O365-Doppelganger

O365-Doppelganger 并非 用于替代高强度的钓鱼活动。市面上已有多个工具可执行OAuth和OTA捕获，但这并非O365-Doppelganger的目标。

O365-Doppelganger 是一个快速便捷的脚本，用于在红队行动中窃取用户凭证。此仓库是对我以往某个红队演练脚本的快速改造，我曾多次使用它来捕获凭证，并利用这些凭证生成Windows访问令牌以进行横向移动。该代码仓库主要执行以下任务：

• Go代码：
  • 托管O365门户（index.html中的内容可替换为任何其他页面）。建议使用有效的证书和密钥文件（例如Let's Encrypt？），而非本目录中提供的文件
  • 将用户在Web门户上的所有活动记录在服务器上的单独日志文件中
  • 将捕获的凭证记录在服务器上的单独日志文件中
  • 也可在捕获凭证后，向用户返回一个有效文件。只需将当前目录下名为 MacroFile.doc 的文件替换为HTA、ISO、MSI或钓鱼者希望的其他文件即可。Go代码中还有一小段代码需要修改，以指定需要返回的用户文件名：content, err := ioutil.ReadFile("MacroFile.doc")
  • 修改后，当目标用户输入有效的电子邮件地址和密码时，系统将提示用户保存上述文件。该文件名可通过Go文件中的以下代码更改：response.Header().Set("Content-Disposition", "attachment; filename=Darkvortex Privacy Policy.doc")
• index.html代码：
  • 渲染一个O365门户，同时包含一个小型正则表达式，用于检查给定用户的域名，使其看起来更合法。正则代码如下：pattern="^([a-zA-Z0-9_\-\.]+)@darkvortex\.([a-zA-Z]{2,5})$" title=" Valid darkvortex email ID"
  • 上述正则检查用户名是否为完整的有效电子邮件地址，否则会提示用户输入正确的用户名，如下所示：

• Go代码中也执行了同样的检查，以防止用户使用Burp等工具绕过检查：if strings.Contains(value[i], "@darkvortex") {
• 建议将index.html中的darkvortex名称更改为目标公司名称。
• 一旦输入正确的电子邮件ID和密码，用户将被要求保存提供的文件，如下所示：