文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

基于OAuth同意滥用的假冒微软应用钓鱼攻击研究

此类攻击不依赖凭据窃取，而是滥用OAuth 2.0授权框架中的“用户同意”流程，使恶意应用获得长期有效的刷新令牌（refresh token），进而通过Microsoft Graph API静默读取邮件...Graph API。...2.4 攻击隐蔽性与影响绕过MFA：因使用刷新令牌，无需再次认证；规避EDR/邮件网关：无恶意附件或可疑URL；供应链渗透：若受害者为供应商员工，可进一步攻击其客户；勒索前置：批量下载敏感邮件与文件，为后续勒索提供素材...3.3 缺乏应用行为基线监控SIEM系统通常未将“新应用首次访问Graph API”与“大量邮件读取”关联分析。即使启用日志，也因数据量庞大而忽略异常。3.4 审计滞后企业极少定期审查已授权应用列表。...可编写脚本每日比对已知可信应用列表，自动调用撤销接口：def revoke_consent(grant_id, admin_token):url = f"https://graph.microsoft.com

23810

针对政治机构的鱼叉式钓鱼攻击特征与防御体系构建

（2.2）恶意文档投递与初始访问附件多为伪装成PDF或Word文档的HTML文件，或嵌入恶意宏的Office文档。...（2.4）横向移动与持久化获取邮箱访问权后，攻击者常利用“自动转发规则”窃取未来邮件，或通过Graph API读取联系人、会议记录，为下一轮攻击提供情报。...部分样本还部署了基于OAuth应用的持久化后门：POST https://graph.microsoft.com/v1.0/me/mailFolders/inbox/messageRulesAuthorization...（4.3）策略层：最小权限与信息分类推行“敏感信息最小披露”原则：要求幕僚在对外通信中避免包含内部编号、未公开议程细节；建立外部文件验证流程：收到“政策草案”类附件时，必须通过官方电话或加密消息渠道二次确认来源...（5.1）系统架构前端：Outlook插件，提供举报按钮与可疑链接预览；中台：基于Microsoft Graph API的行为分析引擎；后台：条件访问策略管理与OAuth授权审计模块。

20110
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    基于Security Copilot的钓鱼邮件智能分拣机制研究

    在此背景下，微软于2025年8月在其Security Copilot平台中推出“钓鱼邮件分拣智能助手”（以下简称“分拣代理”），作为其11项Copilot安全代理之一，旨在将重复性高、上下文依赖强的邮件分析任务自动化...URL与附件扫描：调用Microsoft Defender SmartScreen与Detonation服务，在隔离环境中解析链接跳转路径、检测恶意宏或脚本。...上下文关联：查询Microsoft Graph，确认发件人是否为已知联系人、近期是否有类似通信。...3.2 自定义策略扩展企业可通过PowerShell或Defender API扩展分拣逻辑。...Graph API提交反馈import requestsdef submit_feedback(message_id, is_phish, comment):url = f"https://graph.microsoft.com

    25310

    议会邮箱成“数字前线”！英国议员频遭高精度鱼叉钓鱼，国家级黑客正瞄准民主神经中枢

    ，浏览器会自动下载一个名为Parliament_Briefing.iso的光盘镜像文件。...案例2：滥用Microsoft Teams链接更狡猾的是，部分攻击直接利用合法协作工具。邮件正文写道：“相关文件已上传至Teams频道，请点击此处查看。”...一旦手机中毒，聊天记录、文件、语音均可被窃取。英国NCSC已明确建议议员停止在WhatsApp、Signal上讨论公务，转而使用经认证的加密平台（如Microsoft Teams政府版）。...以下是一个基于Microsoft Graph API的示例：# check_forwarding_rules.pyimport requestsGRAPH_API_URL = "https://graph.microsoft.com..."ACCESS_TOKEN = "your_app_token_with_mail_read_permissions"def get_inbox_rules(user_email):url = f"{GRAPH_API_URL

    14410

    【改进和增强Microsoft Office应用程序】ExtendOffice软件产品介绍

    早在2004年，该公司的创始人就启动了Addintools.com来销售Microsoft Office的加载项。...通过创建了简单但功能强大的加载项，以改进和增强Microsoft Office应用程序，让众多ExtendOffice的顾客摆脱大多数Office用户每天必须执行的耗时操作！...Office选项卡还结合了Microsoft Office中的一些常用命令项，使您可以更快地访问这些项。06、使用方便标签式界面允许您在一个窗口中打开多个文档。...07、高性能Office选项卡基于标准的Microsoft Office加载项技术。 它不会影响标准应用程序的性能，并且文件大小非常小。08、移动标签可以通过拖动轻松移动选项卡。...07、从Outlook中分离/自动分离附件分离附件功能可以帮助删除所选邮件中的附件，同时将它们保存到特定文件夹中，分离附件文件后，附件将转换为电子邮件中的超链接文本，在这种情况下，您可以单击超链接快速轻松地打开附件文件

