M365Pwned

Инструменты Red Team для эксплуатации Microsoft 365 через Microsoft Graph API.

Два инструмента с графическим интерфейсом WinForms для перечисления, поиска и эксфильтрации данных из сред M365 с использованием токенов OAuth на уровне приложения — без взаимодействия с пользователем.

⚠️ Отказ от ответственности

Эти инструменты предназначены исключительно для авторизованных Red Team-заданий, тестирования на проникновение и исследований в области безопасности.
Использование их против систем, которые вам не принадлежат или на которые у вас нет явного письменного разрешения на тестирование, незаконно и может нарушать законы о компьютерном мошенничестве (CFAA, Computer Misuse Act и т.д.).
Авторы не несут ответственности за любое неправомерное использование или причинённый ущерб.

Требования

• PowerShell 5.1 (Windows PowerShell — PS7 не требуется)
• Зарегистрированное приложение Azure AD с разрешениями Application permissions, предоставленными администратором (см. разделы для каждого инструмента ниже)

Аутентификация

Поддерживаются три метода аутентификации для обоих инструментов:

Секрет клиента

-TenantId <guid> -ClientId <guid> -ClientSecret <secret>

Сертификат (отпечаток)

-TenantId <guid> -ClientId <guid> -CertificateThumbprint <thumb>

Необработанный токен доступа (pass-the-token)

-AccessToken <jwt>

MailPwned-GUI.ps1

Обзор

Графический интерфейс WinForms для перечисления, поиска, чтения и эксфильтрации электронной почты из сред M365/Exchange Online.

Разрешения

Примечание: /v1.0/search/query с типом сущности message не поддерживает разрешения приложения. Перечисление пользователей с последующим поиском по каждому почтовому ящику — единственный жизнеспособный подход с токенами приложения. Именно это и реализует MailPwned.

Использование

powershell.exe -STA -File .\MailPwned-GUI.ps1

-STA (Single-Threaded Apartment) обязателен для WinForms.

Возможности

• Подключение с использованием идентификатора арендатора + идентификатора клиента + секрета, отпечатка сертификата или необработанного токена
• Выбор региона для суверенных облаков/GCC (EUR, FRA, NAM, GBR, APC, AUS, CAN, IND, JPN)
• Загрузка почтового ящика — просмотр дерева папок, чтение писем с полным рендерингом HTML
• Глобальный поиск — поиск по всем почтовым ящикам арендатора без загрузки конкретного ящика
• Поиск в пределах ящика — поиск внутри загруженного почтового ящика
• Предварительный просмотр HTML-писем — полный рендеринг со встроенными изображениями (без внешних запросов)
• Загрузка вложений — одиночная или массовая
• Создание / Ответ / Ответить всем / Переслать — отправка фишинговых писем
• Пометить как прочитанное/непрочитанное, Удалить
• Экспорт в CSV
• Панель журнала API — цветной журнал запросов/ответов в реальном времени для отладки

Сценарии использования Red Team

• Охота за учётными данными — поиск по всем почтовым ящикам фраз password, credentials, VPN, secret и т.д.
• Горизонтальный фишинг — чтение текущих переписок и отправка убедительных ответов от имени скомпрометированной учётной записи
• Сбор разведданных — выяснение, кто кому пишет, поиск конфиденциальных проектов, данных отдела кадров, переписки с инвесторами
• Эксфильтрация — массовая загрузка вложений, соответствующих поисковому запросу
• Обнаружение методов закрепления — поиск кодов MFA, писем о сбросе пароля, токенов подтверждения

SharePwned-GUI.ps1

Версия для командной строки

Версия для CLI, разработанная Ethical-Kaizoku, доступна здесь

Обзор

Графический интерфейс WinForms для перечисления, просмотра, поиска, предварительного просмотра и загрузки файлов с сайтов SharePoint и дисков OneDrive по всему арендатору.

Разрешения

Запасной вариант: Если Sites.Read.All недоступен, SharePwned переключается на перечисление дисков по каждому пользователю через Files.Read.All.

Использование

powershell.exe -STA -File .\SharePwned-GUI.ps1

Возможности

• Подключение с использованием идентификатора арендатора + идентификатора клиента + секрета, отпечатка сертификата или необработанного токена
• Выбор региона для суверенных облаков/GCC
• Перечисление всех сайтов SharePoint по всему арендатору
• Просмотр деревьев дисков — навигация по библиотекам документов сайтов и папкам OneDrive
• Полнотекстовый поиск — поиск по ключевым словам на всех дисках (/v1.0/search/query с сущностью driveItem)
• Запасной поиск — поиск по каждому диску, если Sites.Read.All отсутствует
• Предварительный просмотр файлов — извлечение текста из документов, встроенная панель просмотра
• Загрузка файлов — загрузка одного файла с индикатором прогресса
• Иконки типов файлов — отображение иконок в зависимости от расширения в обозревателе файлов
• Панель журнала API — цветной журнал запросов/ответов в реальном времени для отладки

Сценарии использования Red Team

• Охота за учётными данными — поиск по всему SharePoint/OneDrive фраз password, secret, private key, конфигурационных файлов, .env и т.д.
• Сбор разведданных — перечисление проектных сайтов, дисков отдела кадров, библиотек документов финансового отдела
• Эксфильтрация — загрузка интересующих файлов без оставления обширного аудиторского следа
• Картирование доступа — перечисление всех сайтов, к которым может получить доступ скомпрометированное приложение, для оценки радиуса поражения

Региональный заголовок

Заголовок Prefer: exchange.region=<region> направляет запросы в нужный дата-центр. Обязателен при работе с арендаторами в нестандартных регионах.

Заметки по OPSEC

• Все запросы идут напрямую к https://graph.microsoft.com — без прокси или ретрансляции
• Токен приложения содержит утверждение roles; журналы Graph будут показывать доступ на уровне приложения под идентификатором зарегистрированного приложения
• Загрузка почтовых ящиков из файла (MailPwned) позволяет избежать вызова GET /users — меньший след при наличии списка UPN из OSINT или предыдущего доступа
• Загруженные HTML-письма внедряют встроенные изображения как data: URI — при открытии не выполняются исходящие запросы
• Оба инструмента подавляют ошибки скриптов и работают полностью офлайн после получения токена

Лицензия

Только для образовательных целей и авторизованного тестирования безопасности.