在尝试使用Microsoft Graph API v1.0查询用户的office365个人资料照片时获得"ErrorAccessDenied“ - 腾讯云开发者社区

文章/答案/技术大牛

发布

Office开发者计划-永久白嫖Office365

更新记录 2022-02-11 Office开发者计划-永久白嫖Office365 Office开发者计划-永久白嫖Office365 电脑N次宕机，一气之下重装了电脑，结果发现之前送的Microsoft...创建注册应用【在Azure后台仪表盘下申请】，调用Office365 outlook邮箱接口、Azure Active Directory/Microsoft Identity账户登录接口、Microsoft...：证书和密码->添加客户端密码确认完成在列表处可以看到生成的记录，点击选择复制值（即客户端密码） b.API调用工具 Microsoft Graph 浏览器是一种基于 Web 的工具...，可用于生成和测试对 Microsoft Graph API 的请求 API需要的权限设定可在预览卡中查阅，授权后则可再次尝试调用响应 Postman 是一个可用于向 Microsoft...Graph API 发出请求的工具：Postman&Microsoft Graph API使用 c.Microsoft Graph 快速入门示例 Microsoft Graph入门

11.4K3 2

基于OAuth同意滥用的假冒微软应用钓鱼攻击研究

此类攻击不依赖凭据窃取，而是滥用OAuth 2.0授权框架中的“用户同意”流程，使恶意应用获得长期有效的刷新令牌（refresh token），进而通过Microsoft Graph API静默读取邮件...）；用户点击“接受”，微软返回授权码；应用用授权码向令牌端点兑换访问令牌与刷新令牌；应用使用令牌调用Microsoft Graph API。...://graph.microsoft.com/v1.0/me/messages?...Graph 查询示例：GET https://graph.microsoft.com/v1.0/me/oauth2PermissionGrantsAuthorization: Bearer 用户尝试同意时被条件访问策略阻止（62%）；若管理员误批准，Cloud Apps在2小时内标记高风险（28%）；剩余10%在24

2431 0

您找到你想要的搜索结果了吗？

是的

没有找到

基于恶意OAuth应用的MFA绕过攻击：微软身份体系中的新型钓鱼威胁研究

本文聚焦于2025年披露的一类高隐蔽性钓鱼攻击：攻击者诱导用户授权伪装成合法工具的恶意OAuth应用，利用其申请的高权限API作用域（如Mail.Read、Files.ReadWrite.All），在无需密码或一次性验证码的情况下访问邮箱...OAuth 2.0作为现代身份联合与资源授权的标准协议，在Microsoft Entra ID中被广泛用于第三方应用集成。用户通过一次授权操作，即可授予外部应用对其邮箱、日历、文件等资源的访问权限。...（Access Token）与刷新令牌（Refresh Token）；应用使用令牌调用Microsoft Graph API。...3.4 数据窃取与横向移动获得令牌后，攻击者可调用Microsoft Graph API执行以下操作：# 读取最新100封邮件Invoke-RestMethod -Uri "https://graph.microsoft.com...值得注意的是，攻击者正将此手法与其他技术结合。例如，在获得邮箱访问权后，发送内部钓鱼邮件诱导更多用户授权，形成链式感染。因此，单一检测点不足以阻断攻击，必须构建覆盖身份、终端、网络的联动防御体系。

2671 0

基于微软 Entra B2B 邀请机制的 TOAD 钓鱼攻击分析与防御策略

Graph API 的代码示例，验证防御措施的可行性。...邀请可通过以下方式发起：手动邀请：管理员或具有“Guest Inviter”角色的用户通过 Azure 门户、Microsoft Graph API 或 PowerShell 发送邀请。...一旦获得权限，攻击者可通过 Microsoft Graph API 发送邀请。...Single User条件：同一用户在 1 小时内发送超过 5 次邀请响应：自动禁用该用户邀请权限并告警Graph API 查询示例：GET https://graph.microsoft.com/v1.0...；即使绕过（如使用管理员账户），邮件也被标记，用户识别率提升 78%。此外，通过 Graph API 监控，我们能在 5 分钟内检测到异常邀请模式并自动响应。

