文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

如何使用CanaryTokenScanner识别Microsoft Office文档中的Canary令牌和可疑URL

关于CanaryTokenScanner CanaryTokenScanner是一款功能强大的Canary令牌和可疑URL检测工具，该工具基于纯Python开发，可以帮助广大研究人员快速检测Microsoft...Office和Zip压缩文件中的Canary令牌和可疑URL。...在网络安全领域中，保持警惕和主动防御是非常有效的。很多恶意行为者通常会利用Microsoft Office文档和Zip压缩文件嵌入隐藏的URL或恶意宏来初始化攻击行为。...和Zip文件，脚本会将内容解压缩到临时目录中，然后使用正则表达式扫描这些内容以查找URL，搜索潜在的入侵迹象； 3、忽略某些URL：为了最大限度地减少误报，该脚本包含了一个要忽略的域名列表，可疑过滤掉...） 然后将脚本放到一个可访问的位置，并提供可执行权限即可： cd CanaryTokenScanner chmod +x CanaryTokenScanner.py 工具使用 python

96610

微软365“设备代码钓鱼”风暴来袭：无需密码，黑客秒控企业邮箱

你有没有收到过这样的邮件？“您的 Microsoft 账户需要立即完成安全验证。请访问 https://aka.ms/devicelogin，输入以下代码：**ABCD-EFGH**。”...更令人不安的是，这种攻击对多因素认证（MFA）几乎免疫——即使你启用了短信或 Authenticator 验证，只要在微软官网输入了那串“设备代码”，攻击者就能绕过所有防线，直接获取访问令牌（Access...“您的 OneDrive 存储即将锁定，请验证设备以继续使用。”...更危险的是，一旦获得 Refresh Token，攻击者可长期维持访问，即使用户更改密码也无效——因为 OAuth 令牌独立于密码体系。...print("❌ 授权失败:", token_resp.text)break一旦拿到 access_token，攻击者即可调用 Microsoft Graph API 执行任意操作：# 示例：读取受害者最近

29310
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    ConsentFix攻击机制与OAuth授权滥用的防御对策研究

    攻击者通过伪造合法服务（如Cloudflare验证页或微软账户修复向导），引导用户在浏览器中完成看似无害的操作——复制粘贴一个URL或点击“同意”按钮，实则触发OAuth授权请求，将访问令牌（access...典型场景中，受害者收到伪装成Windows更新失败或CAPTCHA验证的页面，被要求复制一段PowerShell或CMD命令并粘贴至终端执行。此类命令通常会下载恶意载荷、建立持久化后门或禁用安全软件。...用户被诱导相信这是正常验证流程的一部分。（二）授权诱导与令牌捕获当用户点击“继续”或“验证”按钮时，浏览器跳转至微软官方登录页。...（二）策略管理层：建立授权生命周期管理定期授权审计：每季度导出全组织应用授权清单，清理未使用或来源不明的应用；实施最小权限原则：推动业务部门使用权限更细的现代API（如Microsoft Graph的delegated...permissions with scopes）；自动化撤销机制：当检测到可疑活动时，自动调用Microsoft Graph API撤销相关应用授权：# 使用Microsoft Graph API撤销用户授权

    19010

    基于恶意OAuth应用的MFA绕过攻击：微软身份体系中的新型钓鱼威胁研究

    本文聚焦于2025年披露的一类高隐蔽性钓鱼攻击：攻击者诱导用户授权伪装成合法工具的恶意OAuth应用，利用其申请的高权限API作用域（如Mail.Read、Files.ReadWrite.All），在无需密码或一次性验证码的情况下访问邮箱...（Access Token）与刷新令牌（Refresh Token）；应用使用令牌调用Microsoft Graph API。...关键点在于：MFA仅在第3步验证用户身份，而第5步的“同意”操作本身无二次验证。一旦用户授权，即使账户启用了MFA，攻击者仍可通过令牌直接访问资源。...3.4 数据窃取与横向移动获得令牌后，攻击者可调用Microsoft Graph API执行以下操作：# 读取最新100封邮件Invoke-RestMethod -Uri "https://graph.microsoft.com...4.3 刷新令牌生命周期过长在未启用条件访问（Conditional Access）的情况下，刷新令牌有效期可达90天。即使用户更改密码，旧令牌仍有效，导致凭证轮换失效。

