EvilMist

EvilMist 是一个脚本和实用工具集合，旨在支持云安全配置审计、云渗透测试和云红队行动。该工具包有助于识别错误配置、评估权限提升路径并模拟攻击技术。EvilMist 旨在简化以云为重点的红队工作流程，并改善云基础设施的整体安全态势。

---

工具

未经验证的 Entra ID 枚举

未经验证的 Azure/Entra ID 枚举和侦察工具。使用公开可用的 API 和 DNS 查询执行被动/半被动枚举，无需任何身份验证令牌。

主要特点：

• 无需认证 - 无需 Azure 令牌或凭据即可运行
• 租户发现 - 通过 azmap.dev 和 OpenID 配置检索租户 ID、名称、区域
• 域领域分析 - 识别托管认证与联合认证
• 用户存在性检查 - 通过 GetCredentialType API 验证电子邮件地址
• DNS 侦察 - 枚举 MX、SPF、TXT、CNAME、SRV、Autodiscover 记录
• 端口扫描 - 检查常见 Azure 端口（HTTPS、LDAP、Kerberos、RDP）
• 隐身模式 - 可配置的延迟和抖动以避免速率限制
• 导出选项 - JSON 和 CSV 导出格式

版本	文档	文件
PowerShell	EntraEnum-PS1.md	scripts/powershell/Invoke-EntraEnum.ps1

---

Enumerate-EntraUsers

全面的 Azure Entra ID (Azure AD) 用户枚举和安全评估工具，提供 PowerShell 和 Python 两种版本。

主要特点：

• 15 种以上用户枚举方法 - 即使在直接 /users 访问被阻止时也能工作
• 安全评估 - MFA 状态、特权角色、过期帐户、来宾用户
• 凭据攻击面 - SSPR、旧版认证、应用密码分析
• 条件访问分析 - 策略枚举和差距检测
• 设备和 Intune 枚举 - 受管理设备、合规策略
• 攻击路径分析 - 权限提升路径和横向移动
• Power Platform - Power Apps 和 Power Automate 流程枚举
• 导出选项 - BloodHound/AzureHound JSON、HTML 报告、CSV/JSON
• 隐身模式 - 可配置的延迟和抖动以避免检测

版本	文档	文件
PowerShell	EntraRecon-PS1.md	scripts/powershell/Invoke-EntraRecon.ps1
Python	EntraRecon-PY.md	scripts/python/entra_recon.py

---

MFA 安全检查

专注的安全评估工具，用于识别未启用多因素认证（MFA）的 Azure Entra ID 用户。包括共享邮箱检测和登录活动分析等高级功能。

主要特点：

• MFA 检测 - 识别未启用强认证方法的用户
• 最后登录追踪 - 显示最近登录日期/时间和活动模式
• 共享邮箱检测 - 自动识别并过滤共享邮箱帐户
• 登录能力检查 - 确定帐户是否能够实际认证
• 风险评估 - 按风险级别对用户分类（高/中/低）
• 活动分析 - 登录统计、部门细分、过期帐户
• 矩阵视图 - 紧凑表格格式，便于快速视觉扫描
• 导出选项 - 带有全面用户详细信息的 CSV/JSON
• 隐身模式 - 可配置的延迟和抖动以避免检测

版本	文档	文件
PowerShell	EntraMFACheck-PS1.md	scripts/powershell/Invoke-EntraMFACheck.ps1

---

来宾帐户枚举

全面的来宾帐户分析工具，用于识别、分析和评估 Azure Entra ID 中外部用户的安全态势。对于来宾访问治理和安全审计至关重要。

主要特点：

• 来宾帐户发现 - 枚举租户中所有来宾用户
• MFA 状态检测 - 识别未启用多因素认证的来宾
• 最后登录追踪 - 显示来宾的登录日期/时间和活动模式
• 来宾域提取 - 识别来宾用户的来源组织
• 邀请状态追踪 - 显示已接受、待处理或过期的邀请
• 风险评估 - 按风险级别对来宾分类（高/中/低）
• 活动分析 - 登录统计、过期帐户、未使用的邀请
• 矩阵视图 - 紧凑表格格式，便于快速视觉扫描
• 过滤选项 - 仅显示未启用 MFA 的来宾或包括禁用帐户
• 导出选项 - 带有全面来宾详细信息的 CSV/JSON
• 隐身模式 - 可配置的延迟和抖动以避免检测

版本	文档	文件
PowerShell	EntraGuestCheck-PS1.md	scripts/powershell/Invoke-EntraGuestCheck.ps1

---

关键管理访问检查

全面的安全评估工具，用于识别可访问 10 个关键管理应用程序（包括 PowerShell 工具、管理门户、核心 Microsoft 365 服务和特权身份管理）的 Azure Entra ID 用户。对于特权访问治理和管理工具审计至关重要。

主要特点：

• 关键访问发现 - 枚举所有层级中具有管理应用程序访问权限的用户
• 显式分配重点 - 显示具有提升/管理访问权限的用户（而非基础用户访问）
• 默认访问检测 - 自动检测并警告具有默认访问权限的应用程序
• 安全聚焦结果 - 过滤掉基础用户访问的干扰信息，专注于特权用户
• 多应用程序覆盖 - 追踪 10 个关键应用：Azure/AD PowerShell、Azure CLI、Graph Tools、M365/Azure 门户、Exchange/SharePoint Online 和 PIM
• MFA 状态检测 - 识别未启用多因素认证的特权用户
• 最后登录追踪 - 显示登录日期/时间和活动模式
• 分配追踪 - 显示用户何时获得管理访问权限
• 风险评估 - 按风险级别对用户分类（高/中/低）
• 活动分析 - 登录统计、过期帐户、不活跃用户
• 矩阵视图 - 紧凑表格格式，便于快速视觉扫描
• 过滤选项 - 仅显示未启用 MFA 的用户或包括禁用帐户
• 导出选项 - 带有全面访问详细信息的 CSV/JSON
• 隐身模式 - 可配置的延迟和抖动以避免检测

