文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

设备代码钓鱼攻击对Microsoft 365 OAuth授权机制的威胁分析与防御策略

本文聚焦于近期在Microsoft 365环境中频发的“设备代码钓鱼”（Device Code Phishing）攻击，深入剖析攻击者如何滥用OAuth 2.0设备授权流程，在不获取用户密码的前提下实现账户接管...攻击者通过伪造IT部门通知、安全警报或软件更新提示，诱使用户访问看似合法的指令页面，并要求其在https://microsoft.com/devicelogin 输入一串六位字母数字组合的设备代码。.../devicelogin 并输入代码：ABC123”；用户信以为真，在微软官方页面输入代码并完成MFA；攻击者轮询令牌端点，成功获取access_token与refresh_token；利用令牌调用Microsoft...假设攻击者已注册一个Azure AD应用，client_id为“a1b2c3d4-5678-90ef-ghij-klmnopqrstuv”，并申请了以下API权限：Microsoft Graph: Mail.ReadWrite...://microsoft.com/devicelogin 输入user_code并完成登录后，上述脚本将成功获取访问令牌。

25810

基于恶意OAuth应用的MFA绕过攻击：微软身份体系中的新型钓鱼威胁研究

OAuth 2.0作为现代身份联合与资源授权的标准协议，在Microsoft Entra ID中被广泛用于第三方应用集成。用户通过一次授权操作，即可授予外部应用对其邮箱、日历、文件等资源的访问权限。...攻击者创建名称高度仿真的OAuth应用（如“Microsoft Teams Verify”、“SecureDoc Review”），并通过钓鱼邮件或协作平台消息诱导用户点击授权链接。...（Access Token）与刷新令牌（Refresh Token）；应用使用令牌调用Microsoft Graph API。...3.3 令牌获取与持久化访问用户点击“同意”后，Microsoft将授权码发送至redirect_uri。...5.3 用户意识与流程层开展OAuth授权专项培训：教育员工识别“同意页面”中的权限风险；建立授权审批流程：对涉及高权限的应用，要求IT部门二次审批；定期清理授权：每季度提醒用户访问 https://mysignins.microsoft.com

27510
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    教育信息系统中的钓鱼攻击识别与防御机制研究——以滑铁卢地区教育局事件为例

    尽管未造成大规模数据泄露，但事件暴露出教育机构在邮件安全边界防护、内部威胁感知及应急响应流程中的系统性缺陷。...一旦用户输入凭证并授权，攻击者即可获取其邮箱访问权限，进而发起横向移动（lateral movement），向联系人列表中的其他师生发送次级钓鱼邮件，形成传播链。...通过Microsoft Graph API定期拉取用户授权的应用列表，比对白名单。若发现未经批准的第三方应用请求Mail.Read、Mail.Send等权限，自动撤销授权并告警。...例如，某教师账户在凌晨3点从境外IP登录并批量转发邮件，系统可自动冻结会话并触发二次验证。4.4 第四层：交互式安全反馈与演练平台建立轻量级用户举报通道。...在邮件客户端集成“报告钓鱼”按钮，用户一键提交可疑邮件后，系统自动提取特征加入训练集，并向同部门用户推送预警。

    20410

    高级OAuth钓鱼攻击的演化机制与防御体系构建

    劫持授权响应、绕过多因素认证（MFA）等手段，在不获取用户密码的前提下实现持久化账户访问。...研究揭示了当前OAuth生态中重定向URI校验宽松、客户端凭据管理疏漏、用户授权界面缺乏风险提示等关键脆弱点，并结合真实攻击链路，提出涵盖策略控制、运行时检测与响应、开发安全加固三位一体的纵深防御框架。...向令牌端点换取访问令牌与刷新令牌；Client使用访问令牌调用受保护资源（如Microsoft Graph API）。...输入凭证并通过MFA后，进入授权确认页面。由于应用名称与图标可自定义，且权限描述使用通用术语（如“读取您的邮件以提供服务”），用户极易误判为合法请求。.../staging.app.corp.com/auth/callback"]}（2）第三方应用审批与权限最小化启用“用户无法注册应用”策略，并要求所有新应用经IT部门审批。