    16.5K20

    Office开发者计划-永久白嫖Office365

    版程序自动配置添加API权限 必须手动配置API权限 ​ 可以选择相应的API进行配置 ​ 此处以Microsoft Graph为参考，选择“委托的权限”，根据列出的API权限需求表进行选择...，点击选择复制值（即客户端密码） b.API调用工具 ​ Microsoft Graph 浏览器是一种基于 Web 的工具，可用于生成和测试对 Microsoft Graph API 的请求 ​...API需要的权限设定可在预览卡中查阅，授权后则可再次尝试调用响应 ​ Postman 是一个可用于向 Microsoft Graph API 发出请求的工具：Postman&Microsoft...Graph API使用 ​ c.Microsoft Graph 快速入门示例 ​ Microsoft Graph入门： a.选择语言或平台 b.获取应用 ID（客户端 ID） c.生成示例...目录 输入composer install 安装项目依赖项 // 如果有指定php版本要求可临时使用下述指令忽略版本要求 composer install --ignore-platform-reqs

    11.4K32

    攻击者如何使用 XLL 恶意软件感染系统

    最近几个月，我们发现使用恶意Microsoft Excel 加载项(XLL) 文件感染系统的恶意软件活动有所增加。这种技术在 MITRE ATT&CK 中被跟踪为T1137.006。...在我们看到的活动中，带有恶意 XLL 附件或链接的电子邮件被发送给用户。双击附件打开 Microsoft Excel，提示用户安装并激活加载项。 图 1 – 打开 XLL 文件时向用户显示的提示。...但是，XLL 文件是可移植的可执行文件，遵循许多电子邮件网关已经阻止的动态链接库 (DLL) 的格式。我们建议组织考虑以下缓解措施： 配置您的电子邮件网关以阻止包含 XLL 附件的入站电子邮件。...将 Microsoft Excel 配置为仅允许受信任的发布者签名的加载项。 配置 Microsoft Excel 以完全禁用专有加载项。...图 9 – 自定义 Excel 加载项的解密循环。 一旦数据被解密，它就会包含三个 DLL 名称、五个 API 函数名称、有效负载的 URL 以及存储有效负载的本地文件的路径。

    2.9K10

    你打出去的“客服电话”，正在把黑客请进公司内网——Microsoft Teams通知成新型钓鱼跳板，回拨型攻击席卷全球企业

    一、“合法”邮件里的致命陷阱与传统钓鱼依赖恶意链接或附件不同，此次攻击的核心在于对信任基础设施的滥用。...“您刚才的Teams会议中分享了敏感文件，系统自动冻结了权限，需手动解除。”“这是微软安全中心工单#MS-2026-XXXX，请提供您的计算机名以便接入。”...而此次攻击巧妙规避了这两点：无恶意内容：邮件仅含文字和电话号码，无可疑链接或附件；发件人合法：no-reply@teams.mail.microsoft.com 是微软真实通知通道，无法被拉黑。...邮件层：增强Teams通知监控限制Teams外部邀请：在Microsoft 365管理中心配置策略，禁止非组织成员创建团队或邀请用户；监控异常团队命名：通过Microsoft Graph API定期扫描团队名称...，识别含“PayPal”“Billing”“Urgent”等关键词的可疑实体；# 示例：通过Graph API列出所有团队GET https://graph.microsoft.com/v1.0/groups

    18910

    PwnAuth——一个可以揭露OAuth滥用的利器

    访问Microsoft OneDrive轻松进行文件共享的应用程序就是一个利用OAuth的应用程序示例。...在本例中，访问OneDrive文件的应用程序是“客户端”。 API——资源 客户端希望访问的目标应用程序。在本例中，Microsoft OneDrive API 终端是资源。...大多数API资源将定义应用程序可以请求的一组范围。这与Android手机应用程序在安装时请求的权限类似。在本例中，应用程序可能会请求访问OneDrive文件和用户配置文件。...虽然任何允许OAuth应用程序的云环境都可以成为目标，但是PwnAuth目前使用一个模块来支持恶意Office 365应用程序，捕获OAuth令牌并使用捕获的令牌与Microsoft Graph API...Office 365模块本身可以进一步扩展，但目前提供以下功能： · 阅读邮件 · 搜索用户的邮箱 · 读取用户的联系人 · 下载消息和附件 · 搜索OneDrive并下载文件 · 代表用户发送消息 界面设计很直观和友好

