用途：在已获授权的前提下，对使用 Microsoft 365 / Entra ID 的目标进行红队攻击链测试，包括租户发现、凭据喷洒、用户枚举与条件访问分析。
触发场景：目标使用 M365 / Entra ID（autodiscover 记录、login.microsoftonline.com 跳转、.onmicrosoft.com、-my.sharepoint.com、enterpriseregistration.、enterpriseenrollment.）；持有企业邮箱列表或泄露凭据；涉及凭据喷洒、Entra 攻击、M365 账户接管；客户提及条件访问、MFA 绕过、合规设备。不适用于纯本地 Active Directory、服务间令牌攻击、租户发现（用 msftrecon）、需钓鱼的攻击链。
主要能力：
- 租户发现：用 msftrecon -d <domain> 对每个自有域名枚举，关键字段含 Tenant ID、Federation Namespace Type（Managed/Federated）、SharePoint Detected、Teams/Skype、Admin Consent Endpoint。多个姊妹域名可能是独立租户，各为独立攻击面。
- AADSTS 码解释：50034 用户不存在（不计锁定）；50126 密码错误（+1）；50053 已锁定；53003/50076/50079/50158/530003 均表示密码正确但被 CA/MFA/外部认证/设备状态拦截。
- Smart Lockout 纪律：默认 10 次失败 10 分钟→锁 1 分钟，20 次后递增；计数器跨所有认证流共享。建议每用户全程 ≤1–2 次尝试，状态文件原子写入，只按每人 1 次可保证不触发锁定，任何 50053 可视为既有锁定。
- 用户枚举：getuserrealm.srf、GetCredentialType、autodiscover.json 已被加固；OneDrive 个人站点差分（/personal/<user>_<domain>_com/_layouts/15/onedrive.aspx，302 存在 / 404 不存在）仍可用，需租户已启用 SharePoint，微软可能随时加固。
- ROPC 凭据验证：单次尝试校验脚本，必须解析 JSON 后检查 "access_token" 键，不可对原始响应做子串匹配——AADSTS50076 的 claims 字段含字面 "access_token" 子串，会导致误报。
- 条件访问绕过选项：不同 client_id、不同 resource、Basic Auth、FOCI、device-code、合规设备模拟、AiTM 会话 Cookie 盗窃、SAML SSO 不同 SP、VPN 地理绕过，并列明各自 2026 年状态。
- 攻击者活动检测：按 1 次/人上限仍见多处 50053，说明有外部攻击者正在喷洒；可对锁定用户聚类、对比喷洒前后锁定数。
使用方式：先用 msftrecon 枚举租户，再按状态文件控制每人尝试次数执行 ROPC 校验；当返回 53003 时可用 Playwright 走 SAML SSO 获取 CA 拦截页作为证据；每次尝试记录 JSONL 日志。
限制：所有操作须在授权范围内；Basic Auth 多数已禁用；合规设备模拟通常不可行；部分用户可能在 Entra 存在但未开通 OneDrive。资料未提供具体收费标准、平台支持范围及其他信息。