    25210

    VoidProxy平台对多因素认证的绕过机制与防御对策研究

    在此过程中，攻击者不仅捕获用户名与密码，更重要的是截获认证成功后返回的会话Cookie、OAuth 2.0访问令牌及刷新令牌（Refresh Token），从而实现无需凭证重放的持久化账户访问。...，即使用户登出仍有效；Access Token：短期有效（通常1小时），但可用于调用Microsoft Graph API。...攻击者利用这些令牌可直接通过API访问用户邮箱、OneDrive文件、Teams聊天记录等，完全绕过前端UI与MFA提示。...例如，若受害者通常使用Windows 11 + Chrome 124访问Office 365，攻击者将配置代理以相同特征发起API请求，使登录活动在审计日志中呈现为“正常行为”。...（三）浏览器内令牌绑定（DPoP）推动SaaS供应商支持OAuth 2.0 DPoP规范。DPoP要求客户端在每次API请求中附带一个由私钥签名的证明令牌，该私钥与TLS连接绑定。

    24110

    基于OAuth同意滥用的假冒微软应用钓鱼攻击研究

    此类攻击不依赖凭据窃取，而是滥用OAuth 2.0授权框架中的“用户同意”流程，使恶意应用获得长期有效的刷新令牌（refresh token），进而通过Microsoft Graph API静默读取邮件...实验验证表明，所提方案可有效识别并阻断90%以上的高风险OAuth同意请求，显著降低企业云环境中的数据泄露风险。...关键词：OAuth 同意滥用；假冒微软应用；Entra ID；多因素认证绕过；Graph API；条件访问1 引言多因素认证（MFA）作为现代身份安全的核心防线，已在绝大多数企业环境中广泛部署。...）；用户点击“接受”，微软返回授权码；应用用授权码向令牌端点兑换访问令牌与刷新令牌；应用使用令牌调用Microsoft Graph API。...5 实验验证在测试租户中模拟攻击流程：注册假冒应用，请求Mail.Read + offline_access；使用普通用户账户完成同意；通过脚本每小时读取100封邮件，持续72小时。

    24010

    设备代码钓鱼攻击对Microsoft 365 OAuth授权机制的威胁分析与防御策略

    攻击者通过伪造IT部门通知、安全警报或软件更新提示，诱使用户访问看似合法的指令页面，并要求其在https://microsoft.com/devicelogin 输入一串六位字母数字组合的设备代码。...://microsoft.com/devicelogin），输入user_code；授权服务器验证用户身份（通常包括MFA）后，将授权授予客户端；客户端通过轮询使用device_code换取访问令牌（access_token...一旦授权完成，攻击者即可通过device_code兑换令牌，获得与用户同等的API访问权限。...与refresh_token；利用令牌调用Microsoft Graph API，读取邮件、日历、联系人，甚至创建新应用或修改权限。...随后，攻击者可使用该令牌调用Graph API：# Example: Read user's mailboxheaders = {'Authorization': f'Bearer {token_json

    21210

    高级OAuth钓鱼攻击的演化机制与防御体系构建

    文中提供了可落地的技术方案，包括精确匹配的重定向URI白名单配置、条件访问策略绑定设备指纹、自动化影子应用审计脚本等，并通过代码示例验证其有效性。...向令牌端点换取访问令牌与刷新令牌；Client使用访问令牌调用受保护资源（如Microsoft Graph API）。...获得令牌后，攻击者通过Microsoft Graph API执行侦察：import requeststoken = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx"headers...可使用Microsoft Graph PowerShell批量设置：# 禁止用户同意应用Set-MgPolicyAuthorizationPolicy -PermissionGrantPolicyId...通过精细化的授权策略、持续的资产清点与自动化响应，组织可在享受OAuth便利性的同时，遏制攻击者利用其“合法外衣”进行持久化渗透。本文所提框架已在多个企业环境中验证，可作为云身份安全治理的参考基线。