版本	文档	文件
PowerShell	EntraAppAccess-PS1.md	scripts/powershell/Invoke-EntraAppAccess.ps1

---

快速开始

脚本调度器 (PowerShell)

从根目录执行任何脚本，无需导航到子文件夹：```powershell

Interactive mode - shows menu to select script

.\Invoke-EvilMist.ps1

Execute specific script directly

.\Invoke-EvilMist.ps1 -Script EntraRecon -ExportPath "users.csv"

List all available scripts

.\Invoke-EvilMist.ps1 -List

Execute with any parameters (all passed through to target script)

.\Invoke-EvilMist.ps1 -Script EntraMFACheck -Matrix -OnlyNoMFA

**可用的脚本：** EntraEnum, EntraRecon, EntraMFACheck, EntraGuestCheck, EntraAppAccess, EntraRoleCheck, EntraServicePrincipalCheck, EntraConditionalAccessCheck, EntraAdminUnitCheck, EntraStaleAccountCheck, EntraDeviceCheck, EntraSSPRCheck, EntraPasswordPolicyCheck, EntraLegacyAuthCheck, EntraLicenseCheck, EntraDirectorySyncCheck, EntraPowerPlatformCheck, EntraGroupCheck, EntraApplicationCheck, EntraAttackPathCheck, EntraAzureRBACCheck, EntraOAuthConsentCheck, EntraSignInRiskCheck, EntraPIMCheck, EntraKeyVaultCheck, EntraStorageAccountCheck, EntraNetworkSecurityCheck, EntraManagedIdentityCheck, EntraExchangeCheck, EntraSharePointCheck, EntraTeamsCheck, EntraAzureAttackPathCheck, EntraReport, EntraComplianceCheck, SharePointEnum

### 未经身份验证的 Entra ID 枚举 (PowerShell)

**要求：** PowerShell 7+（无需额外模块）```powershell
# Basic domain enumeration (TenantInfo, DomainRealm, DNS)
.\Invoke-EvilMist.ps1 -Script EntraEnum -Domain example.com

# Check if email exists
.\Invoke-EvilMist.ps1 -Script EntraEnum -Email [email protected] -UserEnum

# Bulk user enumeration from file
.\Invoke-EvilMist.ps1 -Script EntraEnum -EmailList users.txt -UserEnum -Throttle 1

# Full enumeration with export
.\Invoke-EvilMist.ps1 -Script EntraEnum -Domain example.com -All -ExportPath results.json

# Stealth mode
.\Invoke-EvilMist.ps1 -Script EntraEnum -Domain example.com -All -EnableStealth

📖 完整文档： EntraEnum-PS1.md

Enumerate-EntraUsers (PowerShell)

要求： PowerShell 7+```powershell

Using dispatcher (recommended)

.\Invoke-EvilMist.ps1 -Script EntraRecon

With Azure CLI token

.\Invoke-EvilMist.ps1 -Script EntraRecon -UseAzCliToken

Export all users

.\Invoke-EvilMist.ps1 -Script EntraRecon -ExportPath "users.csv"

Stealth mode

.\Invoke-EvilMist.ps1 -Script EntraRecon -EnableStealth

📖 **完整文档：** [EntraRecon-PS1.md](https://github.com/logisek/evilmist/blob/main/docs/EntraRecon-PS1.md)

### Enumerate-EntraUsers (Python)

**要求：** Python 3.8+, `msal`, `requests````bash
# Install dependencies
pip install -r requirements.txt

# Run directly from subfolder
python scripts\python\entra_recon.py

📖 完整文档: EntraRecon-PY.md

MFA 安全检查（PowerShell）

要求： PowerShell 7+, Microsoft.Graph modules```powershell

Using dispatcher (recommended)

.\Invoke-EvilMist.ps1 -Script EntraMFACheck

Scan for users without MFA

.\Invoke-EvilMist.ps1 -Script EntraMFACheck

Export results to CSV

.\Invoke-EvilMist.ps1 -Script EntraMFACheck -ExportPath "no-mfa-users.csv"

Matrix view with all features

.\Invoke-EvilMist.ps1 -Script EntraMFACheck -Matrix -IncludeDisabledUsers

Stealth mode

.\Invoke-EvilMist.ps1 -Script EntraMFACheck -EnableStealth -QuietStealth

📖 **完整文档：** [EntraMFACheck-PS1.md](https://github.com/logisek/evilmist/blob/main/docs/EntraMFACheck-PS1.md)

### 来宾帐户枚举（PowerShell）

**要求：** PowerShell 7+、Microsoft.Graph 模块```powershell
# Enumerate all guest accounts
.\Invoke-EvilMist.ps1 -Script EntraGuestCheck

# Export results to CSV
.\Invoke-EvilMist.ps1 -Script EntraGuestCheck -ExportPath "guest-accounts.csv"

# Show only guests without MFA in matrix view
.\Invoke-EvilMist.ps1 -Script EntraGuestCheck -Matrix -OnlyNoMFA

# Include disabled guests with stealth mode
.\Invoke-EvilMist.ps1 -Script EntraGuestCheck -IncludeDisabledGuests -EnableStealth -QuietStealth

📖 完整文档： EntraGuestCheck-PS1.md

关键管理访问检查 (PowerShell)