文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

Office开发者计划-永久白嫖Office365

服务都失效了，在B站偶然刷到相关的内容，刚好满足我的白嫖心理~ 步骤说明 注册Microsoft账号，并加入开发者计划 下载Microsoft365，登录账号并激活 自动续时：保持开发者身份...​ 此处以Microsoft Graph为参考，选择“委托的权限”，根据列出的API权限需求表进行选择 “委托的权限”配置（用户登录）（选择Calendars->Calendars.Read）...（即客户端密码） b.API调用工具 ​ Microsoft Graph 浏览器是一种基于 Web 的工具，可用于生成和测试对 Microsoft Graph API 的请求 ​ API需要的权限设定可在预览卡中查阅...，授权后则可再次尝试调用响应 ​ Postman 是一个可用于向 Microsoft Graph API 发出请求的工具：Postman&Microsoft Graph API使用 ​...c.Microsoft Graph 快速入门示例 ​ Microsoft Graph入门： a.选择语言或平台 b.获取应用 ID（客户端 ID） c.生成示例 d.登录，然后查看日历上的事件 PHP

11.4K32

凭证窃取主导下的现代网络攻击链演化与防御体系构建

尤其在Microsoft 365、Salesforce、Google Workspace等主流SaaS平台中，一旦主账户凭证失窃，攻击者可在数分钟内完成权限提升、邮箱导出、API调用乃至数据外泄，而平均检测延迟仍超过...此过程中，攻击者无需部署恶意软件，全程利用合法API调用，规避传统EDR检测。思科报告显示，73%的勒索事件中，攻击者在获得凭证后4小时内完成数据加密或外传。...伪品牌验证流程嵌套：伪造Microsoft登录页后，跳转至“安全验证”页面，要求用户输入短信验证码，实则完成MFA劫持。此类攻击利用用户对协作工具的信任及多任务处理时的认知负荷，显著提升欺骗成功率。...（Microsoft Graph PowerShell）枚举用户；利用New-MailboxExportRequest导出高管邮箱；部署Cobalt Strike Beacon并通过合法CDN分发勒索载荷...Graph API /users/{id}/revokeSignInSessions；发送Teams通知至用户及IT支持；创建Jira工单要求用户完成安全培训；更新IAM策略，强制启用FIDO2。

25510
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    基于OAuth同意滥用的假冒微软应用钓鱼攻击研究

    此类攻击不依赖凭据窃取，而是滥用OAuth 2.0授权框架中的“用户同意”流程，使恶意应用获得长期有效的刷新令牌（refresh token），进而通过Microsoft Graph API静默读取邮件...2 攻击技术原理与实施路径2.1 OAuth 2.0 用户同意机制回顾在Microsoft Entra ID中，第三方应用若需访问用户资源（如邮件、日历），必须通过OAuth 2.0授权码流程获取权限。...5 实验验证在测试租户中模拟攻击流程：注册假冒应用，请求Mail.Read + offline_access；使用普通用户账户完成同意；通过脚本每小时读取100封邮件，持续72小时。...结果：对照组：攻击成功，72小时内读取300封邮件，未触发任何告警；实验组：用户尝试同意时被条件访问策略阻止（62%）；若管理员误批准，Cloud Apps在2小时内标记高风险（28%）；剩余10%在24...小时内被审计脚本自动撤销；0起数据泄露事件。

    24310

    基于浏览器扩展的Microsoft 365钓鱼攻击实时阻断机制研究

    一旦授权，攻击者即可通过合法API令牌访问用户邮箱、日历等资源，规避传统邮件监控。这两种攻击均可通过非邮件渠道发起，使得基于邮件内容的过滤器形同虚设。...3.4 管理员告警与日志当阻断发生时，扩展通过chrome.runtime.sendMessage通知后台服务。...后台服务可配置为：在浏览器通知中心弹出告警；将事件记录到本地存储，供管理员通过Options Page查看；（可选）通过Webhook将事件推送到MSP的SIEM系统（需用户明确授权）。...无Graph API集成：当前版本不自动撤销会话或令牌，需管理员手动响应。权限范围审慎：扩展需activeTab与storage权限，虽无敏感权限，但仍需用户信任。...与Microsoft Graph API联动：在检测到钓鱼后，自动调用/revokeSignInSessions终结用户所有活动会话。