1730 0

o365enum：一款功能强大的Office 365用户枚举工具

o365enum o365enum的全称为Office 365 User Enumeration，它是一款功能强大的Office 365用户枚举工具，该工具基于Python语言开发，并且能够使用ActiveSync...工具下载广大研究人员可以使用下列命令将该项目源码克隆至本地： git clone https://github.com/gremwell/o365enum.git 工具使用 o365enum可以从第一个参数所提供的文件中读取用户名信息...，ta所实现的方法可以向ActiveSync节点发送基础HTTP认证请求，但是通过检测状态码的方式并不适用于Office365，因为无论目标用户是否存在，Office365都会返回401。...: Fri, 31 Jan 2020 16:19:11 GMT Connection: close --snip-- 枚举方法-Autodiscover枚举 Autodiscover 节点允许我们在不需要进行认证尝试的情况下实现用户枚举...对于某些在内部部署或混合部署Exchange服务器的组织来说，服务器所返回的值可能并不能准确标明目标用户是否存在。当你不想使用“Password1”进行认证尝试的时候，这种方法就很管用了。

2K3 0

Win10: office产品的个人账号登录问题

文章背景: 在软购商城通过拼团购买了office365家庭版的一年订阅。在笔记本电脑上安装office365，产品激活后发现无法登录个人账号。...在打开的用户账户工具中，点击添加按钮>点击"不使用Microsoft账户登录">选择"本地账户">输入用户名和密码。...双击新建好的用户名称>组成员>选择"管理员" 右键点击开始按钮>关机或注销>注销使用刚才新建的账户登录Windows系统，然后选择切换成Microsoft账户。...（参见文末的参考资料3）注：windows服务的设置这一步骤的操作与否，是否直接影响到office产品账号的正常登录，这里不好得出结论。只是笔者在尝试登录的过程中采取过上述步骤。...注: Microsoft账户登录成功后，后续如有必要，比如担心影响网速等，可以考虑在步骤2.3中将DNS服务器改回自动获得DNS服务器地址。

6.5K1 0

基于OneDrive的高级鱼叉钓鱼攻击对C级高管身份安全的威胁与防御机制研究

该链接表面指向一个常规文档，实则加载伪装成Microsoft 365登录界面的钓鱼页面，并在用户输入凭证后实时中继多因素认证（MFA）请求，实现凭证与会话令牌的双重窃取。...搜索并下载敏感文档：利用Graph API遍历OneDrive与SharePoint中的文件夹，下载包含“NDA”、“Term Sheet”、“Due Diligence”等关键词的文档。...以下Python脚本利用Microsoft Graph API实现授权审计：import requestsdef audit_oauth_apps(user_token):headers = {"Authorization...": f"Bearer {user_token}"}url = "https://graph.microsoft.com/v1.0/me/oauth2PermissionGrants"response...')if display_name not in approved_apps:# 自动撤销授权requests.delete(f"https://graph.microsoft.com/v1.0/me/

2321 0

高级OAuth钓鱼攻击的演化机制与防御体系构建

尤其在Microsoft 365、Google Workspace等企业生产力平台中，OAuth被深度集成于单点登录（SSO）、API调用、跨应用数据共享等关键场景。...向令牌端点换取访问令牌与刷新令牌；Client使用访问令牌调用受保护资源（如Microsoft Graph API）。...获得令牌后，攻击者通过Microsoft Graph API执行侦察：import requeststoken = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx"headers...= {"Authorization": f"Bearer {token}"}# 列出用户邮箱文件夹resp = requests.get("https://graph.microsoft.com/v1.0...可使用Microsoft Graph PowerShell批量设置：# 禁止用户同意应用Set-MgPolicyAuthorizationPolicy -PermissionGrantPolicyId

