Exploit for o365-attack-toolkit

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-MDSECACTIVEBREACH-O365-ATTACK-TOOLKIT
## Что такое o365-attack-toolkit

o365-attack-toolkit позволяет операторам выполнять фишинговые атаки OAuth.

Мы решили перейти от старой модели статических определений к полностью "интерактивной" работе с учетной записью в реальном времени.

### Некоторые изменения

  * Интерактивный поиск электронной почты - позволяет искать электронные письма пользователя так, как если бы у вас был полный доступ к ним.
  * Отправка электронных писем - позволяет отправлять электронные письма в формате HTML/TEXT с вложениями из почтового ящика пользователя.
  * Интерактивный поиск и загрузка файлов - позволяет искать файлы по определенным ключевым словам и загружать их в офлайн-режиме.
  * Замена файлов - реализована как замена функциональности макрос-бэкдоринга.



## Архитектура

![](https://assets.kitploit.com/production/public/readmes/2711/c845e332deae00de62513701e86d0189b733b3fc2fa1a8c6c221df52e48be9d0.png)

### Набор инструментов состоит из нескольких компонентов

### Фишинговый endpoint

Фишинговый endpoint отвечает за обслуживание HTML-файла, который выполняет фишинг OAuth-токенов.

### Серверные службы

Впоследствии токен будет использоваться серверными службами для выполнения определенных атак.

### Интерфейс управления

Интерфейс управления можно использовать для просмотра извлеченной информации из Microsoft Graph API.

## Функции

### Интерактивный поиск электронной почты

К электронным письмам пользователя можно получить доступ, выполняя поиск по определенным ключевым словам с помощью интерфейса управления. Старая функция загрузки писем по ключевым словам была отключена.

### Отправка электронных писем

Новая версия этого инструмента позволяет отправлять электронные письма в формате HTML/TXT, включая вложения, на определенный адрес электронной почты от имени скомпрометированного пользователя. Эта функция чрезвычайно полезна, поскольку отправка целевого фишингового письма от пользователя кажется более правдоподобной.

### Поиск файлов

Microsoft Graph API можно использовать для доступа к файлам в OneDrive, OneDrive для бизнеса и библиотеках документов SharePoint. Файлы пользователя можно интерактивно искать и загружать с помощью интерфейса управления. Старая функция загрузки файлов по ключевым словам была отключена.

### Замена документов

Документы пользователя, размещенные в OneDrive/SharePoint, можно изменять с помощью Graph API. В первоначальной версии этого набора инструментов последние 10 файлов бэкдорились с помощью предопределенного макроса. Это было рискованно во время операций Red Team, поэтому использование было ограничено. По этой причине мы реализовали функцию ручной замены файлов, чтобы получить больший контроль над атакой.

## Настройка

### Компиляция

root@kitploit:~
    
    
    cd %GOPATH%
    git clone https://github.com/mdsecactivebreach/o365-attack-toolkit
    cd o365-attack-toolkit
    dep ensure
    go build
    

### Конфигурация

Пример конфигурации ниже:

root@kitploit:~
    
    
    [server]
    host = 127.0.0.1
    externalport = 30662
    internalport = 8080
    
    
    [oauth]
    clientid = [REDACTED]
    clientsecret = [REDACTED]
    scope = "offline_access contacts.read user.read mail.read mail.send files.readWrite.all files.read files.read.all openid profile"
    redirecturi = "http://localhost:30662/gettoken"
    

### Развертывание

Перед началом использования этого набора инструментов необходимо создать приложение на портале Azure. Перейдите в Azure Active Directory -> Регистрация приложений -> Зарегистрировать приложение.

![](https://assets.kitploit.com/production/public/readmes/2711/a5c2d19c4ffe84e334ec93f01f23ea39bd7c4e3fad7e25346db389cfeab82f88.png)

После создания приложения скопируйте идентификатор приложения в файл конфигурации.

Вам необходимо создать секрет клиента, что можно сделать, как показано на следующем изображении:

![](https://assets.kitploit.com/production/public/readmes/2711/d71eb817a31cbdabe20412ca5aeee68df2c1c6db2fab13319805b3d32f1323fc.png)

Обновите секрет клиента в файле конфигурации.

## Интерфейс управления

Интерфейс управления позволяет оператору взаимодействовать со скомпрометированными пользователями.

### Просмотр пользователей

![](https://assets.kitploit.com/production/public/readmes/2711/a44245033468eb51081ff8986ac240af5db818eaf409b875a5f3deb61cab9c4c.png)

### Поиск электронных писем пользователя

![](https://assets.kitploit.com/production/public/readmes/2711/434fae49d0578305b6d806cd46dc44d4dd1d804160e08e0bbe06f64827b63388.png)

### Просмотр электронного письма

![](https://assets.kitploit.com/production/public/readmes/2711/bb3bdd519f3bc8220f7f84741b9bb67c79d2ec325729583ece3dc338756b4cec.png)

### Отправка электронного письма

![](https://assets.kitploit.com/production/public/readmes/2711/2625bcd69ec69e7d819f4a61ebe2022702a8b8be546a25326f6e8efcb4961876.png)

### Поиск файлов

![](https://assets.kitploit.com/production/public/readmes/2711/d94b97fa4cb7f6ab5dcd16955c41e65714cb5875bebbd5c5c4d2108e2b7d02db.png)

### Замена файла

![](https://assets.kitploit.com/production/public/readmes/2711/5402610e0754404d538ec892275d73ac83d0e5bdbd4b23890af481b54b6b50d5.png)