    29310

    微软365“设备代码钓鱼”风暴来袭：无需密码，黑客秒控企业邮箱

    一旦用户输入代码并点击“下一步”，系统会要求其使用 Microsoft 365 账户登录——此时 MFA 可能被触发，用户收到短信或 Authenticator 推送通知，并完成验证。...当用户在官网输入该代码并授权，就等于亲手把权限交给了这个恶意应用。”...；用户登录并授权该应用；客户端轮询 /token 端点，一旦用户授权，立即获取 Access Token。...问题在于：步骤4中的授权页面由微软官方提供，用户无法分辨背后的应用是否可信。“普通用户看到的是微软的 UI，但授权的对象却是攻击者注册的 OAuth 应用。”...实施严格的 OAuth 应用审批策略启用“用户无法注册应用”策略，并要求所有第三方应用必须经 IT 部门审批。

    33810

    Office开发者计划-永久白嫖Office365

    服务都失效了，在B站偶然刷到相关的内容，刚好满足我的白嫖心理~ 步骤说明 注册Microsoft账号，并加入开发者计划 下载Microsoft365，登录账号并激活 自动续时：保持开发者身份...权限配置 注册的应用程序API权限类型有两种，其主要区别如下表所示： 权限类型 委托的权限(用户登录) 应用程序权限(非用户登录) 官方释义 应用程序必须以登录用户身份访问API 应用程序在用户未登录的情况下作为后台服务或守护程序运行...所需配置 账户名称+账户密码+应用程序(客户端)ID 账户名称+客户端机密+应用程序(客户端)ID 功能影响 程序中所有API均可调用 部分API权限受限无法调用(官方限制) API权限配置 可由PC...，可用于生成和测试对 Microsoft Graph API 的请求 ​ API需要的权限设定可在预览卡中查阅，授权后则可再次尝试调用响应 ​ Postman 是一个可用于向 Microsoft...maven依赖，随后编写接口测试 ​ 主要步骤说明：注册应用、身份验证、API调用 其API调用核心思路为 创建一个authProvider用户凭据（根据实际身份验证的方式获取，不同渠道构建方式不同

    11.4K32

    设备代码钓鱼攻击的战术趋同化及其对企业身份安全的挑战

    摘要近年来，设备代码钓鱼（Device Code Phishing）作为一种绕过多因素认证（MFA）的高级社会工程手段，在Microsoft 365环境中迅速扩散。...3.3 归因模糊化与防御挑战由于所有攻击均通过合法OAuth流程完成，日志中仅显示正常用户授权行为，缺乏异常IP或恶意载荷特征。...留空（设备授权无需回调）API权限：勾选Microsoft Graph的Delegated权限，如：Mail.ReadWriteCalendars.ReadWriteUser.Read.AllFiles.ReadWrite.All4.2...，攻击者可调用Microsoft Graph API读取邮件：import requestswith open('stolen_token.json') as f:token = json.load(f...设置自动化规则，例如：当同一用户在24小时内授权超过2个未列入白名单的应用，且包含Mail.ReadWrite权限时，自动吊销令牌并告警。

    23510

    基于微软 Entra B2B 邀请机制的 TOAD 钓鱼攻击分析与防御策略

    研究表明，仅依赖传统邮件安全网关无法有效识别此类“寄生式”攻击，必须从身份平台治理层面重构安全边界。...一旦获得权限，攻击者可通过 Microsoft Graph API 发送邀请。...Single User条件：同一用户在 1 小时内发送超过 5 次邀请响应：自动禁用该用户邀请权限并告警Graph API 查询示例：GET https://graph.microsoft.com/v1.0...5 验证与评估为验证防御有效性，我们在测试租户中复现攻击并部署上述策略。...；即使绕过（如使用管理员账户），邮件也被标记，用户识别率提升 78%。此外，通过 Graph API 监控，我们能在 5 分钟内检测到异常邀请模式并自动响应。