    28410

    基于OAuth滥用的定向钓鱼攻击与防御机制研究

    关键词：OAuth钓鱼；中间人代理；UTA0355；定向攻击；Microsoft Entra ID；Google Workspace；条件访问策略1 引言随着单点登录（SSO）和第三方授权在企业数字化生态中的普及...Workspace账户的访问权限，从而合法获取高权限令牌。...2.4 后渗透与持久化获得初始访问权限后，UTA0355采取多项措施维持访问：在Microsoft Entra ID中注册伪装设备，名称模仿用户真实主机（如“Johns-MacBook-Pro”）；使用...Graph API支持查询用户授予的同意记录：GET https://graph.microsoft.com/v1.0/me/oauth2PermissionGrantsAuthorization:...3.3 用户行为验证与安全缓冲区对于必须参与外部会议的员工，建议：使用专用邮箱（如events@company.com）进行注册，隔离主账户风险；手动访问会议官网（通过搜索引擎或官方社交媒体）而非点击邮件链接

    27810

    凭证窃取主导下的现代网络攻击链演化与防御体系构建

    本文基于上述威胁演进特征，系统剖析现代攻击链中“身份即入口”的战术逻辑，结合云环境中的典型攻击路径，提出以零信任原则为基础、融合FIDO/WebAuthn无密码认证、条件访问策略、用户行为分析（UBA）...例如，一个仅需读取日历的协作工具，常被授予“完全访问邮箱”权限，一旦该应用令牌泄露，攻击者可直接读取高管邮件。...2.2 攻击链中的角色演变在传统攻击模型中，凭证窃取多用于维持持久化访问；而在当前云原生环境中，它已成为初始访问（Initial Access） 的首选手段。...此过程中，攻击者无需部署恶意软件，全程利用合法API调用，规避传统EDR检测。思科报告显示，73%的勒索事件中，攻击者在获得凭证后4小时内完成数据加密或外传。...伪品牌验证流程嵌套：伪造Microsoft登录页后，跳转至“安全验证”页面，要求用户输入短信验证码，实则完成MFA劫持。此类攻击利用用户对协作工具的信任及多任务处理时的认知负荷，显著提升欺骗成功率。

    24910

    【壹刊】Azure AD 保护的 ASP.NET Core Web API （下）

    这里直译起来比较拗口，其实说白了，就是这个令牌用于谁，使用令牌去访问谁，谁就是audience。 　　2，iss（Issuer）：颁发者。...此处应该有掌声，成功的通过验证，并且获取到 api资源，但是这种模式是最不推荐的，因为client可能存了用户密码，此模式仅用于受信任的客户端。复制会发生密码泄露。所以不推荐使用。...参数必传 这时候，就又有人问了，为什么这里的 scope 参数的值和上面不一样，确实，我也有这个疑问，后来找到微软官方给我的文档解释道： Microsoft Graph 示例中，该值为 https...://graph.microsoft.com/.default。...此值告知 Microsoft 标识平台终结点：在为应用配置的所有直接应用程序权限中，终结点应该为与要使用的资源关联的权限颁发令牌 使用共享机密访问令牌请求：https://docs.microsoft.com

    3K10

    onedrive for business使用python上传文件

    API 终结点 URL OneDrive for Business 资源的访问令牌 在当前令牌到期时生成其他访问令牌的刷新令牌。...开始对接 客户端id和密钥使用过oneindex的小伙伴应该都知道怎么设置，这里就不多介绍，除此之外设置一个回调的uri就可以了，我使用的是“localhost:8400” 获取access_token...onedrive for business使用的是标准的Oauth2流程，所以大概流程就是先获取code，使用code交换access_token，然后就可以调用api了，这里先贴出获取code以及交换...终结点是https://graph.microsoft.com onedrive的请求api是https://graph.microsoft.com/v1.0/me/drive，但是文档中以及网上教程写的是...https://graph.microsoft.com/me/drive，这也是我认为比较坑的一点 secret需要复制“值”，而不是“机密ID” 完整代码 此处内容需要评论回复后方可阅读 使用实例 1