    25110

    云邮箱钓鱼攻击趋势与企业防御体系重构

    （4）工单系统仿冒：部分高级攻击伪造ServiceNow、Jira等内部ITSM系统的通知邮件，声称“您的MFA设备需重新注册”，引导用户至钓鱼页面完成“合规更新”。...典型流程如下：用户在钓鱼页面输入凭据；攻击脚本实时将凭据转发至真实登录接口，完成身份验证；获取有效的会话Cookie或OAuth 2.0访问令牌；直接注入浏览器或API调用，绕过MFA校验。...（1）部署FIDO2/PasskeysFIDO2标准通过公钥加密实现无密码登录。用户注册时，设备生成唯一密钥对，私钥永不离开安全芯片（如TPM、Secure Enclave）。...关键措施包括：自动化会话吊销：通过API批量注销用户所有活动会话；凭据紧急重置：强制更改密码并撤销刷新令牌；行为回溯：利用审计日志定位首次异常活动时间点。...Microsoft Graph API吊销会话示例：import requestsdef revoke_user_sessions(user_id, access_token):url = f"https

    22410

    设备代码钓鱼攻击对Microsoft 365 OAuth授权机制的威胁分析与防御策略

    本文聚焦于近期在Microsoft 365环境中频发的“设备代码钓鱼”（Device Code Phishing）攻击，深入剖析攻击者如何滥用OAuth 2.0设备授权流程，在不获取用户密码的前提下实现账户接管...攻击者通过伪造IT部门通知、安全警报或软件更新提示，诱使用户访问看似合法的指令页面，并要求其在https://microsoft.com/devicelogin 输入一串六位字母数字组合的设备代码。...一旦授权完成，攻击者即可通过device_code兑换令牌，获得与用户同等的API访问权限。...Graph API，读取邮件、日历、联系人，甚至创建新应用或修改权限。...建议设置自动化告警规则，例如：当同一用户在1小时内授权超过3个不同客户端应用，且其中包含未列入白名单的应用时，触发安全警报。

    24410

    多任务处理对钓鱼识别能力的影响机制与防御策略研究

    4 情境感知防御框架基于上述发现，本文提出三层“情境感知防御”架构：4.1 用户状态感知层通过操作系统或办公套件API获取用户当前任务上下文。...关键技术指标包括：是否处于视频会议中（Zoom/Teams API）；近5分钟内键盘/鼠标活跃度；日历事件标记为“高专注”或“截止前”；邮件客户端是否处于“快速浏览”模式（如预览窗格开启）。...示例：使用Microsoft Graph API检测会议状态import requestsdef is_in_meeting():headers = {'Authorization': 'Bearer...未来研究可探索：利用AI预测用户即将进入高负荷状态（如日历事件临近）；个性化干预阈值（如对财务人员默认更高防护等级）；跨应用注意力协调（如Teams自动暂停非紧急通知当用户处理含链接邮件时）。...本文通过实证研究揭示了其对钓鱼识别能力的显著削弱作用，并据此构建了情境感知型防御框架。该框架不依赖用户始终保持警惕，而是通过技术手段在认知资源稀缺时主动加固防线。

    19610

    你的日历正在“出卖”你？新型钓鱼攻击借力日历订阅功能悄然渗透数百万设备

    当事件临近时，系统会以通知形式弹出该内容。由于通知来自“已信任的日历源”，多数用户不会怀疑其真实性。...攻击链拆解：初始诱导：通过钓鱼邮件、社交媒体广告或恶意网站，诱导用户点击“添加节日促销日历”按钮；订阅建立：用户设备保存该日历URL，并开启自动同步；内容投递：攻击者在其服务器上动态更新.ics文件，插入含钓鱼链接的新事件...；通知触发：设备在事件时间前弹出系统级提醒，用户误以为是官方通知；二次感染：用户点击链接后，可能下载木马、输入凭证或授权OAuth应用。...2025年12月，安全公司ESET发现一个名为“HolidayScam”的活动，利用日历推送伪装成“Microsoft安全更新”的事件，诱导用户下载名为“SecurityPatch.exe”的远程访问木马...值得警惕的是，国内安卓定制系统（如MIUI、ColorOS）对日历通知权限管理相对宽松，部分机型甚至允许日历应用在锁屏界面直接显示完整事件描述，进一步放大风险。五、攻防对抗：如何检测与阻断日历钓鱼？