    17600

    基于OneDrive的高级鱼叉钓鱼攻击对C级高管身份安全的威胁与防御机制研究

    2025年披露的一起新型攻击事件显示，攻击者利用Microsoft OneDrive作为主要传播媒介，通过伪造人力资源部门关于薪酬调整或股权授予的通知邮件，诱导目标点击嵌入的共享链接。...搜索并下载敏感文档：利用Graph API遍历OneDrive与SharePoint中的文件夹，下载包含“NDA”、“Term Sheet”、“Due Diligence”等关键词的文档。...其次，MFA虽能防止密码复用攻击，但无法抵御AiTM式的实时中继。再者，OAuth授权管理普遍薄弱，高管账户往往拥有广泛权限，而IT部门缺乏对第三方应用授权的主动审计机制。...RBI在云端沙箱中渲染页面，仅将像素流返回终端，确保恶意脚本无法接触本地凭证存储。...以下Python脚本利用Microsoft Graph API实现授权审计：import requestsdef audit_oauth_apps(user_token):headers = {"Authorization

    23510

    针对政治机构的鱼叉式钓鱼攻击特征与防御体系构建

    研究发现，此类攻击普遍利用合法协作平台（如Microsoft 365、Google Workspace）作为初始入口，并通过OAuth滥用或会话令牌窃取绕过多因素认证。...通过部署原型系统验证，该框架在模拟攻击环境中成功阻断87%的凭证泄露尝试，并显著缩短威胁响应时间。研究表明，立法机构需摒弃“低技术风险”认知偏差，建立与其战略价值相匹配的网络安全能力建设路径。...（2.4）横向移动与持久化获取邮箱访问权后，攻击者常利用“自动转发规则”窃取未来邮件，或通过Graph API读取联系人、会议记录，为下一轮攻击提供情报。...（3.2）高外部交互需求议员需频繁与选民、媒体、利益团体沟通，无法像封闭部门那样限制外部邮件。攻击者正是利用这一“开放性”植入诱饵。...（5.1）系统架构前端：Outlook插件，提供举报按钮与可疑链接预览；中台：基于Microsoft Graph API的行为分析引擎；后台：条件访问策略管理与OAuth授权审计模块。

    20610

    基于电话钓鱼的社会工程入侵路径分析与防御机制研究——以哈佛大学数据泄露事件为例

    文中通过 Python 与 Microsoft Graph Security API 的代码示例，展示如何实现异常登录行为的自动化检测与响应。...研究表明，仅依赖技术防护无法有效抵御以“人”为攻击面的入侵路径，必须将社会工程风险纳入整体安全治理架构。...：要求受害者“查看手机上的 Microsoft Authenticator 通知并点击 Approve”；横向移动：使用获取的会话访问 Power BI 或自定义校友数据库，导出 CSV 文件；数据外传...4.2 检测层：基于行为的异常识别即使攻击者获得凭证，其行为模式通常与合法用户存在差异。可通过 Microsoft Graph Security API 实时监控高风险活动。...结果表明：环境 A 中，85% 的测试用户在接到“IT 电话”后批准 MFA；环境 B 中，攻击者无法完成登录（因触发高风险阻断），且异常登录尝试在 3 分钟内被 SOC 团队响应。

    23900

    云邮箱钓鱼攻击趋势与企业防御体系重构

    多数邮件网关仅解析首跳URL，无法追踪多层重定向后的恶意终点。...典型流程如下：用户在钓鱼页面输入凭据；攻击脚本实时将凭据转发至真实登录接口，完成身份验证；获取有效的会话Cookie或OAuth 2.0访问令牌；直接注入浏览器或API调用，绕过MFA校验。...关键措施包括：自动化会话吊销：通过API批量注销用户所有活动会话；凭据紧急重置：强制更改密码并撤销刷新令牌；行为回溯：利用审计日志定位首次异常活动时间点。...Microsoft Graph API吊销会话示例：import requestsdef revoke_user_sessions(user_id, access_token):url = f"https...5 实施挑战与优化路径5.1 用户体验与安全的平衡全面推行Passkeys可能遭遇老旧设备兼容性问题。建议采取分阶段策略：高风险部门（财务、高管）优先强制，普通员工提供过渡期并配套硬件密钥发放。

