TokenFlare

Бессерверный фреймворк для симуляции фишинга AITM для Entra ID / M365

Возможности

• Минимализм: основная логика (в src/worker.js всего ~530 строк JavaScript).
• Модульность: поддерживает ряд OAuth-потоков, с поддержкой обхода условного доступа Intune из коробки
• Лёгкая настройка: настройте фирменный стиль клиента, структуру URL (пользовательский путь приманки и параметр), финальный редирект после завершения аутентификации и многое другое с помощью полуинтерактивной подкоманды tokenflare configure campaign.
• Локальное или удалённое развёртывание: поддерживает получение SSL-сертификатов с помощью Certbot или развёртывание непосредственно в CF.
• Встроенный OpSec: блокировка ботов и скраперов — ваша кампания не сгорит за 10 минут.
• Быстро: получите работающую инфраструктуру, готовую к продакшену, в течение нескольких минут.

Сопроводительная запись в блоге: Ссылка

Предварительные требования

• Python 3.7+
• Node.js 20+ с Wrangler CLI. В Linux мы рекомендуем NodeSource:
  root@kitploit:~

  curl -fsSL https://deb.nodesource.com/setup_20.x | sudo -E bash -
  sudo apt-get install -y nodejs
  npm install -g wrangler
  

• Учётная запись CloudFlare с API-токеном (для удалённого развёртывания):
  1. Панель управления CloudFlare → Create Token
  2. Используйте шаблон "Edit Cloudflare Workers" → Включите свою учётную запись в Account Resources → [необязательно] IP-фильтрация
• [Необязательно] Certbot для локального SSL: sudo apt install certbot

Примечание: разработано и протестировано на Ubuntu VPS, размещённом в публичном облаке. Запуск на localhost возможен, но не рекомендуется (по таким причинам, как проброс портов, DNS-запись, указывающая на вас, и т. д.)

Быстрый старт

# 1. Инициализация
python3 tokenflare.py init yourdomain.com

# 2. Настройка кампании (интерактивный мастер)
python3 tokenflare.py configure campaign

# 2.5. Получение валидного SSL-сертификата для домена, указывающего на ваш VPS
sudo python3 tokenflare.py configure ssl

# 3. Локальное развёртывание для тестирования
sudo python3 tokenflare.py deploy local


# 4. Развёртывание в CloudFlare
python3 tokenflare.py configure cf
python3 tokenflare.py deploy remote

# 5. Устранение неполадок
# измените некоторые настройки в wrangler.toml, src/worker.js или с помощью tokenflare configure, затем
python3 tokenflare.py deploy local #или
python3 tokenflare.py deploy remote

Команды

Перехваченные учётные данные

Учётные данные, коды аутентификации и сессионные cookie-файлы отправляются в настроенный вами вебхук. Поддерживаются Slack, Discord, Teams и универсальные вебхуки (автоматически определяются по URL).

Настройте во время configure campaign или задайте WEBHOOK_URL в wrangler.toml.

Локальное сохранение учётных данных в файлы не реализовано из-за бессерверной природы Workers. Если вы хотите добавить log(creds); в src/worker.js, имейте в виду, что CF может редактировать перехваченные JWT, cookie или учётные данные. Рабочий вебхук — самый надёжный метод, по нашему опыту.

Простые IoC для синих команд

Header:     X-TokenFlare: Authorised-Security-Testing
User-Agent: TokenFlare/1.0 For_Authorised_Testing_Only

Благодарности

Огромное спасибо:

• TE — за помощь, отладку, обучение и просто за то, что он классный человек.
• Dave @Cyb3rC3lt — за создание нашего внутреннего продакшен-Worker'а v1.
• Zolderio — за создание прототипа PoC Worker'а, с которого всё началось.
• ChoiSG — за указание на поддержку Global API Key.

Отказ от ответственности

ТОЛЬКО ДЛЯ АВТОРИЗОВАННОГО ТЕСТИРОВАНИЯ БЕЗОПАСНОСТИ

Несанкционированное использование против систем, которыми вы не владеете или на тестирование которых у вас нет разрешения, незаконно.

Использование сервисов Cloudflare для пентеста третьих лиц может противоречить некоторым их условиям и положениям. Не пишите нам, если ваш продакшен-аккаунт CF был заблокирован — считайте, что вас предупредили.

Лицензия

Смотрите файл LICENSE.