文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

.NET周报 【6月第4期 2023-06-25】

ASP.NET Core利用AuthenticationMiddleware中间件完成针对请求的认证，并提供了用于登录、注销以及“质询”的API，本篇文章利用它们使用最简单的代码实现这些功能。...Microsoft Forms 是使用 .NET Framework 4.7.2 的 WebForms 和 Web API 构建的微服务，但前端 REST API 和后端 REST API 服务已迁移到...迁移的方法是首先删除HttpContext，然后更新依赖项并将项目更改为多目标构建，例如netstandard2.0、net472、net6.0。当时我们还介绍了多目标构建增加带来的问题。...【英文】使用委派权限和 Microsoft Graph 在 ASP.NET Core 中重置密码 https://damienbod.com/2023/06/19/reset-passwords-in-asp-net-core-using-delegated-permissions-and-microsoft-graph.../ 了解如何在 ASP.NET Core 应用程序中使用 Microsoft Graph 重置用户密码。

1.6K20
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    云邮箱钓鱼攻击趋势与企业防御体系重构

    例如，针对Outlook用户的钓鱼邮件常包含以下特征：主题行：“您的邮件已被隔离 – 需要您确认释放”正文引用Microsoft Defender for Office 365的真实隔离策略编号按钮样式复刻...3.3 用户教育的形式化安全意识培训多停留在“勿点不明链接”层面，未针对高发话术进行场景化演练。例如，员工能识别“银行账户异常”邮件，却对“邮件隔离释放”通知缺乏警惕。...关键措施包括：自动化会话吊销：通过API批量注销用户所有活动会话；凭据紧急重置：强制更改密码并撤销刷新令牌；行为回溯：利用审计日志定位首次异常活动时间点。...Microsoft Graph API吊销会话示例：import requestsdef revoke_user_sessions(user_id, access_token):url = f"https...://graph.microsoft.com/v1.0/users/{user_id}/revokeSignInSessions"headers = {"Authorization": f"Bearer

    18010

    基于恶意OAuth应用的MFA绕过攻击：微软身份体系中的新型钓鱼威胁研究

    针对此威胁，本文提出一套涵盖身份治理、行为监控与自动化响应的纵深防御框架，并提供可部署的PowerShell审计脚本、YARA规则及条件访问策略配置示例。...关键词：OAuth 2.0；MFA绕过；Microsoft Entra ID；钓鱼攻击；身份安全；API权限；条件访问；第三方应用治理1 引言随着云办公的普及，Microsoft 365已成为全球企业数字基础设施的核心组成部分...（Access Token）与刷新令牌（Refresh Token）；应用使用令牌调用Microsoft Graph API。...3.4 数据窃取与横向移动获得令牌后，攻击者可调用Microsoft Graph API执行以下操作：# 读取最新100封邮件Invoke-RestMethod -Uri "https://graph.microsoft.com...4.3 刷新令牌生命周期过长在未启用条件访问（Conditional Access）的情况下，刷新令牌有效期可达90天。即使用户更改密码，旧令牌仍有效，导致凭证轮换失效。

    18710

    基于OneDrive的高级鱼叉钓鱼攻击对C级高管身份安全的威胁与防御机制研究

    一、引言近年来，针对企业高层管理人员（C-level executives）的网络攻击呈现出高度定向化、技术复杂化与社会工程深度融合的趋势。...2025年披露的一起新型攻击事件显示，攻击者利用Microsoft OneDrive作为主要传播媒介，通过伪造人力资源部门关于薪酬调整或股权授予的通知邮件，诱导目标点击嵌入的共享链接。...搜索并下载敏感文档：利用Graph API遍历OneDrive与SharePoint中的文件夹，下载包含“NDA”、“Term Sheet”、“Due Diligence”等关键词的文档。...以下Python脚本利用Microsoft Graph API实现授权审计：import requestsdef audit_oauth_apps(user_token):headers = {"Authorization...": f"Bearer {user_token}"}url = "https://graph.microsoft.com/v1.0/me/oauth2PermissionGrants"response