    2.5K20

    基于SharePoint的信任滥用型钓鱼攻击机理与防御体系研究

    此类攻击不再依赖传统邮件附件或显式恶意链接，而是通过伪装成合法的SharePoint共享文档请求，诱导用户在看似可信的界面中完成多阶段身份验证，最终窃取账户凭证或植入恶意载荷。...更关键的是，SharePoint支持动态生成临时共享链接，且可通过Microsoft Graph API进行程序化管理。...（如普通员工创建大量登录页面）以下Python脚本示例展示如何通过Microsoft Graph API审计可疑共享项：import requestsimport jsondef detect_suspicious_sharing...(token):headers = {'Authorization': f'Bearer {token}'}url = "https://graph.microsoft.com/v1.0/sites/root...headers=headers)drives = response.json().get('value', [])for drive in drives:items_url = f"https://graph.microsoft.com

    24410

    攻击者开始使用 XLL 文件进行攻击

    近期，研究人员发现使用恶意 Microsoft Excel 加载项（XLL）文件发起攻击的行动有所增加，这项技术的 MITRE ATT&CK 技术项编号为 T1137.006。...这些加载项都是为了使用户能够利用高性能函数，为 Excel 工作表提供 API 调用接口。与 VBA 等其他接口相比，该方式能够更有效地扩展 Excel 的能力，使其支持更多功能，例如多线程。...攻击者将带有恶意 XLL 附件或者恶意链接的电子邮件发送给用户，受害者点击附件打开 Microsoft Excel 后会提示其安装并激活加载项。...△ 文件资源段结构 其中包含 Excel-DNA 项目组件以及加载项，可以通过查看资源名或者同样存储在资源中的 XML 定义文件来识别包含 Excel 加载项的 XLL 文件。...△ 解密代码 一旦数据被解密，样本可以提取三个 DLL 文件名、五个 API 函数名、Payload 的 URL 以及存储 Payload 的本地文件路径。

    1.9K10

    新一轮钓鱼风暴来袭：你的Microsoft 365账户正在被“信任惯性”出卖

    这其实是诱导用户批准一个由攻击者控制的恶意OAuth应用，一旦授权成功，攻击者就能长期读取你的邮件、文件、日历和Teams聊天记录，即使你改了密码也无法彻底清除访问权限。...此外，攻击者还可能注册恶意应用，通过Microsoft Graph API批量导出组织架构、联系人列表和共享文档，为后续的供应链攻击铺路。一家企业的数据泄露，可能迅速波及上下游合作伙伴。...因为它利用的是“习惯”传统安全软件擅长识别恶意附件、可疑链接或低信誉域名。...，不涉及.exe、.js等可执行文件；模仿真实业务场景：通知内容紧扣M365日常使用痛点，如存储配额、文档共享、密码策略，极具合理性。...芦笛结合行业最佳实践，提出五项关键防护建议：1. 启用“条件访问”与“基于风险的MFA”企业应配置Azure AD的条件访问策略，限制登录行为。

    42510

    基于恶意OAuth应用的MFA绕过攻击：微软身份体系中的新型钓鱼威胁研究

    关键词：OAuth 2.0；MFA绕过；Microsoft Entra ID；钓鱼攻击；身份安全；API权限；条件访问；第三方应用治理1 引言随着云办公的普及，Microsoft 365已成为全球企业数字基础设施的核心组成部分...OAuth 2.0作为现代身份联合与资源授权的标准协议，在Microsoft Entra ID中被广泛用于第三方应用集成。用户通过一次授权操作，即可授予外部应用对其邮箱、日历、文件等资源的访问权限。...（Access Token）与刷新令牌（Refresh Token）；应用使用令牌调用Microsoft Graph API。...3.4 数据窃取与横向移动获得令牌后，攻击者可调用Microsoft Graph API执行以下操作：# 读取最新100封邮件Invoke-RestMethod -Uri "https://graph.microsoft.com..."https://graph.microsoft.com/v1.0/me/drive/root/children" `-Headers @{ Authorization = "Bearer $accessToken

    25010
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券