2861 0

陈希章（O365开发指南）：《Office 365开发入门指南》上市说明和读者服务

为了帮助大家更好地使用本书，我接下来会为每一章录制一个有声课程，给大家讲一讲重点，并且提示一些最新的功能。这一批有声课程将于国庆节之前通过这个公众号推送，请大家留意。其他提示。...在微软和合作伙伴举办的Office 365相关活动——包括每年由微软组织Tech Summit、Microsoft 365 DevDays，以及由合伙伙伴和MVP技术社区组织的Office 365活动，...内容摘要和阅读指南微软的Office365是业界知名的生产力平台，从2011年6月28日正式推出以来，现在全世界拥有数以亿计的活跃用户，实现现代化办公；不仅如此，Office365对于广大的开发者来说...，更提供了广阔的发展机遇，你可以利用这个平台所提供的能力，快速构建“云优先、移动优先”的应用，以全新的方式分发给全世界的用户。...与此同时，独立开发商（ISV）的开发团队、项目经理、产品经理也可以从本书获得明显的收益，这是因为Office365提供了一套强大的接口（Microsoft Graph），你可以通过这种新的技术，将Office365

1.3K2 0

基于电话钓鱼的社会工程入侵路径分析与防御机制研究——以哈佛大学数据泄露事件为例

文中通过 Python 与 Microsoft Graph Security API 的代码示例，展示如何实现异常登录行为的自动化检测与响应。...”；用户出于困扰或信任，点击批准，攻击者即获得会话令牌。...4.2 检测层：基于行为的异常识别即使攻击者获得凭证，其行为模式通常与合法用户存在差异。可通过 Microsoft Graph Security API 实时监控高风险活动。...结果表明：环境 A 中，85% 的测试用户在接到“IT 电话”后批准 MFA；环境 B 中，攻击者无法完成登录（因触发高风险阻断），且异常登录尝试在 3 分钟内被 SOC 团队响应。...此外，通过 Graph API 监控，我们成功捕获了所有模拟的“不可能旅行”与“异常数据访问”事件，验证了检测机制的有效性。

2380 0

微软揭露针对以色列的 POLONIUM 组织攻击活动

使用该 OAuth Token 就可以向 Microsoft Graph API 请求（https://graph.microsoft.com/v1.0/me/drive/root:/Documents...请求结构为：https://graph.microsoft.com/v1.0/me/drive/root:/Uploaded/???:/content。...通过 OneDrive 下载文件，请求结构为https://graph.microsoft.com/v1.0/me/drive/root:/Downloaded/???:/content。...：https://graph.microsoft.com/v1.0/me/drive/root:/Documents/response.json:/content。...执行期间，攻击者可以使用 https://graph.microsoft.com/v1.0/me/drive/root:/Documents/data.txt:/content请求重置原始文件 data.txt

1.7K2 0

Microsoft REST API指南

经过3个月的碎片时间的翻译和校验，由长沙.NET技术社区翻译的英文原文文档《Microsoft REST API指南》已经翻译完成，现刊载前十一章如下，欢迎大家点击“查看原文”按钮，查看指南的完整内容...解读指导 4.1 应用指南这些准则适用于Microsoft或任何合作伙伴服务公开的任何REST API。私有或内部API也应该尝试遵循这些准则，因为内部服务最终可能会被公开。...有关选项使用的示例，请参见完善CORS跨域调用。 7.5 标准的请求标头下面的请求标头表应该遵循 Microsoft REST API指南服务使用。...例如，用户集合可能包含多个地址的用户资源: GET https://api.contoso.com/v1.0/people/123/addresses { "value": [ { "street...Obtaining a delta link 通过查询集合或实体并附加 $delta 查询字符串参数来获得 Delta 链接。

6.2K1 1

如何使用Go365对Office365用户进行渗透

写在前面的话 Go365这款工具旨在帮助广大研究人员针对使用了Office365（现在/即将推出Microsoft365）的组织和用户执行用户枚举和密码爆破攻击。...注意事项此工具可能不适用于所有使用Office365的域。测试表明，它适用于大多数联合域。即使提供了有效密码，某些域也只报告有效用户，不过不同的场景下实验结果可能会不一样。...该工具针对不同域的测试表明，在多次密码爆破失败之后，该工具并不会锁定目标帐户不过不同的场景下实验结果可能会不一样。此工具旨在被授权“渗透”目标组织的Office365实例的安全专业人员使用。...在对目标域进行多次查询后，工具可能会开始报告目标账号已被锁定。一旦触发了域防御策略，用户枚举的结果就没那么可靠了，因为针对有效和无效用户的请求将随机报告其帐户已被锁定。...这是一种防御机制，如果在一定时间内针对目标域的有效用户查询次数到达阈值，便会触发这种防御机制。由于目标组织可以自定义设置这个阈值，因此尝试的次数和时间段将因目标域而异。

