是一个小型工具，用于从不同进程（如 PowerShell、Excel、Word 或其他）中提取 JWT（或类似 JWT 的数据）。其灵感来自博客文章 https://mrd0x.com/stealing-tokens-from-office-applications/ 和作者 @mrd0x。
在新版本中，我加入了来自 @_xpn_ 的研究成果及其文章 https://blog.xpnsec.com/wam-bam/。
AzTokenFinder.exe --help
--mode Required. (Default: Online) Use mode 'online' for parsing processes or use mode offline to decode TokenBroker Cache
--filename Set path to a BrokerCache File.
--processname Names of process you want to parse. Please omit the ".exe".
--processids ProcessIDs you want to parse.
--default Enumerate Edge, Excel, Word, PowerShell, Teams, Onedrive and PowerPoint.
--showexpiredtokens (Default: false) Shows expired tokens.
--targetapp (Default: false) Parses the files where Office, Azure CLI or Azure PowerShell stores its data. Can be Office
(TokenCache), AZCLI (Azure CLI) or AzPWSH (Azure Powershell)
--help Display this help screen.
--version Display version information.
这里面没有什么特别之处。它只是打开你提供的进程，在内存中搜索类似 JWT 的数据并提取出来。
目前它仅适用于 x64 进程。