    18210

    微软365“设备代码钓鱼”风暴来袭：无需密码，黑客秒控企业邮箱

    网络安全公司 Proofpoint 近日披露，一种利用 Microsoft OAuth 2.0 设备授权流程（Device Code Flow） 的新型钓鱼手法正大规模针对 Microsoft 365...一旦用户输入代码并点击“下一步”，系统会要求其使用 Microsoft 365 账户登录——此时 MFA 可能被触发，用户收到短信或 Authenticator 推送通知，并完成验证。...更危险的是，一旦获得 Refresh Token，攻击者可长期维持访问，即使用户更改密码也无效——因为 OAuth 令牌独立于密码体系。...Graph API 窃取数据breakelif token_resp.json().get("error") == "authorization_pending":time.sleep(5)else:...print("❌ 授权失败:", token_resp.text)break一旦拿到 access_token，攻击者即可调用 Microsoft Graph API 执行任意操作：# 示例：读取受害者最近

    11010

    你打出去的“客服电话”，正在把黑客请进公司内网——Microsoft Teams通知成新型钓鱼跳板，回拨型攻击席卷全球企业

    一场大规模“回拨型钓鱼”（Callback Phishing）行动正利用Microsoft Teams的通知机制，绕过传统邮件安全防线，将企业员工亲手变成“开门人”。...Microsoft Teams作为全球超3亿用户使用的协作平台，其通知邮件由微软官方域名 teams.mail.microsoft.com 发出，具备完整的SPF、DKIM、DMARC认证。...更棘手的是，Teams通知属于企业日常协作的一部分。在Microsoft 365深度集成的环境中，员工每天可能收到数十条此类通知，早已形成“条件反射式信任”。...邮件层：增强Teams通知监控限制Teams外部邀请：在Microsoft 365管理中心配置策略，禁止非组织成员创建团队或邀请用户；监控异常团队命名：通过Microsoft Graph API定期扫描团队名称...，识别含“PayPal”“Billing”“Urgent”等关键词的可疑实体；# 示例：通过Graph API列出所有团队GET https://graph.microsoft.com/v1.0/groups

    10110

    ConsentFix攻击机制与OAuth授权滥用的防御对策研究

    一旦授权成功，即使用户更改密码或启用MFA，攻击者仍可通过已授权的应用持续访问邮箱、日历、文件等敏感资源。...Graph API读取邮件、发送钓鱼邮件、下载OneDrive文件等。...更严重的是，refresh_token可长期使用（默认90天，可配置更长），即使用户更改密码，授权依然有效。...（二）策略管理层：建立授权生命周期管理定期授权审计：每季度导出全组织应用授权清单，清理未使用或来源不明的应用；实施最小权限原则：推动业务部门使用权限更细的现代API（如Microsoft Graph的delegated...permissions with scopes）；自动化撤销机制：当检测到可疑活动时，自动调用Microsoft Graph API撤销相关应用授权：# 使用Microsoft Graph API撤销用户授权

    14410

    基于OAuth同意滥用的假冒微软应用钓鱼攻击研究

    此类攻击不依赖凭据窃取，而是滥用OAuth 2.0授权框架中的“用户同意”流程，使恶意应用获得长期有效的刷新令牌（refresh token），进而通过Microsoft Graph API静默读取邮件...关键词：OAuth 同意滥用；假冒微软应用；Entra ID；多因素认证绕过；Graph API；条件访问1 引言多因素认证（MFA）作为现代身份安全的核心防线，已在绝大多数企业环境中广泛部署。...）；用户点击“接受”，微软返回授权码；应用用授权码向令牌端点兑换访问令牌与刷新令牌；应用使用令牌调用Microsoft Graph API。...://graph.microsoft.com/v1.0/me/messages?...可通过Microsoft Graph API动态评估权限风险：HIGH_RISK_SCOPES = {'Mail.ReadWrite', 'MailboxSettings.ReadWrite','User.ReadWrite.All

