EasyTokens

Сервер фишинга с использованием кода устройства для имитации действий злоумышленника. Захватывает токены OAuth Microsoft 365 через поток Device Authorization Grant. Вдохновлен GraphSpy.

Предупреждение — только для авторизованного использования. Этот инструмент предназначен для тестировщиков на проникновение и участников красных команд, действующих на основании явного письменного разрешения. Неправомерное использование может нарушать законы о компьютерном мошенничестве.

Как это работает

1. Оператор создает кампанию с кодом устройства через интерфейс оператора.
2. Страница регистрации для жертвы (в стиле «Офис») отображает код пользователя и предлагает цели пройти аутентификацию на microsoft.com/devicelogin.
3. Фоновый опросчик обнаруживает, когда цель завершает аутентификацию, и сохраняет захваченный токен доступа/обновления в SQLite.
4. Браузер жертвы перенаправляется на страницу поиска после аутентификации.
5. Оператор может искать в OneDrive и электронной почте жертвы через Microsoft Graph, используя захваченный токен.

Архитектура

Python-бэкенд (один порт на кампанию) + nginx-фронтенд + постоянное хранение в SQLite.

main_server.py          ← единая точка входа (запускать это)
db.py                   ← уровень постоянного хранения SQLite
html_enroll.py          ← построитель страницы регистрации жертвы
html_search.py          ← построитель страницы поиска после аутентификации для жертвы
css_shared.py           ← общий CSS для интерфейса оператора
nginx_helper.py         ← автоматическая генерация и перезагрузка конфигурации обратного прокси nginx
nginx.conf              ← базовая конфигурация nginx (включает /etc/nginx/conf.d/*.conf)

Маршруты

Nginx — доменные кампании

Когда кампания создается с установленным доменом, nginx_helper.py автоматически записывает серверный блок для каждого домена в NGINX_CONF (/etc/nginx/conf.d/easytokens.conf по умолчанию) и перезагружает nginx. Трафик жертвы, поступающий на порт 80 для этого домена, проксируется на правильный экземпляр Python-сервера.

• Кампании без домена обслуживаются напрямую на порту Python (по умолчанию 3000).
• Кампании с доменом обслуживаются через nginx на порту 80.
• Базовая nginx.conf отклоняет любой запрос, заголовок Host которого не соответствует известной кампании (return 444), предотвращая случайное раскрытие Python-бэкенда.
• Установите NGINX_CONF='' или NGINX_RELOAD_CMD='', чтобы отключить автоматическое управление nginx.

Быстрый старт (Docker)

docker compose up --build

Порты, открываемые Docker:

• Страница жертвы (напрямую): http://localhost:3000/
• Интерфейс оператора: http://localhost:3000/app
• Доменные кампании: http://<campaign-domain>/ (маршрутизируется через nginx на порту 80)

Захваченные токены и журналы сохраняются в томах Docker:

Ручная настройка

Требования: Python 3.12+, без сторонних пакетов.

python main_server.py

Переменные окружения

Узел-ретранслятор PHP

Каталог php-relay/ содержит автономный контейнер Apache/PHP, который выступает в качестве распределенного узла для жертв. Он обслуживает ту же страницу регистрации с кодом устройства, что и основной сервер, напрямую опрашивает Microsoft и пересылает захваченные токены на главную панель через POST /webhook.

Как это работает

1. При запуске checkin.php отправляет POST-запрос к POST /relay/checkin на главную панель, аутентифицируясь с помощью RELAY_SECRET. Панель регистрирует узел и возвращает node_id.
2. Жертвы переходят на страницу регистрации ретранслятора (index.php), которая инициирует новый поток кода устройства.
3. JavaScript на стороне браузера опрашивает poll.php. Когда токен захвачен, poll.php пересылает его на POST /webhook на главную панель, помеченный node_id.

Переменные окружения ретранслятора

Настройте в php-relay/.env:

Быстрый старт

Оба контейнера одновременно (рекомендуется):

# из EasyTokens/
docker compose -f docker-compose.yml -f php-relay/docker-compose.yml up --build

Запуск обоих с одним объединённым -f помещает их в одну сеть Docker, поэтому MAIN_SERVER_URL=http://easytokens:3000 разрешается правильно.

Доступ:

Только ретранслятор (удалённая панель):

cd php-relay
# Установите MAIN_SERVER_URL на публичный URL панели в .env
docker compose up --build

Настройка общего секрета

1. Сгенерируйте секрет: openssl rand -hex 32
2. Установите RELAY_SECRET=<секрет> в EasyTokens/.env (будет подхвачен главной панелью через docker-compose.yml)
3. Установите то же значение в php-relay/.env

База данных

Две таблицы в базе данных SQLite:

• tokens — каждый захваченный токен доступа/обновления (UPN, токен доступа, токен обновления, ID-токен, область, источник, временная метка захвата)
• device_codes — кампании, инициированные оператором (код пользователя, код устройства, URL проверки, статус, связанный ID токена, порт, домен)

Детали Microsoft OAuth

Лицензия

MIT — Copyright (c) 2026 Casey Smith