SharePointDumper

SharePointDumper는 사용자가 Microsoft Graph를 통해 액세스할 수 있는 SharePoint 사이트를 열거하고 SharePoint를 통해 파일을 다운로드하는 PowerShell 기반 추출 및 감사 유틸리티입니다.

SOC/DLP 테스트, 퍼플 팀 활동, 비정교한 레드팀 평가를 위해 설계되었으며, 따라서 다운로드된 파일 및 SIEM 상관 분석을 위한 모든 HTTP 요청(Graph + SharePoint)을 포함한 상세 보고서를 생성합니다.

이 도구는 인증을 수행하지 않습니다. 대신 적절한 Microsoft Graph 권한(Sites.Read.All 또는 Sites.ReadWrite.All)이 있는 이미 획득한 OAuth2 액세스 토큰이 필요합니다.
이러한 토큰을 얻는 데 도움이 필요하면 EntraTokenAid를 사용할 수 있습니다(아래 예제 포함). 이는 사용 가능한 액세스 토큰을 간편하게 생성합니다.

✨ 기능

• Microsoft Graph를 통해 SharePoint 사이트, 드라이브, 폴더 및 파일 열거
• SharePoint 사전 인증 URL을 사용하여 드라이브 및 폴더 재귀적 덤프
• 필수 외부 종속성 없음(Microsoft Graph PowerShell 모듈 등 불필요)
• User-Agent 사용자 지정
• 전역 다운로드 제한: 최대 파일 수 및 최대 총 크기
• 사이트 및 파일 확장자에 대한 포함/제외 필터링
• 무작위 지터가 포함된 조정 가능한 요청 제한
• 선택적 공용 IP 조회
• 간단한 HTTP 프록시 지원
• 구조화된 보고서 포함:
  • 요약(기간, 제한, 필터, 공용 IP)
  • 액세스한 SharePoint 사이트
  • 전체 HTTP 요청 로그(CSV 또는 JSON)
• SharePoint 다운로드 토큰 편집(미편집 로그 옵션 포함)
• Ctrl+C를 우아하게 처리하여 현재 파일 후 중지하고 종료 전 전체 보고서 및 HTTP 로그 기록
• 재개 모드: 재열거하지만 이미 다운로드된 파일은 건너뜀
• 선택적 자동 액세스 토큰 갱신(EntraTokenAid 필요 https://github.com/zh54321/EntraTokenAid.git)

📦 스크린샷

실행 화면:

CSV API 로그 예시(CSV 또는 JSON 가능):

파일 다운로드 로그 예시(CSV 또는 JSON 가능):

📦 설치

리포지토리 복제

git clone https://github.com/zh54321/SharePointDumper.git
cd SharePointDumper

🔑 요구 사항

SharePointDumper는 사이트 및 파일을 열거하기 위해 위임된 권한이 있는 유효한 Microsoft Graph 액세스 토큰이 필요합니다.

• Sites.Read.All 또는
• Sites.ReadWrite.All

또한 OAuth 클라이언트가 SharePoint API를 호출할 수 있어야 합니다.

23개 이상의 Microsoft 자사 애플리케이션에 이미 Sites.Read… 권한이 사전 동의되어 있습니다. 이들은 SharePoint에서 파일을 다운로드할 수 있으며 추가 테넌트 구성 없이 유효한 토큰을 얻는 데 사용될 수 있습니다.

토큰 수명 권장 사항

가능하면 CAE 지원 액세스 토큰을 사용하세요. 이 토큰은 최대 24시간 동안 유효하며 장기 덤프 중 중단을 줄여줍니다.

EntraTokenAid로 토큰 얻기

EntraTokenAid를 사용하여 PowerShell을 통해 적합한 액세스 토큰을 얻을 수 있습니다(CAE 토큰은 기본적으로 요청됨):

# 모듈 복제
git clone https://github.com/zh54321/EntraTokenAid.git
Import-Module EntraTokenAid/EntraTokenAid.psm1

# 토큰 가져오기
$tokens = Invoke-Auth -ClientID 'b26aadf8-566f-4478-926f-589f601d9c74' -RedirectUrl 'urn:ietf:wg:oauth:2.0:oob'

# 선택 사항: 아래 예제와 호환되는 변수에 저장
$AccessToken = $tokens.access_token

🚀 사용법

기본 사용법

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -UserAgent "Not SharePointDumper"

사이트 필터링

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -IncludeSites "Finance","Projects"

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -ExcludeSites "HR","Legal"

파일 확장자 필터링

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -IncludeExtensions pdf,docx

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -ExcludeExtensions jpg,bmp

다운로드 제한

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -MaxFiles 500

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -MaxTotalSizeMB 100

요청 속도 제한

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -RequestDelaySeconds 2

지터 포함:

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -RequestDelaySeconds 2 -Variation 3

재개 (토큰 만료 후 예시)

.\Invoke-SharePointDumper.ps1 -AccessToken $accesstoken -Resume -OutputFolder .\20251121_1551_MyTenant

재개 모드에서는 -OutputFolder가 이전 실행의 폴더를 가리켜야 합니다.

자동 토큰 갱신 사용

SharePointDumper는 갱신 토큰과 EntraTokenAid를 사용하여 만료된 액세스 토큰(HTTP 401)을 자동으로 갱신할 수 있습니다.

# 필수: 도구가 Invoke-Refresh 명령을 사용할 수 있도록 모듈을 가져와야 함
Import-Module .\EntraTokenAid\EntraTokenAid.psm1

# 선택 사항: EntraTokenAid를 사용하여 토큰 얻기(다른 방법도 가능)
$tokens = Invoke-Auth -ClientId 'b26aadf8-566f-4478-926f-589f601d9c74' -RedirectUrl 'urn:ietf:wg:oauth:2.0:oob'

# 갱신 지원으로 SharePointDumper 실행
.\Invoke-SharePointDumper.ps1 -AccessToken $tokens.access_token -RefreshToken $tokens.refresh_token -RefreshClientId 'b26aadf8-566f-4478-926f-589f601d9c74'

참고: 토큰 갱신 시도는 API 로그에 기록되지 않습니다.

매개변수

🧾 출력 구조

디렉터리 구조

20261115_MySecureTenant/
 ├── SharePointDumper_Report_20261115_080333.txt
 ├── SharePointDumper_ApiLog_20261115_080333.csv
 ├── SharePointDumper_FileLog_20261115_080333.csv
 ├── Site A/
 │    └── Documents/
 │         ├── file1.docx
 │         └── file2.pdf
 └── Site B/
      └── Site Assets/

로그

• 보고서: 상위 수준 요약(Report_*.txt)
• API 로그: 모든 Graph + SharePoint HTTP 요청
  (ApiLog_*.csv 또는 .json)
• 재개 실행 시 생성:
  • SharePointDumper_ReportResume_*
  • SharePointDumper_ApiLogResume_*

⚠️ 인증 오류

401 – 권한 없음

액세스 토큰이 잘못되었거나 만료되었습니다.

403 – 금지됨

액세스 토큰은 유효하지만 필요한 Microsoft Graph 또는 SharePoint 권한이 없습니다.

🔍 탐지

SharePointDumper 활동은 다음에 기록됩니다:

• 통합 감사 로그(UAL): SharePoint 검색 및 다운로드 활동 기록.
• Graph 활동 로그: 모든 사이트 및 드라이브 열거 요청 기록(/organization, /sites, /drives).

UAL 예시:

Graph 활동 로그 예시:

📝 라이선스

MIT 라이선스에 따라 배포됩니다.