    22110

    高级OAuth钓鱼攻击的演化机制与防御体系构建

    尤其在Microsoft 365、Google Workspace等企业生产力平台中，OAuth被深度集成于单点登录（SSO）、API调用、跨应用数据共享等关键场景。...现有研究多集中于OAuth协议的形式化验证或通用安全最佳实践，缺乏对PhaaS驱动下攻击自动化、规模化特性的针对性分析。...向令牌端点换取访问令牌与刷新令牌；Client使用访问令牌调用受保护资源（如Microsoft Graph API）。...获得令牌后，攻击者通过Microsoft Graph API执行侦察：import requeststoken = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx"headers...以下Python脚本利用Microsoft Graph API实现自动化审计：import requestsfrom datetime import datetime, timedeltadef audit_shadow_apps

    25710

    设备代码钓鱼攻击对Microsoft 365 OAuth授权机制的威胁分析与防御策略

    2024至2025年间，Proofpoint等安全厂商多次披露针对该流程的大规模钓鱼活动。...攻击者通过伪造IT部门通知、安全警报或软件更新提示，诱使用户访问看似合法的指令页面，并要求其在https://microsoft.com/devicelogin 输入一串六位字母数字组合的设备代码。...与refresh_token；利用令牌调用Microsoft Graph API，读取邮件、日历、联系人，甚至创建新应用或修改权限。...假设攻击者已注册一个Azure AD应用，client_id为“a1b2c3d4-5678-90ef-ghij-klmnopqrstuv”，并申请了以下API权限：Microsoft Graph: Mail.ReadWrite...组织应开展针对性培训，强调：微软绝不会通过邮件/短信要求用户“输入设备代码”；所有授权操作应明确显示请求权限的应用名称与发布者；用户可在 https://mysignins.microsoft.com/

    10810

    基于电话钓鱼的社会工程入侵路径分析与防御机制研究——以哈佛大学数据泄露事件为例

    文中通过 Python 与 Microsoft Graph Security API 的代码示例，展示如何实现异常登录行为的自动化检测与响应。...经初步调查确认，攻击入口并非来自网络层漏洞或未打补丁的软件，而是一起针对校内行政人员的电话钓鱼事件。...Microsoft Authenticator 通知并点击 Approve”；横向移动：使用获取的会话访问 Power BI 或自定义校友数据库，导出 CSV 文件；数据外传：通过 OneDrive 共享链接或...4.2 检测层：基于行为的异常识别即使攻击者获得凭证，其行为模式通常与合法用户存在差异。可通过 Microsoft Graph Security API 实时监控高风险活动。...此外，通过 Graph API 监控，我们成功捕获了所有模拟的“不可能旅行”与“异常数据访问”事件，验证了检测机制的有效性。

    16100

    New UWP Community Toolkit

    Graph, Twitter and more Microsoft.Toolkit.Uwp.UI UI Packages - Brushes, XAML converters, Visual tree...Microsoft.Toolkit.Uwp.Connectivity API helpers such as BluetoothLEHelper and Networking Microsoft.Toolkit.Uwp.DeveloperTools...和 Sample App 这几个方面，而今天我们也会针对这几个方面的主要更新做开发体验。...下面看一下针对一段 markdown 标记，MarkdownTextBlock 的解析和渲染结果，以及针对 LInk 的点击操作： <controls:MarkdownTextBlock Text...在以下情况下，“我的人脉”通知将回退到 Toast： 通知无法显示 收件人未启用“我的人脉”通知 发件人的联系人未固定到收件人的任务栏 如果“我的人脉”通知回退到 Toast，则将忽略第二个特定于“我的人脉