1.7K3 0

针对政治机构的鱼叉式钓鱼攻击特征与防御体系构建

近期变种更倾向使用ISO或LNK文件绕过邮件网关：# 恶意LNK文件执行PowerShell下载器%windir%\System32\WindowsPowerShell\v1.0\powershell.exe...(`MFA required for ${username}`);// 同时向受害者显示“验证中...”页面res.render('waiting');}});一旦用户批准MFA，攻击者即获得有效会话Cookie...（2.4）横向移动与持久化获取邮箱访问权后，攻击者常利用“自动转发规则”窃取未来邮件，或通过Graph API读取联系人、会议记录，为下一轮攻击提供情报。...部分样本还部署了基于OAuth应用的持久化后门：POST https://graph.microsoft.com/v1.0/me/mailFolders/inbox/messageRulesAuthorization...（5.1）系统架构前端：Outlook插件，提供举报按钮与可疑链接预览；中台：基于Microsoft Graph API的行为分析引擎；后台：条件访问策略管理与OAuth授权审计模块。

2041 0

VoidProxy平台对多因素认证的绕过机制与防御对策研究

，即使用户登出仍有效；Access Token：短期有效（通常1小时），但可用于调用Microsoft Graph API。.../.default返回的Access Token可立即用于读取邮件：GET /v1.0/me/messages HTTP/1.1Host: graph.microsoft.comAuthorization...Microsoft Graph提供/revokeSignInSessions API，可编程终止可疑会话：import requestsdef revoke_suspicious_sessions(user_id..., access_token):url = f"https://graph.microsoft.com/v1.0/users/{user_id}/revokeSignInSessions"headers...DPoP要求客户端在每次API请求中附带一个由私钥签名的证明令牌，该私钥与TLS连接绑定。即使攻击者窃取Access Token，也无法在其他连接中使用。

2471 0

微软365“设备代码钓鱼”风暴来袭：无需密码，黑客秒控企业邮箱

用户点击链接后，跳转至完全真实的微软登录页面（域名：login.microsoftonline.com）。页面提示：“在另一台设备上使用此代码登录”，并要求输入代码。一切看起来合规、安全、无可挑剔。...一旦用户输入代码并点击“下一步”，系统会要求其使用 Microsoft 365 账户登录——此时 MFA 可能被触发，用户收到短信或 Authenticator 推送通知，并完成验证。...更危险的是，一旦获得 Refresh Token，攻击者可长期维持访问，即使用户更改密码也无效——因为 OAuth 令牌独立于密码体系。...print("❌ 授权失败:", token_resp.text)break一旦拿到 access_token，攻击者即可调用 Microsoft Graph API 执行任意操作：# 示例：读取受害者最近.../v1.0/me/messages?

3171 0

凭证窃取主导下的现代网络攻击链演化与防御体系构建

尤其在Microsoft 365、Salesforce、Google Workspace等主流SaaS平台中，一旦主账户凭证失窃，攻击者可在数分钟内完成权限提升、邮箱导出、API调用乃至数据外泄，而平均检测延迟仍超过...此过程中，攻击者无需部署恶意软件，全程利用合法API调用，规避传统EDR检测。思科报告显示，73%的勒索事件中，攻击者在获得凭证后4小时内完成数据加密或外传。...伪品牌验证流程嵌套：伪造Microsoft登录页后，跳转至“安全验证”页面，要求用户输入短信验证码，实则完成MFA劫持。此类攻击利用用户对协作工具的信任及多任务处理时的认知负荷，显著提升欺骗成功率。...（Microsoft Graph PowerShell）枚举用户；利用New-MailboxExportRequest导出高管邮箱；部署Cobalt Strike Beacon并通过合法CDN分发勒索载荷...Graph API /users/{id}/revokeSignInSessions；发送Teams通知至用户及IT支持；创建Jira工单要求用户完成安全培训；更新IAM策略，强制启用FIDO2。

