mdsecactivebreach/o365-attack-toolkitOffice365를 공격하는 툴킷
o365-attack-toolkit을 사용하면 운영자가 OAuth 피싱 공격을 수행할 수 있습니다.
우리는 기존의 정적 정의 모델에서 실시간으로 계정과 완전히 '대화형'으로 전환하기로 결정했습니다.
피싱 엔드포인트는 OAuth 토큰 피싱을 수행하는 HTML 파일을 제공하는 역할을 합니다.
그 후, 토큰은 백엔드 서비스에서 정의된 공격을 수행하는 데 사용됩니다.
관리 인터페이스를 사용하여 Microsoft Graph API에서 추출된 정보를 검사할 수 있습니다.
관리 인터페이스를 사용하여 특정 키워드를 검색하여 사용자 이메일에 액세스할 수 있습니다. 키워드가 포함된 이메일을 다운로드하는 이전 기능은 중단되었습니다.
이 도구의 새 버전을 사용하면 손상된 사용자로부터 특정 이메일 주소로 첨부 파일을 포함한 HTML/TXT 이메일을 보낼 수 있습니다. 사용자로부터 스피어 피싱 이메일을 보내는 것이 더 신뢰할 수 있기 때문에 이 기능은 매우 유용합니다.
Microsoft Graph API를 사용하여 OneDrive, OneDrive for Business 및 SharePoint 문서 라이브러리의 파일에 액세스할 수 있습니다. 사용자 파일은 관리 인터페이스를 사용하여 대화형으로 검색하고 다운로드할 수 있습니다. 키워드가 포함된 파일을 다운로드하는 이전 기능은 중단되었습니다.
OneDrive/SharePoint에 호스팅된 사용자 문서는 Graph API를 사용하여 수정할 수 있습니다. 이 툴킷의 초기 버전에서는 최근 10개 파일에 사전 정의된 매크로가 백도어로 삽입되었습니다. 이는 레드팀 작전 중 위험했기 때문에 사용이 제한되었습니다. 이러한 이유로 공격에 대한 더 많은 제어를 위해 수동 파일 교체 기능을 구현했습니다.
cd %GOPATH%
git clone https://github.com/mdsecactivebreach/o365-attack-toolkit
cd o365-attack-toolkit
dep ensure
go build
아래와 같은 예시 구성:
[server]
host = 127.0.0.1
externalport = 30662
internalport = 8080
[oauth]
clientid = [REDACTED]
clientsecret = [REDACTED]
scope = "offline_access contacts.read user.read mail.read mail.send files.readWrite.all files.read files.read.all openid profile"
redirecturi = "http://localhost:30662/gettoken"
이 툴킷을 사용하기 전에 Azure Portal에서 애플리케이션을 만들어야 합니다. Azure Active Directory -> 앱 등록 -> 애플리케이션 등록으로 이동합니다.
애플리케이션을 만든 후 구성 파일에 애플리케이션 ID를 복사합니다.
다음 이미지와 같이 클라이언트 비밀을 만들어야 합니다:
구성 파일의 클라이언트 비밀을 업데이트합니다.
관리 인터페이스를 통해 운영자는 손상된 사용자와 상호 작용할 수 있습니다.