    17510

    OpenAI“后门”失守：一次钓鱼攻击如何撬动AI巨头的第三方供应链防线

    尽管OpenAI强调“核心模型、用户聊天记录、API密钥、支付信息均未受损”，但这一事件仍如一枚深水炸弹，在全球AI安全圈激起巨大涟漪。...更狡猾的是，部分钓鱼页面还会在后台静默发起OAuth授权请求，诱导用户“授权OpenAI访问您的日历”——一旦同意，攻击者便获得持久化的API令牌，无需密码即可持续访问企业资源。...泄露的数据包括：API账户注册时填写的姓名关联的电子邮箱用户浏览器上报的地理位置（城市/州/国家）操作系统与浏览器类型引荐来源（如通过哪个网站跳转至 platform.openai.com）组织ID或用户...例如，所有重要通知仅通过API控制台内的消息中心推送，或通过已绑定的硬件安全密钥签名的消息。此外，定期轮换API密钥虽非OpenAI强制要求，但从安全最佳实践出发，仍值得推荐。...六、结语：安全不是功能，而是信任的基石OpenAI此次事件最深刻的启示或许在于：在AI时代，数据不仅是燃料，更是攻击面。当企业将用户行为数据外包给分析平台时，本质上是在扩展自己的攻击面。

    21110

    钓鱼邮件“精准制导”升级：Outlook与Gmail成重灾区，企业身份防线告急

    当“您的密码将在24小时内过期”这类消息出现在国内员工的钉钉邮箱或腾讯企业邮中，我们是否已筑起足够坚固的防线？一、“看起来太真了”：钓鱼邮件如何获得“内部通行证”？...一旦同意，攻击者即获得访问用户邮箱、日历、联系人的API权限，且该令牌长期有效，难以察觉。...“国内用户对‘平台官方通知’的信任度极高，且移动办公普及率全球领先，这反而放大了钓鱼成功率。”...建立快速响应机制一键冻结账户：SOC接到报告后5分钟内禁用账号；会话吊销：通过Microsoft Graph API或Google Admin SDK，立即终止所有活跃会话；# Microsoft Graph...针对性用户教育培训不应泛泛而谈，而应聚焦高频话术：“密码即将过期” → 官方不会通过邮件索要密码；“隔离邮件待释放” → 所有操作必须在官方Web界面完成；“合规模块需更新” → 更新由IT统一推送，无需个人操作

    25410

    基于恶意OAuth应用的MFA绕过攻击：微软身份体系中的新型钓鱼威胁研究

    然而，近期多起安全事件表明，攻击者正通过滥用Microsoft Entra ID（原Azure AD）的OAuth 2.0授权框架，绕过MFA保护，直接获取对Microsoft 365账户的持久化访问权限...OAuth 2.0作为现代身份联合与资源授权的标准协议，在Microsoft Entra ID中被广泛用于第三方应用集成。用户通过一次授权操作，即可授予外部应用对其邮箱、日历、文件等资源的访问权限。...该机制极大提升了用户体验，但也引入了新的攻击面：若用户被诱导授权一个恶意应用，攻击者即可绕过所有基于密码和MFA的验证环节，直接通过合法API接口操作账户。...（Access Token）与刷新令牌（Refresh Token）；应用使用令牌调用Microsoft Graph API。...3.4 数据窃取与横向移动获得令牌后，攻击者可调用Microsoft Graph API执行以下操作：# 读取最新100封邮件Invoke-RestMethod -Uri "https://graph.microsoft.com

    26710

    针对政治机构的鱼叉式钓鱼攻击特征与防御体系构建

    现有安全措施在应对这类攻击时存在明显短板：一是议员办公室IT资源有限，难以部署企业级端点防护；二是政治人员工作节奏快、外部沟通频繁，对安全策略的容忍度低；三是多因素认证（MFA）虽已普及，但易被会话劫持或...（2）攻击特征与战术分析通过对英国议会事件中泄露的邮件样本及恶意文档进行复现分析，可归纳出以下典型攻击链。...（2.3）凭证窃取与MFA绕过钓鱼页面常集成实时转发功能，用户输入用户名密码后，攻击者立即用其向真实服务发起登录请求，并将MFA推送通知转发至自身设备：// 钓鱼后端实时代理登录请求app.post('...（2.4）横向移动与持久化获取邮箱访问权后，攻击者常利用“自动转发规则”窃取未来邮件，或通过Graph API读取联系人、会议记录，为下一轮攻击提供情报。...（5.1）系统架构前端：Outlook插件，提供举报按钮与可疑链接预览；中台：基于Microsoft Graph API的行为分析引擎；后台：条件访问策略管理与OAuth授权审计模块。