    22810

    基于OAuth同意滥用的假冒微软应用钓鱼攻击研究

    此类攻击不依赖凭据窃取，而是滥用OAuth 2.0授权框架中的“用户同意”流程，使恶意应用获得长期有效的刷新令牌（refresh token），进而通过Microsoft Graph API静默读取邮件...关键词：OAuth 同意滥用；假冒微软应用；Entra ID；多因素认证绕过；Graph API；条件访问1 引言多因素认证（MFA）作为现代身份安全的核心防线，已在绝大多数企业环境中广泛部署。...2 攻击技术原理与实施路径2.1 OAuth 2.0 用户同意机制回顾在Microsoft Entra ID中，第三方应用若需访问用户资源（如邮件、日历），必须通过OAuth 2.0授权码流程获取权限。...）；用户点击“接受”，微软返回授权码；应用用授权码向令牌端点兑换访问令牌与刷新令牌；应用使用令牌调用Microsoft Graph API。...3.2 权限范围缺乏上下文解释OAuth同意页面仅列出权限名称（如“Mail.Read”），未说明其实际能力（“可读取所有邮件，包括已删除项”）。用户难以判断风险。

    24910

    VoidProxy平台对多因素认证的绕过机制与防御对策研究

    （二）会话令牌捕获与持久化利用与传统钓鱼仅窃取密码不同，VoidProxy的核心目标是获取有效的会话标识符。...，即使用户登出仍有效；Access Token：短期有效（通常1小时），但可用于调用Microsoft Graph API。...DPoP要求客户端在每次API请求中附带一个由私钥签名的证明令牌，该私钥与TLS连接绑定。即使攻击者窃取Access Token，也无法在其他连接中使用。...IdP与SaaS中的落地；自动化响应闭环：将威胁情报、UEBA与API控制联动，实现“检测-响应-修复”一体化。...六、结语VoidProxy平台揭示了当前MFA部署模型在面对实时会话劫持时的根本性不足。攻击者不再试图破解MFA，而是将其作为获取合法会话的“跳板”。

    25310

    开始使用 C# 14

    接收器名称 source 在扩展仅包含静态扩展时是可选的。...依赖的程序集无需重新编译，并继续绑定到原始符号。 您可以在 C# 指南[2] 和 extension 关键字文章[3] 中了解更多并探索扩展成员。您还可以阅读 扩展提案[4] 中的功能设计细节。...它们消除了样板代码，移除了常见的条件块，简化了 lambda 声明，增强了源生成器的部分类型，并使 nameof 在泛型场景中更具表现力。单独来看，每个功能节省几行代码和更多输入。...此功能在 .NET 9 中作为预览可用。field 上下文关键字[5] 现在在 C# 14 中正式可用（参见 新功能[6]）。...利用此功能的库（例如，性能博客中引用的 SIMD 友好的帮助方法）来避免额外临时变量，并暴露更惯用的 API。

    23110

    ConsentFix攻击机制与OAuth授权滥用的防御对策研究

    例如，用户在Google搜索“公司邮箱无法登录”，点击一个已被SEO投毒的合法但遭篡改的第三方支持页面。...Graph API读取邮件、发送钓鱼邮件、下载OneDrive文件等。...攻击者只需一次授权即可获取最大权限。第三，撤销机制滞后。 用户发现异常后，往往首先更改密码，却不知需手动撤销应用授权。而企业级批量撤销功能通常权限过高，仅限全局管理员使用，响应速度慢。...（二）策略管理层：建立授权生命周期管理定期授权审计：每季度导出全组织应用授权清单，清理未使用或来源不明的应用；实施最小权限原则：推动业务部门使用权限更细的现代API（如Microsoft Graph的delegated...permissions with scopes）；自动化撤销机制：当检测到可疑活动时，自动调用Microsoft Graph API撤销相关应用授权：# 使用Microsoft Graph API撤销用户授权

