サーバーレス スペクター：TokenFlareがビルトインIntune バイパス付きM365フィッシングを再定義する方法

TokenFlare

Entra ID / M365向けサーバーレスAITMフィッシングシミュレーションフレームワーク

機能

• 軽量：コアロジック（src/worker.jsのみで約530行のJavaScript）。
• モジュール式：複数のOAuthフローに対応し、Intune条件付きアクセスバイパスをサポート
• 簡単に調整可能：クライアントブランディング、URL構造（カスタムルアパスとパラメータ）、認証完了後の最終リダイレクトなど、セミインタラクティブなtokenflare configure campaignサブコマンドで設定できます。
• ローカルまたはリモートデプロイ：Certbotを使用したSSL証明書の取得、またはCFへの直接デプロイメントに対応。
• ビルトイン運用セキュリティ：ボットおよびスクレイパーブロッキング。キャンペーンが10分で発覚することはありません。
• 高速：数分でプロダクション対応インフラを準備可能。

高度な使用事例と今後の開発

TokenFlareは積極的に開発中です。現在および計画中の機能は次のとおりです：

• より良いキャンペーン管理：既存インフラ用の追加コマンド。例：infra cf list、infra cf remove <worker>
• トークン交換：認可コードをアクセストークンとリフレッシュトークンに交換するための/oauth2/v2.0/tokenエンドポイントサポート（開発中）
• パスキーダウングレード攻撃：FIDO2/パスキー要件を備えた環境向けの技術
• Turnstile/reCAPTCHA統合：追加のボット保護が必要なシナリオ向け
• 静的HTMLレスポンス：認証完了前後のカスタムランディングページ。ユーザーをリダイレクトしたくない場合用
• Entra利用規約バイパス：利用規約受け入れ要件を持つ環境向け

TokenFlareの仕組み

コアコンセプトは簡単です：

1. ユーザーがあなたのルアURLをクリックしてTokenFlare Workerに到達し、worker.jsの530行のJavaScriptが実行される
2. WorkerがLogin.microsoftonline.comに対してOAuth2認可フローを開始する
3. ユーザーがMicrosoftの正規のログインページを表示する（設定されている場合、クライアントブランディング付き）
4. ユーザーが認証情報を入力してMFAを完了する
5. MicrosoftがセッションクッキーESTSAUTH、ESTSAUTHPERSISTENTをWorkerに返す
6. Workerが認証情報/クッキーをキャプチャしてあなたのWebhookに転送する
7. ユーザーが正規の宛先にリダイレクトされる（例：彼らが期待していた実際のSharePointサイト）

すべてのTLS、ルーティング、およびエッジインフラストラクチャはCloudFlareによって処理されます。あなたのWorkerはプロキシロジックと認証情報インターセプションに焦点を当てた約530行のJavaScriptです。

インストール・使用