    20310

    日历订阅机制滥用：新型钓鱼与恶意软件投递渠道分析

    本文基于对347个可疑日历域名的实证分析，揭示攻击者如何通过劫持或注册过期域名部署恶意.ics文件，诱导用户订阅后持续推送含恶意链接或社会工程内容的日历事件。...2.2 订阅流程与权限模型用户添加日历订阅时，仅需提供一个URL。系统随后将该源加入信任列表，并按预设频率（通常为每6–24小时）自动拉取最新.ics文件。...关键问题在于：无持续验证：订阅建立后，后续事件推送无需用户确认；高可信上下文：日历通知被视为“系统级”消息，常以原生弹窗形式呈现，用户易误认为来自可信来源；跨平台同步：一旦在一台设备订阅，事件将同步至所有绑定同一账户的设备...3.2 攻击载荷类型恶意日历事件主要包含以下几类载荷：钓鱼链接：伪装成订单确认、账户异常通知，诱导用户输入凭证；恶意软件下载：声称提供“日历插件更新”或“事件详情查看器”，实则分发木马；广告欺诈：高频推送含短链的促销事件...例如，在macOS或iOS中，可通过分析~/Library/Calendars/目录下的日历数据库，提取外部订阅源及其最近事件：import sqlite3import osdef list_external_subscriptions

    17410

    “ClickFix”钓鱼套件的技术机制与企业邮箱防护体系研究

    2025年，Palo Alto Networks等安全机构披露了一类名为“IUAM ClickFix Generator”的钓鱼工具包，其通过高度仿真的IT支持通知诱导用户提交Microsoft 365...本文聚焦ClickFix钓鱼套件的技术实现与防御路径，旨在回答三个核心问题：（1）该套件如何通过技术手段提升欺骗性与规避能力？（2）凭证被盗后，攻击者如何在M365环境中实现持久化与横向渗透？...日历邀请：发送含恶意链接的日历事件（ICS文件），标题如“【紧急】您的邮箱将于24小时内停用”，利用Outlook等客户端自动渲染摘要预览，诱导点击。...4.2 身份认证层：推行零信任与强认证禁用基本认证：在Azure AD中彻底关闭IMAP/SMTP基本认证，迫使攻击者无法通过用户名/密码直接登录。...明确IT沟通规范：告知员工：IT部门绝不会通过邮件要求点击链接“修复账户”或“验证密码”。移动端专项培训：强调在手机上收到“账户受限”通知时，应手动打开官方App而非点击链接。

    24410

    zapier 推出MCP全流程方案

    现在AI 可以执行发送消息、管理数据、安排事件和更新记录等实际任务，从而将其从一个对话工具转变为应用程序的实用扩展。...便捷地选择和定义 AI 可以执行的具体操作，例如发送 Slack 消息或管理 Google 日历事件，确保精确控制。 Zapier 提供了超过 7,000 个第三方应用和超过 30,000 个动作。...AI 动作赋予您的 AI 或系统执行任何 Zapier 动作的能力（例如发送 Slack 消息、查找 Google 日历事件、撰写 Gmail 回复、创建 HubSpot 联系人等）。...Outlook 发送新线索的电子邮件 创建并添加任务到 Microsoft 待办事项列表 联系并培养你的 LinkedIn 广告潜在客户 通过 Microsoft Teams 获取重要信息的通知提醒...在您的社交渠道上创建和分享 LinkedIn 内容 将文件和邮件附件保存到 OneDrive 自动管理您的 Microsoft Office 365 邮件和日程安排 将 OneNote 笔记转换为行动项目

    1.5K10

    高级OAuth钓鱼攻击的演化机制与防御体系构建

    尤其在Microsoft 365、Google Workspace等企业生产力平台中，OAuth被深度集成于单点登录（SSO）、API调用、跨应用数据共享等关键场景。...向令牌端点换取访问令牌与刷新令牌；Client使用访问令牌调用受保护资源（如Microsoft Graph API）。...攻击者可将此参数嵌入隐藏iframe，当用户访问恶意页面时，若其浏览器仍持有有效会话，则自动完成授权，完全规避用户交互。...获得令牌后，攻击者通过Microsoft Graph API执行侦察：import requeststoken = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx"headers...以下Python脚本利用Microsoft Graph API实现自动化审计：import requestsfrom datetime import datetime, timedeltadef audit_shadow_apps