    19310

    .NET周刊【11月第3期 2024-11-17】

    NET Aspire 提供无缝开发工具并改进了遥测和云应用部署。新增 API 和开源工具包提升资源管理和灵活性。...智能体支持C#、.NET、.NETCore等技术，能够准确理解编程需求，提供优质代码示例，并遵循最佳实践。最终，智能体可以通过Web和小程序进行交互，便利用户获取技术支持。...、发布新闻和根据ID获取特定新闻的API。...首次切换后，委托仅响应当前UserControl，对象成功回收。需要注意.NET垃圾回收机制，理解对象引用与回收原理。垃圾回收器会标记和删除无用对象，防止内存碎片。...开源 - Ideal库 -获取特殊时间扩展方法（四） https://www.cnblogs.com/hugogoos/p/18539591 文章介绍了如何在C#中获取当前日期所在月的第一个和最后一个指定星期几的方法

    1.6K10

    .NET周刊【10月第2期 2024-10-13】

    由C#开发，解决其它工具无法满足的特定需求，完全免费且开源。主要功能包括名称混淆、控制流混淆、字符串和资源加密等。...Blazor Hybrid在拖放事件中仅获得文件流，缺乏对浏览器行为的控制，导致桌面应用体验差异。作者指出，这些问题影响了用户体验和开发者预期，尽管Blazor Hybrid具有跨平台开发的潜力。...项目使用 Visual Studio 作为开发工具，支持 SQL 数据库备份及还原。未来计划支持 .NET Core、增加更多通讯接口及图元组件并加强安全性。项目源代码可在 GitHub 上获取。...作者采用Python中的PaddleOCR进行OCR处理，并通过System.Diagnostics.Process在C#中运行Python脚本。...最后在ViewModel中实例化DelCommand并绑定到UI，实现与用户交互并更新显示。

    3.7K10

    “rnicrosoft.com”不是笔误，是陷阱！新型域名欺诈钓鱼邮件席卷全球企业，安全专家紧急预警

    例如：真实域名： microsoft.com伪造域名： rnicrosoft.com在邮件客户端预览窗格、手机通知栏或 Outlook 快速查看模式下，用户往往只扫一眼发件人名称（如“Microsoft...Office 365 数据，从而绕过密码直接获取 API Token。...阶段4：横向移动与持久化一旦获得有效凭据，攻击者立即使用 合法工具（如 PowerShell + Azure AD Graph API） 进行内网侦察：# 示例：使用窃取的凭据查询Azure AD用户列表...攻击者在窃取采购经理邮箱后，篡改供应商银行账户信息，成功截获一笔 150 万欧元的货款。...芦笛总结道，“过去比谁的病毒更隐蔽，现在比谁的自动化响应更快。而在这场竞赛中，人的判断力仍是最后一道防线。”

    22110

    【愚公系列】2023年07月 .NET CORE工具案例-GraphQL.Server（Azure Functions的依赖注入）

    GraphQL旨在解决RESTful API的一些限制，如需要多次请求才能获取完整数据、难以扩展、无法精确控制数据返回等。...定义Resolver：Resolver是用来实际获取数据的代码，根据Schema中的查询字段获取实际数据。 编写查询：根据需要编写查询，查询可以包含多个字段和参数，并且可以进行嵌套。...RESTful API的响应是基于请求中的URI和动词的，不能跨越这些边界。 GraphQL使用单个端点来获取和修改数据，使用查询语言来指定所需的数据。...GraphQL允许在一个请求中获取多个资源，并且可以指定所需的字段和关系，避免了不必要的数据传输，更加高效。...操作名称在关键字“query”或“mutation”之后的花括号之间定义。 例如： query getPerson($id: ID!)

    29700
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券