    2K110

    Microsoft 365 E5 Renew X 部署教程

    Microsoft 365 E5 Renew X Microsoft 365 E5 Renew X是一款网页版的E5续订服务，其依赖网页浏览器呈现支持用户多端操作，完全将E5账户API调用托管在了服务器端因此用户无需电脑也可使用...Microsoft 365 E5 Renew X 由来 Microsoft 365 E5 Renew X为Microsoft 365 E5 Web的升级版，相对于旧版其增强了管理功能且更容易部署，API...主要功能 用户端 两种可选的调用权限：用户未登录作为守护程序调用(需要客户端密码)、程序以登录用户身份直接调用(需要账户密码) API种类齐全：41/30个可选的Microsoft Graph REST...API Beta中的API(未来可能会继续添加) 完全随机的API调用模式：从已选定的API序列中随机抽取一个或几个进行调用（个数和API随机） 完全随机的API调用时间间隔：随机区段1000s-2000s...固定 完全随机的API内容(仅部分API支持)：发送邮件的内容随机 Onedirve上传文件的内容随机 邮件通知服务：支持设置通知邮箱，调用异常会通过邮件通知无需反复登录查看 部署端 平台兼容性：使用Asp.Net

    4K20

    针对政治机构的鱼叉式钓鱼攻击特征与防御体系构建

    针对政治机构特有的工作模式——高流动性、外部协作频繁、信息敏感度高但IT自主权有限——本文提出一套融合身份治理、行为基线建模与最小权限原则的纵深防御框架。...（2.4）横向移动与持久化获取邮箱访问权后，攻击者常利用“自动转发规则”窃取未来邮件，或通过Graph API读取联系人、会议记录，为下一轮攻击提供情报。...部分样本还部署了基于OAuth应用的持久化后门：POST https://graph.microsoft.com/v1.0/me/mailFolders/inbox/messageRulesAuthorization...（5.1）系统架构前端：Outlook插件，提供举报按钮与可疑链接预览；中台：基于Microsoft Graph API的行为分析引擎；后台：条件访问策略管理与OAuth授权审计模块。...（5.2）关键功能代码示例自动检测并阻断恶意邮件转发规则：from microsoft_graph import GraphClientdef detect_malicious_forwarding(user_id

    14710

    基于生产力惯性诱骗的Microsoft 365钓鱼攻击与防御机制研究

    摘要2025年第三季度，网络安全机构监测到多起针对Microsoft 365（M365）用户的高级钓鱼攻击活动。...例如，一封标题为“您有1个未读的共享文档”的邮件，其发件人显示为“Microsoft SharePoint no-reply@microsoft.com”，内容包含一个“立即查看”按钮。...这些内容均来自M365真实通知模板，且常通过移动端推送（如Outlook App通知）增强紧迫感。邮件HTML中嵌入真实Microsoft Logo与CSS样式，提升视觉可信度。...获得有效会话后，攻击者通过Graph API注册恶意OAuth应用：POST https://graph.microsoft.com/v1.0/applicationsContent-Type: application...6 结语新一轮针对Microsoft 365的钓鱼攻击标志着社会工程进入“情境嵌入”阶段。攻击者不再制造异常，而是利用用户对日常办公流程的信任惯性，将恶意操作伪装成正常行为的一部分。

    20110

    教育信息系统中的钓鱼攻击识别与防御机制研究——以滑铁卢地区教育局事件为例

    摘要近年来，针对教育机构的网络钓鱼攻击呈现高频化、精准化和组织化趋势。...邮件内容高度模仿校方正式通知格式，包含WRDSB官方Logo、标准落款及看似合理的请求（如“请立即更新您的Microsoft 365密码以符合新安全政策”）。...通过Microsoft Graph API定期拉取用户授权的应用列表，比对白名单。若发现未经批准的第三方应用请求Mail.Read、Mail.Send等权限，自动撤销授权并告警。...}'}url = "https://graph.microsoft.com/v1.0/me/oauth2PermissionGrants"resp = requests.get(url, headers...6 讨论本框架的有效性依赖于几个前提：一是教育机构具备基础的日志采集与API集成能力；二是管理层愿意投入资源维护白名单与风险规则库；三是用户接受一定程度的交互干预（如二次验证）。

    16210
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券