    28610

    微软365“设备代码钓鱼”风暴来袭：无需密码，黑客秒控企业邮箱

    公共互联网反网络钓鱼工作组技术专家芦笛在接受本报专访时直言，“攻击者没有破解系统，而是利用了系统本身的设计逻辑，把‘便利性’变成了‘致命漏洞’。”...一旦用户输入代码并点击“下一步”，系统会要求其使用 Microsoft 365 账户登录——此时 MFA 可能被触发，用户收到短信或 Authenticator 推送通知，并完成验证。...授权完成后，攻击者的服务器立即通过 OAuth 2.0 的 /token 端点兑换访问令牌和刷新令牌（Refresh Token），从而获得对受害者邮箱、日历、文件等资源的长期访问权——全程无需知道密码...print("❌ 授权失败:", token_resp.text)break一旦拿到 access_token，攻击者即可调用 Microsoft Graph API 执行任意操作：# 示例：读取受害者最近...五、行业反思：便利与安全的天平该如何摆？设备代码钓鱼的流行，暴露出一个深层矛盾：现代身份协议在追求用户体验的同时，是否牺牲了安全可见性？

    30610

    Agent设计模式——第 15 章：Agent 间通信（A2A）

    这可通过访问控制、双向 TLS（mTLS）或网络限制实现，特别是当卡片包含敏感（虽非秘密）信息时。 通信和任务：在 A2A 框架中，通信围绕异步任务结构化，这些任务代表长时间运行进程的基本工作单元。...然后客户端可自由执行其他操作，并可通过发送新请求定期轮询服务器检查任务状态，直至标记为"已完成"或"失败"。 流式更新（服务器发送事件 - SSE）：适用于接收实时、增量结果。...用户将请求有关其日历状态的信息或对其日历进行更改。 使用提供的工具与日历API交互。如果未指定，假定用户所需的日历是"primary"日历。...使用日历API工具时，请使用格式正确的RFC3339时间戳。今天是 {datetime.datetime.now()}。...Agent 配备来自 CalendarToolset 的日历工具，使其能与 Calendar API 交互并响应有关日历状态或修改的用户查询。Agent 指令动态合并当前日期以提供时间上下文。

    95710

    推荐一个企业级知识图谱增强的检索增强生成(RAG)的项目

    介绍 Microsoft GraphRAG 是一个开源项目，旨在利用 Microsoft Graph 的强大功能构建企业级的知识图谱增强的检索增强生成（RAG）方案。...简单来说，它将企业内部的各种数据源（如邮件、文档、日历、联系人等）通过 Microsoft Graph 连接起来，形成一个结构化的知识图谱，然后利用这个知识图谱来增强 RAG 系统的检索能力，从而提升大语言模型...使用 Microsoft Graph API 来安全、高效地访问这些数据。 数据连接器需要处理各种数据格式和结构，并将其转换为统一的中间表示形式。...智能助手： 系统可以作为智能助手，帮助用户完成各种任务，如查找信息、安排会议、发送邮件等。 知识发现： 通过分析知识图谱，系统可以发现企业内部的潜在知识和洞见。...配置数据连接器： 根据实际数据源配置数据连接器，包括 Microsoft Graph API 的访问权限、数据源的连接信息等。

    1.6K10

    你打出去的“客服电话”，正在把黑客请进公司内网——Microsoft Teams通知成新型钓鱼跳板，回拨型攻击席卷全球企业

    Microsoft Teams作为全球超3亿用户使用的协作平台，其通知邮件由微软官方域名 teams.mail.microsoft.com 发出，具备完整的SPF、DKIM、DMARC认证。...更棘手的是，Teams通知属于企业日常协作的一部分。在Microsoft 365深度集成的环境中，员工每天可能收到数十条此类通知，早已形成“条件反射式信任”。...“安全网关看到的是‘微软发来的正常通知’，自然放行。”芦笛说，“但攻击者只是借用了这个通道，真正的武器在电话线那头。”此外，部分企业为提升协作效率，允许普通用户安装远程桌面工具。...邮件层：增强Teams通知监控限制Teams外部邀请：在Microsoft 365管理中心配置策略，禁止非组织成员创建团队或邀请用户；监控异常团队命名：通过Microsoft Graph API定期扫描团队名称...，识别含“PayPal”“Billing”“Urgent”等关键词的可疑实体；# 示例：通过Graph API列出所有团队GET https://graph.microsoft.com/v1.0/groups

    22010
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券