
      └── Site Assets/

ログ

• レポート: 高レベルサマリー (Report_*.txt)
• API ログ: すべての Graph + SharePoint HTTP リクエスト
  (ApiLog_*.csv または .json)
• 再開実行では以下が生成されます:
  • SharePointDumper_ReportResume_*
  • SharePointDumper_ApiLogResume_*

⚠️ 認証エラー

401 – 認証なし

アクセストークンが無効または期限切れです。

403 – 禁止

アクセストークンは有効ですが、必要な Microsoft Graph または SharePoint のアクセス許可が不足しています。

🔍 検知

SharePointDumper のアクティビティは以下に記録されます:

• 統合監査ログ (UAL): SharePoint の検索およびダウンロードアクティビティを記録します。
• Graph アクティビティログ: すべてのサイトおよびドライブ列挙リクエスト (/organization, /sites, /drives) を記録します。

UAL の例:

Graph アクティビティログの例:

📝 ライセンス

MIT ライセンスの下で公開されています。