M365Pwned

用于通过 Microsoft Graph API 进行 Microsoft 365 攻击的红队工具。

两个 WinForms GUI 工具，用于使用应用程序级 OAuth 令牌枚举、搜索和从 M365 环境中窃取数据 — 无需用户交互。

⚠️ 免责声明

这些工具仅适用于授权的红队演练、渗透测试和安全研究。
在未拥有或未获得明确书面许可的系统上使用它们，是非法的，并可能违反计算机欺诈法律（CFAA、计算机滥用法等）。
作者对任何滥用或损坏概不负责。

要求

• PowerShell 5.1（Windows PowerShell — 不需要 PS7）
• 一个已注册的 Azure AD 应用程序，具有管理员同意的应用程序权限（参见每个工具的具体章节）

身份验证

两种工具均支持三种身份验证方法：

客户端密钥

-TenantId <guid> -ClientId <guid> -ClientSecret <secret>

证书（指纹）

-TenantId <guid> -ClientId <guid> -CertificateThumbprint <thumb>

原始访问令牌（令牌传递）

-AccessToken <jwt>

MailPwned-GUI.ps1

概述

用于枚举、搜索、读取和窃取 M365/Exchange Online 环境中的电子邮件的 WinForms GUI。

权限

注意： /v1.0/search/query 与 message entityType 不支持应用程序权限。使用应用令牌时，唯一可行的方法是用户枚举 + 每个邮箱搜索 — 这正是 MailPwned 实现的方式。

用法

powershell.exe -STA -File .\MailPwned-GUI.ps1

-STA（单线程单元）是 WinForms 所必需的。

特性

• 连接 — 使用租户 ID + 客户端 ID + 密钥、证书指纹或原始令牌
• 区域选择器 — 用于主权/GCC 云（EUR、FRA、NAM、GBR、APC、AUS、CAN、IND、JPN）
• 加载邮箱 — 浏览文件夹树，以完整 HTML 渲染阅读邮件
• 全局搜索 — 无需加载特定邮箱即可搜索整个租户的所有邮箱
• 范围搜索 — 在已加载的邮箱内搜索
• HTML 邮件预览 — 完整渲染，支持内嵌图片（无外部请求）
• 附件下载 — 单个或批量
• 撰写 / 回复 / 全部回复 / 转发 — 发送冒充邮件
• 标记已读/未读、删除
• 导出为 CSV
• API 日志面板 — 实时颜色编码的请求/响应日志，用于调试

红队用例

• 凭证搜寻 — 在所有邮箱中搜索 password、credentials、VPN、secret 等
• 横向钓鱼 — 阅读正在进行的邮件线程，发送令人信服的回复，冒充被攻陷的账户
• 情报收集 — 枚举谁在给谁发邮件，查找敏感项目、HR 数据、投资者通信
• 数据窃取 — 批量下载与搜索查询匹配的附件
• 持久性发现 — 搜索 MFA 代码、密码重置邮件、令牌确认

SharePwned-GUI.ps1

CLI 版本

由 Ethical-Kaizoku 开发的 CLI 版本可在此处找到。

概述

用于枚举、浏览、搜索、预览和下载整个租户中 SharePoint 站点和 OneDrive 驱动器中文件的 WinForms GUI。

权限

回退： 当 Sites.Read.All 不可用时，SharePwned 会通过 Files.Read.All 回退到按用户枚举驱动器。

用法

powershell.exe -STA -File .\SharePwned-GUI.ps1

特性

• 连接 — 使用租户 ID + 客户端 ID + 密钥、证书指纹或原始令牌
• 区域选择器 — 用于主权/GCC 云
• 枚举所有 SharePoint 站点 — 跨租户
• 浏览驱动器树 — 导航站点文档库和 OneDrive 文件夹
• 全文搜索 — 跨所有驱动器进行关键词搜索（/v1.0/search/query 与 driveItem entity）
• 回退搜索 — 当 Sites.Read.All 不存在时，针对每个驱动器搜索
• 文件预览 — 文档文本提取，内联预览面板
• 下载文件 — 带进度的单个文件下载
• 文件类型图标 — 文件浏览器中基于扩展名的图标显示
• API 日志面板 — 实时颜色编码的请求/响应日志，用于调试

红队用例

• 凭证搜寻 — 在所有 SharePoint/OneDrive 中搜索 password、secret、private key、配置文件、.env 等
• 情报收集 — 枚举项目站点、HR 驱动器、财务文档库
• 数据窃取 — 下载感兴趣的文件，不留大量审计痕迹
• 访问映射 — 枚举被攻陷应用可访问的所有站点，以了解影响范围

区域标头

Prefer: exchange.region=<region> 标头将请求路由到正确的数据中心。当目标租户位于非默认区域时需要。

OPSEC 注意事项

• 所有请求直接发送到 https://graph.microsoft.com — 无代理或中继
• 应用令牌包含 roles 声明；Graph 日志将显示注册应用身份下的应用程序级访问
• 从文件加载邮箱（MailPwned）可避免调用 GET /users — 当已通过 OSINT 或先前访问获得 UPN 列表时，足迹更低
• 下载的 HTML 邮件将内嵌图片嵌入为 data: URI — 打开时无出站请求
• 两个工具均抑制脚本错误，并在令牌获取后完全离线运行

许可证

仅用于教育和授权的安全测试。