用途：当目标存在 owa.、mail.、webmail.、exchange. 或 autodiscover. 子域，crt.sh 出现 Exchange 相关 SAN，或 443 端口返回 NTLM/Negotiate 认证头时，用于对 Exchange/OWA 进行侦察。
主要能力：一是 Exchange 检测与指纹识别，通过 curl 读取响应头中的 x-owa-version、x-feserver 等判断版本与产品（如 15.1 对应 Exchange 2016、15.2 对应 2019），并探测 /owa/auth/logon.aspx、/ecp/、/ews/、/autodiscover/、/mapi/、/Microsoft-Server-ActiveSync、/rpc/、/owa/healthcheck.htm 等端点状态。二是 NTLM Type-2 挑战捕获与解码，发送 Base64 的 Negotiate Type-1 消息，用 python3 解析 AV_PAIRS，获取 NetBIOS 计算机名、NetBIOS 域、DNS 域名、产品版本、时间戳等，可能导致 AD 域信息泄露。三是密码喷洒面评估，快速测试是否限速、Basic Auth 是否启用；四是 ADFS/Office 365 混合环境侦察，检查 sts 域、getuserrealm.srf 与 autodiscover，可能泄露内部服务器名。
使用方式：需终端、curl、python3，以及目标 Exchange/OWA URL；喷洒还需用户名列表和候选口令。核心检测命令形如 curl --max-time 30 --connect-timeout 10 -skI "https://TARGET/owa/"，NTLM 挑战使用 -H "Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAGAbEdAAAADw=="。仅在明确授权和获批身份下进行口令或锁定测试。
限制：NTLM 中继需特定网络位置，除非控制 Exchange 可达的机器，否则无法远程利用；现代 Exchange（Exchange Online、2019+）默认阻止 Basic Auth，需测试 Modern Auth（OAuth2）；账户锁定策略各异，喷洒前先用单个已知错误口令测试；ADFS 与 Exchange 是不同服务，攻击面不同。资料未提供收费、价格或平台信息。