M365Pwned

Microsoft Graph API를 통한 Microsoft 365 공격에 사용되는 Red Team 도구입니다.

애플리케이션 수준 OAuth 토큰을 사용하여 M365 환경의 데이터를 열거, 검색, 외부 유출(exfiltration)하기 위한 두 개의 WinForms GUI 도구입니다 — 사용자 상호 작용이 필요 없습니다.

⚠️ 고지 사항

이 도구들은 승인된 red team 업무, 침투 테스트 및 보안 연구에만 사용하도록 제작되었습니다.
소유하지 않았거나 명시적인 서면 허가를 받지 않은 시스템에 사용하는 것은 불법이며 컴퓨터 사기 관련 법률(CFAA, Computer Misuse Act 등)을 위반할 수 있습니다.
작성자는 오용 또는 발생한 손해에 대해 어떠한 책임도 지지 않습니다.

요구 사항

• PowerShell 5.1(Windows PowerShell — PS7 불필요)
• 관리자 동의(admin-consented)된 애플리케이션 권한을 가진 등록된 Azure AD 애플리케이션(아래 각 도구 섹션 참조)

인증

두 도구 모두 세 가지 인증 방식을 지원합니다:

클라이언트 시크릿

-TenantId <guid> -ClientId <guid> -ClientSecret <secret>

인증서(지문)

-TenantId <guid> -ClientId <guid> -CertificateThumbprint <thumb>

원시 액세스 토큰(pass-the-token)

-AccessToken <jwt>

MailPwned-GUI.ps1

개요

M365/Exchange Online 환경에서 이메일을 열거, 검색, 읽기 및 외부 유출하기 위한 WinForms GUI입니다.

권한

참고: message entityType을 사용하는 /v1.0/search/query는 애플리케이션 권한을 지원하지 않습니다. 앱 토큰을 사용할 때는 사용자 열거 + 사서함별 검색만이 실행 가능한 유일한 방법입니다 — MailPwned가 바로 이 방식을 구현합니다.

사용법

powershell.exe -STA -File .\MailPwned-GUI.ps1

WinForms에는 -STA(Single-Threaded Apartment)가 필요합니다.

기능

• 연결 — 테넌트 ID + 클라이언트 ID + 시크릿, 인증서 지문 또는 원시 토큰 사용
• 지역 선택기 — 소버린/GCC 클라우드용(EUR, FRA, NAM, GBR, APC, AUS, CAN, IND, JPN)
• 사서함 로드 — 폴더 트리 탐색, 전체 HTML 렌더링으로 이메일 읽기
• 전역 검색 — 특정 사서함을 로드하지 않고 테넌트의 모든 사서함 검색
• 범위 지정 검색 — 로드된 사서함 내에서 검색
• HTML 이메일 미리보기 — 인라인 이미지 지원 포함 전체 렌더링(외부 요청 없음)
• 첨부 파일 다운로드 — 단일 또는 일괄
• 작성 / 답장 / 전체 답장 / 전달 — 가장 이메일 전송
• 읽음/읽지 않음 표시, 삭제
• CSV 내보내기
• API 로그 패널 — 디버깅용 실시간 색상 구분 요청/응답 로그

Red Team 사용 사례

• 자격 증명 사냥 — 모든 사서함에서 password, credentials, VPN, secret 등 검색
• 횡적 피싱(Lateral phishing) — 진행 중인 이메일 스레드를 읽고 손상된 계정으로 가장하여 설득력 있는 답장 전송
• 정보 수집 — 누가 누구에게 이메일을 보내는지 열거하고, 민감한 프로젝트, 인사 데이터, 투자자 커뮤니케이션 발굴
• 외부 유출 — 검색 쿼리와 일치하는 첨부 파일 일괄 다운로드
• 지속성 발견 — MFA 코드, 비밀번호 재설정 이메일, 토큰 확인 이메일 검색

SharePwned-GUI.ps1

CLI 버전

Ethical-Kaizoku가 개발한 CLI 버전은 여기에서 찾을 수 있습니다

개요

테넌트 전체의 SharePoint 사이트와 OneDrive 드라이브에서 파일을 열거, 탐색, 검색, 미리보기 및 다운로드하기 위한 WinForms GUI입니다.

권한

대체(fallback): Sites.Read.All을 사용할 수 없으면 SharePwned는 Files.Read.All을 통한 사용자별 드라이브 열거로 대체합니다.

사용법

powershell.exe -STA -File .\SharePwned-GUI.ps1

기능

• 연결 — 테넌트 ID + 클라이언트 ID + 시크릿, 인증서 지문 또는 원시 토큰 사용
• 지역 선택기 — 소버린/GCC 클라우드용
• 모든 SharePoint 사이트 열거 — 테넌트 전체
• 드라이브 트리 탐색 — 사이트 문서 라이브러리 및 OneDrive 폴더 탐색
• 전체 텍스트 검색 — 모든 드라이브에서 키워드 검색(driveItem 엔터티가 포함된 /v1.0/search/query)
• 대체 검색 — Sites.Read.All이 없을 때 드라이브별 검색
• 파일 미리보기 — 문서 텍스트 추출, 인라인 미리보기 패널
• 파일 다운로드 — 진행률 표시 단일 파일 다운로드
• 파일 형식 아이콘 — 파일 브라우저에서 확장자를 인식한 아이콘 표시
• API 로그 패널 — 디버깅용 실시간 색상 구분 요청/응답 로그

Red Team 사용 사례

• 자격 증명 사냥 — 모든 SharePoint/OneDrive에서 password, secret, private key, 구성 파일, .env 등 검색
• 정보 수집 — 프로젝트 사이트, 인사 드라이브, 재무 문서 라이브러리 열거
• 외부 유출 — 큰 감사 흔적(audit trail)을 남기지 않고 관심 파일 다운로드
• 접근 매핑 — 손상된 앱이 도달할 수 있는 모든 사이트를 열거하여 피해 범위(blast radius) 파악

지역 헤더

Prefer: exchange.region=<region> 헤더는 요청을 올바른 데이터 센터로 라우팅합니다. 기본 지역이 아닌 테넌트를 대상으로 할 때 필요합니다.

OPSEC 참고 사항

• 모든 요청은 https://graph.microsoft.com으로 직접 전송됩니다 — 프록시나 릴레이 없음
• 앱 토큰에는 roles 클레임이 포함됩니다. Graph 로그에는 등록된 앱의 ID로 애플리케이션 수준 액세스가 기록됩니다.
• (MailPwned) 파일에서 사서함을 로드하면 GET /users 호출을 피할 수 있습니다 — OSINT 또는 이전 액세스로 UPN 목록을 이미 확보한 경우 더 낮은 발자국(footprint)을 남깁니다.
• 다운로드된 HTML 이메일은 인라인 이미지를 data: URI로 포함합니다 — 열람 시 외부 요청이 발생하지 않습니다.
• 두 도구 모두 스크립트 오류를 억제하며 토큰 획득 후 완전히 오프라인으로 실행됩니다.

라이선스

교육 및 승인된 보안 테스트 용도로만 사용하십시오.