    5.3K50

    设备代码钓鱼攻击的战术趋同化及其对企业身份安全的挑战

    ://microsoft.com/devicelogin），输入user_code；授权服务器验证用户身份（通常包括MFA）后，将授权授予客户端；客户端通过轮询使用device_code换取访问令牌（access_token...，其中refresh_token可长期使用（默认90天，可配置延长），使攻击者获得持久访问能力。...留空（设备授权无需回调）API权限：勾选Microsoft Graph的Delegated权限，如：Mail.ReadWriteCalendars.ReadWriteUser.Read.AllFiles.ReadWrite.All4.2...，攻击者可调用Microsoft Graph API读取邮件：import requestswith open('stolen_token.json') as f:token = json.load(f...建议：为高管、IT、财务人员强制启用FIDO2；在条件访问策略中要求高风险操作必须使用无密码认证。

    21510

    Node.js-具有示例API的基于角色的授权教程

    中使用Node.js API实现基于角色的授权/访问控制。...该示例基于我最近发布的另一篇教程，该教程侧重于Node.js中的JWT身份验证，此版本已扩展为在JWT身份验证的基础上包括基于角色的授权/访问控制。...使用基于Node.js角色的Auth API运行Angular 9客户端应用 有关示例Angular 9应用程序的完整详细信息，请参阅Angular 9 - Role Based Authorization...sub属性是subject的缩写，是用于在令牌中存储项目id的标准JWT属性。 第二个中间件功能根据其角色检查经过身份验证的用户是否有权访问请求的路由。如果验证或授权失败，则返回401未经授权响应。...重要说明：api使用“"secret”属性来签名和验证用于身份验证的JWT令牌，并使用您自己的随机字符串对其进行更新，以确保没有其他人可以生成JWT来获得对应用程序的未授权访问。

    7.7K10

    俄罗斯国家级黑客组织借“设备代码钓鱼”潜入全球政企云邮箱，安全界拉响新型OAuth攻击警报

    ；设备凭此Token访问API资源。...# 攻击者侧：使用Microsoft Graph API发起设备代码请求（简化示例）import requestsclient_id = "attacker-controlled-app-id" # 攻击者注册的恶意应用...breaktime.sleep(5)拿到Token后，攻击者即可调用Microsoft Graph API，读取邮件、日历、OneDrive文件、Teams消息，甚至发送新邮件冒充受害者——全程无需知道密码...例如，若某账户在短时间内从不同国家调用Graph API，即使Token合法，也应触发二次验证。（4）员工意识培训需升级传统“别点可疑链接”已不够。...随着零信任架构普及，基于令牌的身份验证将取代密码成为主流。而OAuth、OpenID Connect等协议的复杂性，也为攻击者提供了广阔空间。

    17110

    基于Mamba 2FA套件的AiTM攻击机理与防御架构研究

    2.3 会话令牌劫持流程攻击链的关键环节在于令牌的提取与重用。当受害者输入密码并提交后，代理将请求转发至Microsoft。...一旦Microsoft确认所有验证步骤完成，它会生成一个有效的会话Cookie（通常是 ESTSAUTH 或 ESTSAUTHPERSISTENT），并将其包含在HTTP响应中返回。...需要注意的是，实际生产环境中，攻击者会使用Go或Rust编写更高性能的并发代理，并配合定制的TLS栈以规避指纹检测。...Microsoft服务端验证签名失败，从而阻断攻击。...由于攻击者通常使用未受管的个人设备或虚拟机，其设备ID不在白名单内，即便持有有效Cookie也会被拒绝访问。其次，引入位置与网络上下文。

    7610
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券