hydra

聊天 · 讨论 · 新闻通讯 · 文档 · 试用 Ory Network · 职位 Ory Hydra 是一个经过加固、通过 OpenID 认证的 OAuth 2.0 服务器和 OpenID Connect 提供程序，针对低延迟、高吞吐量和低资源 消耗进行了优化。它通过登录和 同意应用连接到您现有的身份提供商，让您对用户界面和体验拥有绝对控制权。 什么是 Ory Hydra？ 为什么选择 Ory Hydra OAuth2 和 OpenID Connect：开放标准 OpenID Connect 认证 部署选项 在 Ory Network 上使用 Ory Hydra 自托管 Ory Hyd...

CVE-2026-24055-OAuth-Langfuse

CVE-2026-24055 — Unauthenticated Slack OAuth Install in Langfuse Đồ án môn Bảo mật Web và Ứng dụng — Nhóm 06, lớp NT213.Q21.ANTT 📌 Tóm tắt Dự án tái hiện lại reproduce một lỗ hổng bảo mật thực tế đã được công bố CVE-2026-24055 trên nền tảng Langfuse — một endpoint OAuth cho phép kẻ tấn công chiếm...

OAuth-Request-Crafter

OAuth-Request-Crafter OAuth Request Crafterは、OAuth署名で保護されたURLを操作するためのツールです。 Features GET、POST、PUT、DELETEに対応 リクエストをプロキシ その場でURL、パラメータ、ヘッダーを改変 追加のヘッダーとCookieを追加 なぜ？ OAuth署名で保護されたURLを扱う場合、改変やリクエスト発行のたびに、有効な署名とnonceで保護されたパラメータを生成するツールを使い、プロキシに追加してリクエストを成功させる必要があります。これは毎回手動で行う必要があるため、非常に面倒です。 OAuth...

Jira-Scan

Jira-Scan Python 3でのみテスト済み httpまたはhttpsを付けずにテストするウェブサイトのリストを指定してください。これにより、各サイトのSSRF脆弱性をテストします。 DOのVPSを使用してください CVE-2017-9506 Atlassian OAuth Plugin の IconUriServlet は、バージョン 1.3.0 以降で 1.9.12 未満、およびバージョン 2.0.0 以降で 2.0.4...

TokenFlare

TokenFlare 无服务器 AITM 钓鱼模拟框架（用于 Entra ID / M365） 功能特点 精简：核心逻辑（src/worker.js 中仅约 530 行 JavaScript）。 模块化：支持多种 OAuth 流程，并内置 Intune 条件访问绕过 支持 易于调整：通过半交互式 tokenflare configure campaign 子命令，设置客户端品牌、URL 结构（自定义诱饵路径和参数）、完成认证后的最终重定向等。 本地或远程部署：支持使用 Certbot 为您获取 SSL 证书，或直接部署到 CF。 内置 OpSec：阻止机器人和爬虫，您的钓鱼活动不会在 1...

Microsoft365_devicePhish

Microsoft365devicePhish Microsoft 365 OAuth 認可フローを悪用したフィッシング攻撃 これは、攻撃者が Microsoft 365 の OAuth 認可フローに対してフィッシング攻撃を実行できるようにするシンプルな概念実証スクリプトです。これを使用すると、Microsoft の OAuth API エンドポイントに接続して usercode と devicecode を生成し、フィッシング攻撃が成功した場合に被害ユーザーの accesstoken を取得できます。その後、そのトークンを使用して、被害ユーザーに代わって Microsoft Graph...

M365Pwned

M365Pwned Microsoft Graph API経由でMicrosoft 365を攻略するためのレッドチームツール。 アプリケーションレベルのOAuthトークンを使用してM365環境からデータを列挙・検索・窃取するための2つのWinForms GUIツールです。ユーザー操作は不要です。 Tool| 対象| 機能 ---|---|--- MailPwned-GUI.ps1| Exchange Online / Outlook| メールボックスの閲覧、メールの検索、添付ファイルのダウンロード、なりすましメールの送信 SharePwned-GUI.ps1| SharePoint /...

EasyTokens

EasyTokens デバイスコードフィッシングサーバー。敵対的エミュレーション用。Microsoft 365 OAuthトークンをDevice Authorization Grantフローでキャプチャします。GraphSpyに触発されました。 警告 — 許可された使用のみ。 このツールは、明示的な書面による許可を得たペネトレーションテスターおよびレッドチームメンバーを対象としています。誤用はコンピュータ不正使用法に違反する可能性があります。 仕組み 1. オペレーターはオペレーターUIを介してデバイスコードキャンペーン を作成します。 2...

hulak

GitネイティブAPIクライアント（暗号化シークレット対応）。 REST · GraphQL · OAuth クイックスタート • GraphQLエクスプローラー • プロジェクト構成 • ドキュメント 1つのリクエスト、ディレクトリ全体、またはインタラクティブモードで実行 hulak run ./requests/ Hulak はプロジェクト内のリクエストファイルを直接実行します。ディレクトリの並行実行に対応しています。hulak を単独で実行すると、インタラクティブなピッカーにフォールバックします。 専用 GraphQL エクスプローラー...

cve-2022-22954

CVE-2022-22954 このパッケージは、CVE-2022-22954 の試行およびエクスプロイトの一部を検出し、通知を生成し、またエクスプロイトURIと攻撃者に返信されたデータの最初の4KBをレスポンスとして含めます。この攻撃の検出はログ分析からより直接的に行えますが、このパッケージは攻撃者に返されたレスポンスをログに記録してインシデントレスポンスを支援します。 サンプル通知 このパッケージからは2種類の通知が生成されます。 VMWareRCE2022::ExploitAttempt、および VMWareRCE2022::ExploitSuccess...

oauthseeker

OAuthSeeker OAuthSeeker は、Microsoft Azure および Office365 内でのユーザー ID を侵害するために、悪意のある OAuth アプリケーションを使用してフィッシング攻撃を実行するレッドチームツールです。 🚀 主な機能 OAuthSeeker には以下の主要な機能があります: Azure アプリ OAuth フィッシング: Microsoft Azure および Office365 ユーザーを標的とした OAuth フィッシング攻撃を実行し、Microsoft Graph API および Microsoft Azure...

