EasyTokens

적대자 모의 훈련을 위한 디바이스 코드 피싱 서버입니다. 디바이스 권한 부여 흐름을 통해 Microsoft 365 OAuth 토큰을 캡처합니다. GraphSpy에서 영감을 받았습니다.

경고 — 승인된 사용만 가능합니다. 이 도구는 명시적인 서면 승인을 받은 침투 테스터 및 레드 팀 운영자를 대상으로 합니다. 오용 시 컴퓨터 사기 관련 법률을 위반할 수 있습니다.

작동 방식

1. 운영자가 운영자 UI를 통해 디바이스 코드 캠페인을 생성합니다.
2. 피해자용 등록 페이지(Dunder Mifflin 테마)는 사용자 코드를 표시하고 대상자가 microsoft.com/devicelogin에서 인증하도록 안내합니다.
3. 백그라운드 폴러가 대상자의 인증 완료를 감지하고 캡처된 액세스/리프레시 토큰을 SQLite에 저장합니다.
4. 피해자의 브라우저는 인증 후 검색 페이지로 리디렉션됩니다.
5. 운영자는 캡처된 토큰을 사용하여 Microsoft Graph를 통해 피해자의 OneDrive 및 이메일을 검색할 수 있습니다.

아키텍처

Python 백엔드(캠페인당 하나의 포트) + nginx 프론트엔드 + SQLite 영구 저장소.

main_server.py          ← 통합 진입점 (이 파일을 실행)
db.py                   ← SQLite 영구 저장소 계층
html_enroll.py          ← 피해자 등록 페이지 빌더
html_search.py          ← 피해자 인증 후 검색 페이지 빌더
css_shared.py           ← 운영자 UI용 공유 CSS
nginx_helper.py         ← nginx 리버스 프록시 설정 자동 생성 및 리로드
nginx.conf              ← 기본 nginx 설정 (/etc/nginx/conf.d/*.conf 포함)

라우트

Nginx — 도메인 캠페인

도메인이 설정된 캠페인이 생성되면 nginx_helper.py는 자동으로 도메인별 서버 블록을 NGINX_CONF(기본값 /etc/nginx/conf.d/easytokens.conf)에 작성하고 nginx를 리로드합니다. 해당 도메인으로 포트 80에 도착하는 피해자 트래픽은 올바른 Python 서버 인스턴스로 프록시됩니다.

• 도메인이 없는 캠페인은 Python 포트(기본값 3000)에서 직접 제공됩니다.
• 도메인이 있는 캠페인은 nginx를 통해 포트 80에서 제공됩니다.
• 기본 nginx.conf는 알려진 캠페인과 일치하지 않는 Host 헤더가 있는 모든 요청을 드롭(return 444)하여 Python 백엔드의 우발적 노출을 방지합니다.
• 자동 nginx 관리를 비활성화하려면 NGINX_CONF='' 또는 NGINX_RELOAD_CMD=''를 설정하세요.

빠른 시작 (Docker)

docker compose up --build

Docker가 노출하는 포트:

• 피해자 페이지 (직접): http://localhost:3000/
• 운영자 UI: http://localhost:3000/app
• 도메인 캠페인: http://<campaign-domain>/ (nginx를 통해 포트 80으로 라우팅)

캡처된 토큰과 로그는 Docker 볼륨에 유지됩니다:

수동 설정

요구 사항: Python 3.12+, 서드파티 패키지 불필요.

python main_server.py

환경 변수

PHP 릴레이 노드

php-relay/ 디렉터리에는 독립형 Apache/PHP 컨테이너가 포함되어 있으며, 이 컨테이너는 분산된 피해자 대면 노드 역할을 합니다. 메인 서버와 동일한 디바이스 코드 등록 페이지를 제공하고, Microsoft에 직접 폴링하며, 캡처된 토큰을 POST /webhook을 통해 메인 패널로 전달합니다.

작동 방식

1. 시작 시 checkin.php는 메인 패널의 POST /relay/checkin에 POST 요청을 보내고 RELAY_SECRET으로 인증합니다. 패널은 노드를 등록하고 node_id를 반환합니다.
2. 피해자는 릴레이의 등록 페이지(index.php)를 방문하여 새로운 디바이스 코드 흐름을 시작합니다.
3. 브라우저 측 JS가 poll.php를 폴링합니다. 토큰이 캡처되면 poll.php는 해당 토큰을 node_id와 함께 메인 패널의 POST /webhook으로 전달합니다.

릴레이 환경 변수

php-relay/.env에서 구성:

빠른 시작

두 컨테이너 동시 실행 (권장):

# EasyTokens/ 디렉터리에서
docker compose -f docker-compose.yml -f php-relay/docker-compose.yml up --build

단일 -f 병합으로 두 컨테이너를 동일한 Docker 네트워크에 배치하면 MAIN_SERVER_URL=http://easytokens:3000이 올바르게 확인됩니다.

접근:

릴레이만 실행 (원격 패널):

cd php-relay
# .env에서 MAIN_SERVER_URL을 공개 패널 URL로 설정
docker compose up --build

공유 비밀 설정

1. 비밀 생성: openssl rand -hex 32
2. EasyTokens/.env에 RELAY_SECRET=<secret> 설정 (docker-compose.yml을 통해 메인 패널에서 참조)
3. php-relay/.env에 동일한 값 설정

데이터베이스

SQLite 데이터베이스의 두 테이블:

• tokens — 캡처된 모든 액세스/리프레시 토큰 (UPN, 액세스 토큰, 리프레시 토큰, ID 토큰, 범위, 출처, 캡처 타임스탬프)
• device_codes — 운영자가 시작한 캠페인 (사용자 코드, 디바이스 코드, 확인 URL, 상태, 연결된 토큰 ID, 포트, 도메인)

Microsoft OAuth 세부 사항

라이선스

MIT — 저작권 (c) 2026 Casey Smith