hackmichnet/aztokenfinderOffice, Edge, Teams 및 PowerShell 전반에서 x64 프로세스 메모리와 TokenBroker 캐시 파일을 검색하여 Azure AD/O365 JWT 토큰을 수집하는 공격형 토큰 수집 유틸리티입니다.
PowerShell, Excel, Word 등 다양한 프로세스에서 JWT(또는 JWT처럼 보이는 데이터)를 추출하는 작은 도구입니다. 이 아이디어는 놀라운 @mrd0x의 블로그 게시물 https://mrd0x.com/stealing-tokens-from-office-applications/에서 영감을 받았습니다.
새 릴리스에서는 훌륭한 @_xpn_의 연구와 그의 게시물 https://blog.xpnsec.com/wam-bam/을 추가했습니다.
AzTokenFinder.exe --help
--mode Required. (Default: Online) Use mode 'online' for parsing processes or use mode offline to decode TokenBroker Cache
--filename Set path to a BrokerCache File.
--processname Names of process you want to parse. Please omit the ".exe".
--processids ProcessIDs you want to parse.
--default Enumerate Edge, Excel, Word, PowerShell, Teams, Onedrive and PowerPoint.
--showexpiredtokens (Default: false) Shows expired tokens.
--targetapp (Default: false) Parses the files where Office, Azure CLI or Azure PowerShell stores its data. Can be Office
(TokenCache), AZCLI (Azure CLI) or AzPWSH (Azure Powershell)
--help Display this help screen.
--version Display version information.
특별한 것은 없습니다. 제공한 프로세스를 열고 메모리에서 JWT처럼 보이는 데이터를 검색하여 추출하기만 합니다.
현재 x64 프로세스에서만 작동합니다.