CVE-2026-51954

製品: Webasyst Framework 影響を受けるバージョン: ≤ 4.0.3 深刻度: 高 CVSS 3.1: 8.0 説明 Webasyst Framework 4.0.3 以前には OAuth 2.0 実装の欠陥が存在し、リモートの未認証攻撃者が、被害者が通常の認可承認以外の操作を一切行う必要なく、OAuth フロー中に発行される認可資格情報を傍受することが可能です。不適切な検証により、攻撃者は永続的な API アクセストークンを取得し、被害者の Webasyst アカウント全体に対して完全かつ無制限の API アクセスを得ることができます。 クレジット Saleh...

o365-attack-toolkit

o365-attack-toolkit とは o365-attack-toolkit を使用すると、オペレーターは OAuth フィッシング攻撃を実行できます。 従来の静的な定義モデルから、アカウントとリアルタイムで完全に「対話的」に動作するモデルに移行することにしました。 主な変更点 対話型メール検索 – ユーザーのメールを、まるで完全にアクセス権があるかのように検索できます。 メール送信 – ユーザーのメールボックスから、添付ファイル付きの HTML/TEXT メールを送信できます。 対話型ファイル検索とダウンロード –...

python-inquestlabs

2025年11月に廃止 inquestlabs InQuest Labs API と対話するための Pythonic なインターフェースおよびコマンドラインツールです。この API との対話に API キーは 不要 であることに注意してください。API キーがあれば、ルックバック期間を延長し、レート制限を解除し、利用可能なサンプルをダウンロードできます。ユーザーは OAuth を介してサインインして API キーを生成できます。サインインは無料です。認証は LinkedIn、Twitter、Google、Github に対応しています。 検索可能な API...

API-Security-Checklist

English | 繁中版 | 简中版 | العربية | Azərbaycan | Български | বাংলা | Català | Čeština | Deutsch | Ελληνικά | Español | فارسی | Français | हिंदी | Indonesia | Italiano | 한국어 | ພາສາລາວ | Македонски | മലയാളം | Монгол | Nederlands | Polski | Português Brasil | Русский | ไทย | Türkçe | Українська | Tiếng...

OpenAM

Open Access Management（OpenAM）は、認証、SSO、認可、フェデレーション、エンタイトルメント、Webサービスセキュリティを含むアクセス管理ソリューションです。 クロスドメインシングルサインオン（CDSSO）、SAML 2.0、OAuth 2.0、OpenID Connectにより、OpenAMはレガシーアプリケーション、カスタムアプリケーション、クラウドアプリケーションと、変更を必要とせずに簡単に統合できます。 これは開発者に優しいオープンソースの制御ソリューションであり、ユーザーのデジタルアイデンティティを所有し保護することができます。 主な機能 認証管理...

FlowAnalyzer

Flow Analyzer Flow Analyzer 旨在帮助从底层理解和测试 OAuth 2.0 授权类型（Grants）/流程（Flows）。 尽管我的用例来自安全领域，但从工程师的角度来看，它也同样有参考价值 😊 你可以在 /Flows 目录下找到用于执行这些流程的 notebook 文件，并在 /Flows/Flows.md 中找到每个流程的简要说明。 为了保持整洁，我将各个流程分别放在对应的目录中！ 如果你有兴趣尝试证书认证，请查看 /CertSetup 目录，了解具体做法和配置方法。 设置： 要开始使用，请先查看 SETUP.md，只需进行一点简单的设置即可让一切正常运行 ...

CVE-2023-24955-PoC

CVE-2023-24955-PoC Microsoft SharePoint 2019 用のエクスプロイト CVE-2023-24955 という脆弱性のために公開されたエクスプロイトです。コードを見たところ、resolveTargetInfo と getOAuthInfo にバグがありました。それを修正したので、今あなたのために提供します。 ❗❗❗❗❗❗ Python2 で実行する必要があることを忘れないでください（私は python2.7 で試しました）❗❗❗❗❗❗ 例：python2.7 CVE-2023-24955.py https://google.com...

squarephish

SquarePhish SquarePhish は、OAuth デバイスコード認証フローと QR コードを組み合わせた手法を利用する高度なフィッシングツールです。 OAuth デバイスコードフローをフィッシング攻撃に使用する詳細については、PhishInSuits を参照してください。 / | | | | | | | | | | | | | \ \ / | | | |/ | '/ \ /| ' | / | ' \ | | | || | | | | | / | | | | | \ \ | | | |/ , |,|,|| || || |||/| || | | || | | / | O...

squarephish

SquarePhish SquarePhish is an advanced phishing tool that uses a technique combining the OAuth Device code authentication flow and QR codes. See PhishInSuits for more details on using OAuth Device Code flow for phishing attacks. / | | | | | | | | | | | | | \ \ / | | | |/ | '/ \ /| ' | / | ' \ | |...