TokenTactics与AAD Internals协同使用：提升Azure令牌利用效率指南

TokenTactics与AAD Internals协同使用：提升Azure令牌利用效率指南

【免费下载链接】TokenTacticsAzure JWT Token Manipulation Toolset项目地址: https://gitcode.com/gh_mirrors/to/TokenTactics

在现代云安全环境中，有效管理和分析Azure AD (AAD) 令牌对于安全专业人员至关重要。TokenTactics作为一款强大的Azure JWT令牌操作工具集，与AAD Internals的协同使用能显著提升令牌利用效率。本文将详细介绍如何通过这两款工具的配合，实现从令牌捕获到深度分析的完整工作流，帮助安全从业者快速掌握Azure环境中的身份认证与授权机制。

一、工具组合优势：为什么选择TokenTactics与AAD Internals？

TokenTactics专注于Azure令牌的捕获、刷新与转换，提供了丰富的PowerShell cmdlet（如Get-AzureToken、Invoke-RefreshToMSGraphToken等），而AAD Internals则擅长AAD环境的深度探测与攻击模拟。两者结合可形成互补优势：

• TokenTactics负责令牌生命周期管理：从PRT（Primary Refresh Token）捕获到多服务令牌刷新（支持Graph、Outlook、Teams等15+种服务）
• AAD Internals提供环境渗透能力：包括密码哈希提取、权限提升、域内枚举等高级功能

通过将TokenTactics获取的有效令牌导入AAD Internals，可实现"令牌即入口"的高效渗透测试流程，大幅缩短从初始访问到权限获取的时间。

二、环境准备：快速部署与基础配置

2.1 安装TokenTactics核心组件

1. 克隆项目仓库

   git clone https://gitcode.com/gh_mirrors/to/TokenTactics

2. 导入PowerShell模块

   Import-Module .\TokenTactics.psd1

   模块导入后可通过Get-Command -Module TokenTactics查看所有可用命令，包含令牌获取、解析、刷新等核心功能。

2.2 配置AAD Internals依赖

AAD Internals需独立安装，建议通过PowerShell Gallery获取最新版本：

Install-Module -Name AADInternals -Force

三、协同工作流：从令牌捕获到深度分析

3.1 使用TokenTactics捕获关键令牌

3.1.1 PRT捕获与转换

通过capturetokenphish子模块部署钓鱼服务器，捕获目标用户PRT：

# 部署捕获服务器（需Azure订阅） .\capturetokenphish\deploycaptureserver.ps1 -ResourceGroup "phish-rg" -vmName "token-capture-vm"

捕获后使用Invoke-RefreshToMSGraphToken将PRT转换为Graph API访问令牌，用于后续数据查询。

3.1.2 多服务令牌刷新

TokenTactics支持将基础令牌刷新为多种Azure服务令牌，常用命令包括：

• Invoke-RefreshToOutlookToken：获取Outlook邮件访问权限
• Invoke-RefreshToMSTeamsToken：获取Teams聊天记录访问权限
• Invoke-RefreshToAzureManagementToken：获取Azure资源管理权限

3.2 将令牌导入AAD Internals进行深度利用

3.2.1 令牌注入与权限枚举

将TokenTactics获取的access_token导入AAD Internals：

# 使用AAD Internals分析令牌权限 $token = "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Ik5H..." Import-AADIntAccessToken -AccessToken $token Get-AADIntAccessTokenDetails

3.2.2 跨工具数据联动

结合TokenTactics的Invoke-DumpOWAMailboxViaMSGraphApi与AAD Internals的邮件分析功能，可实现邮箱数据的完整提取与威胁狩猎：

# TokenTactics导出邮件 Invoke-DumpOWAMailboxViaMSGraphApi -AccessToken $graphToken -OutputPath "mailbox_dump/" # AAD Internals分析邮件头信息 Analyze-AADIntEmailHeaders -FolderPath "mailbox_dump/"

四、实战场景：典型攻击链演示

4.1 场景：从令牌获取到Azure资源接管

1. 使用TokenTactics捕获PRT（通过钓鱼或会话劫持）
2. 刷新为Azure管理令牌：Invoke-RefreshToAzureCoreManagementToken
3. AAD Internals枚举订阅：Get-AADIntAzureSubscriptions
4. 部署恶意资源：利用令牌权限创建后门VM

4.2 场景：跨租户数据访问

1. 获取目标租户Token：Get-AzureToken -TenantID "xxxx-xxxx-xxxx"
2. AAD Internals横向移动：Find-AADIntDomainTrusts
3. 数据提取：结合Invoke-DumpOWAMailboxViaMSGraphApi导出跨租户邮件

五、最佳实践与注意事项

1. 令牌安全管理

   • 避免硬编码令牌，使用Invoke-ClearToken及时清理内存
   • 通过Invoke-ParseJWTtoken定期检查令牌有效期与权限范围

2. 工具版本同步

   • TokenTactics通过TokenTactics.psd1管理版本依赖，建议定期更新：

   cd TokenTactics && git pull

3. 合规性提示
   本工具组合仅用于授权的安全测试，未经许可使用可能违反《计算机信息网络安全保护管理办法》及相关法律法规。

六、总结：提升Azure安全运营效率

TokenTactics与AAD Internals的协同使用，为Azure AD令牌操作提供了从"捕获-转换-分析-利用"的全流程解决方案。通过本文介绍的工作流，安全从业者可快速掌握：

• 多场景令牌获取技术（PRT、刷新令牌、访问令牌）
• 跨工具数据联动方法（TokenTactics导出+AAD Internals分析）
• 实战化攻击链构建（从初始访问到权限提升）

建议结合官方文档持续探索工具高级功能，不断优化Azure环境的安全检测与响应能力。

【免费下载链接】TokenTacticsAzure JWT Token Manipulation Toolset项目地址: https://gitcode.com/gh_mirrors/to/TokenTactics