hackmichnet/aztokenfinderUtilitário ofensivo de coleta de tokens que pesquisa a memória de processos x64 e arquivos de cache do TokenBroker em busca de tokens JWT do Azure AD/O365 no Office, Edge, Teams e PowerShell.
É uma pequena ferramenta para extrair dados semelhantes a JWT (ou que aparentam ser JWT) de diferentes processos, como PowerShell, Excel, Word ou outros. A ideia foi inspirada no post do blog https://mrd0x.com/stealing-tokens-from-office-applications/ do incrível @mrd0x.
Na nova versão, adicionei a pesquisa do fabuloso @_xpn_ e seu post https://blog.xpnsec.com/wam-bam/.
AzTokenFinder.exe --help
--mode Required. (Default: Online) Use mode 'online' for parsing processes or use mode offline to decode TokenBroker Cache
--filename Set path to a BrokerCache File.
--processname Names of process you want to parse. Please omit the ".exe".
--processids ProcessIDs you want to parse.
--default Enumerate Edge, Excel, Word, PowerShell, Teams, Onedrive and PowerPoint.
--showexpiredtokens (Default: false) Shows expired tokens.
--targetapp (Default: false) Parses the files where Office, Azure CLI or Azure PowerShell stores its data. Can be Office
(TokenCache), AZCLI (Azure CLI) or AzPWSH (Azure Powershell)
--help Display this help screen.
--version Display version information.
Não há nada de especial nisso. Ele simplesmente abre os processos que você fornece e procura na memória por dados semelhantes a JWT e os extrai.
Atualmente, só funciona com processos x64.