用途：在获得授权且目标使用 M365/Entra ID 时触发，用于凭据喷洒、密码喷洒、Entra 攻击与 M365 账号接管评估。触发迹象包括 autodiscover 记录、login.microsoftonline.com 跳转、.onmicrosoft.com、-my.sharepoint.com、enterpriseregistration 等；仅限本地上 AD、服务间令牌或需钓鱼的攻击链不适用。
主要能力：先用 msftrecon 做租户发现（-d 域名），关注 Tenant ID、命名空间类型、SharePoint 检测、管理同意端点等；AADSTS 代码速查，其中 53003/50076/50079/50158/530003 表示密码正确即已验证；OneDrive /personal/ 路径 302 与 404 差分做无认证用户枚举；ROPC 单次验证器判定账号类型；SAML SSO 浏览器流程交叉验证并截图留证。
用法与限制：Smart Lockout 默认 10 分钟 10 次失败触发锁定，各认证流共用计数。硬性纪律是每用户每次交互动最多 1–2 次尝试，状态文件原子写入，禁止并发，串行并加入 1.5–5 秒抖动，出现多个 AADSTS50053 即暂停排查。解析响应必须按 JSON 键判断 access_token，不能做子串匹配，因为 MFA 错误体中的 claims 字段含该字符串会造成误判。多个姐妹域可能是独立租户，需分别测试。部分枚举端点已被加固，OneDrive 差分等方法会随时间失效，需使用前重新验证。