2561 0

Microsoft Forms未授权获取他人邮箱信息的漏洞分析

微软的Office365有很多服务，其中的Microsoft Forms以OData数据协议方式实现在线的调查测验创建，并能把相关调查结果数据分享给其他用户。...$select=email 在SQL语法中，其查询样式为： SELECT email FROM Customers WHERE ID=2; 以上只是为了方便大家了解OData协议举的例子。...当然除了select外，还可以使用其它的查询语法，如JSON或XML格式的数据导出format等。...在Microsoft Forms这里，我首先测试的是其中的OData元数据，为此，我必须对其元数据格式进行一个深入的了解。...在以上第3步的用户B提交数据过程，会有以下提交请求：可以注意到其中包含了以下关键字段： formapi/api//users//forms()/responses 用户B提交表单数据时，这里请求内容中的

2.2K2 0

Windows 商店应用中使用 Office 365 API Tools

本篇我们介绍一个API 工具，用于在 Windows Store App 中使用 Office 365 API。...（关于 REST API 的使用，我会在随后的文章中介绍，这里只是让大家感受一下使用的感受。）所以相对以对象模型，我们需要做的工作也多了不少。...这个过程中工具对将你添加的服务注册到 Microsoft Azure Active Directory 中。这里的配置会在应用进行登录认证的时候提示给用户，类似于微博 API 认证过程。 ? 2....在代码中整合 Office 365 API 代码中 Office 365 API 的整个分为三个步骤：（1）....详细描述可以参照：http://msdn.microsoft.com/en-us/office/office365/howto/discover-service-endpoints 和 http://msdn.microsoft.com

4.7K10 0

基于浏览器扩展的Microsoft 365钓鱼攻击实时阻断机制研究

本文的核心贡献在于：（1）系统性解析Check工具的技术实现原理，包括其本地化检测引擎、域名指纹库更新机制与用户交互设计；（2）评估其在真实MSP运维环境中的部署成本、效能与潜在风险；（3）提出与现有Microsoft...例如，Google Safe Browsing API允许扩展查询已知恶意URL；部分企业级密码管理器也集成了钓鱼页面检测功能。但这些方案多为商业闭源产品，且检测逻辑不透明，难以被MSP定制或审计。...无法防御高度定制化钓鱼页：若攻击者使用全新域名且页面不含关键词，仅靠内容特征可能不足。无Graph API集成：当前版本不自动撤销会话或令牌，需管理员手动响应。...启用审计日志长期保留：通过Microsoft Purview保留90天以上日志，便于事后溯源。部署Check作为终端侧哨兵：拦截非邮件渠道的钓鱼尝试。三者结合，形成“预防—检测—响应”的闭环。...与Microsoft Graph API联动：在检测到钓鱼后，自动调用/revokeSignInSessions终结用户所有活动会话。

2521 0

点击加载更多

Office开发者计划-永久白嫖Office365

基于OAuth同意滥用的假冒微软应用钓鱼攻击研究

基于恶意OAuth应用的MFA绕过攻击：微软身份体系中的新型钓鱼威胁研究

基于微软 Entra B2B 邀请机制的 TOAD 钓鱼攻击分析与防御策略

o365enum：一款功能强大的Office 365用户枚举工具

Win10: office产品的个人账号登录问题

基于OneDrive的高级鱼叉钓鱼攻击对C级高管身份安全的威胁与防御机制研究

高级OAuth钓鱼攻击的演化机制与防御体系构建

陈希章（O365开发指南）：《Office 365开发入门指南》上市说明和读者服务

基于电话钓鱼的社会工程入侵路径分析与防御机制研究——以哈佛大学数据泄露事件为例

微软揭露针对以色列的 POLONIUM 组织攻击活动

Microsoft REST API指南

如何使用Go365对Office365用户进行渗透

针对政治机构的鱼叉式钓鱼攻击特征与防御体系构建

VoidProxy平台对多因素认证的绕过机制与防御对策研究

微软365“设备代码钓鱼”风暴来袭：无需密码，黑客秒控企业邮箱

凭证窃取主导下的现代网络攻击链演化与防御体系构建

Microsoft Forms未授权获取他人邮箱信息的漏洞分析

Windows 商店应用中使用 Office 365 API Tools

基于浏览器扩展的Microsoft 365钓鱼攻击实时阻断机制研究

相关资讯

热门标签

活动推荐

运营活动

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