https://github.com/pykiller/API-T00L

互联网厂商API利用工具。
https://github.com/pykiller/API-T00L

Last synced: 13 days ago
JSON representation

互联网厂商API利用工具。

• Host: GitHub
• URL: https://github.com/pykiller/API-T00L
• Owner: pykiller
• License: gpl-3.0
• Created: 2023-09-11T14:06:45.000Z (over 1 year ago)
• Default Branch: main
• Last Pushed: 2024-09-13T12:11:42.000Z (4 months ago)
• Last Synced: 2024-09-14T01:48:46.597Z (4 months ago)
• Language: Java
• Homepage:
• Size: 8.14 MB
• Stars: 476
• Watchers: 4
• Forks: 50
• Open Issues: 1
• Metadata Files:
  • Readme: README.md
  • License: LICENSE

Awesome Lists containing this project

• awesome-hacking-lists - pykiller/API-T00L - 互联网厂商API利用工具。 (Java)

README

        
# 更新

20240913 v1.3 万万没想到还有更新的一天，由于被催的受不了，修复下回包中文乱码问题。🥲

20230914 v1.2 饼画完了，新增飞书api利用。



20230913 v1.1 修复已知问题，单独把代理做成标签页。



# API-T00L v1.0

期望是针对互联网各大API泄露的利用工具，包含钉钉、企业微信、飞书等。目前只做出了钉钉和企业微信，别问，就是懒。特别鸣谢chatgpt，代码好帮手。

目前界面长这样，布局拉胯，能用就行。



# 食用方法

# 钉钉

## 1、肯定你得有ak、as。填进去获取token



## 2、建用户

最简单的做法，直接填入有效手机号，加入组织中可以直接用手机号登录该企业。

userid不要重了，写大点。

删除按钮是根据userid来删除的

![image](https://github.com/pykiller/API-T00L/assets/38202442/d86b4c2d-68c8-4753-aed3-c32fb47eb3df)

## 3、发公告钓鱼

获取管理员信息，得到管理员userid。

![image](https://github.com/pykiller/API-T00L/assets/38202442/548bfb5f-3106-4a64-b369-9032cc121ae9)

查userid可以得到部门id dept_id，这里只做了对部门发公告，实际操作中针对个人发公告效果不如直接加用户钓鱼好使。

![image](https://github.com/pykiller/API-T00L/assets/38202442/c9c20345-1ea1-4e2c-a5f6-cce58f05a02e)

进一步可以发公告钓鱼

![image](https://github.com/pykiller/API-T00L/assets/38202442/256fd36c-d7aa-405f-bea3-22098a9cc9ad)

## 4、获取应用列表，这个会泄露一些没备案的难搜的资产。

# 企业微信

企业微信相对于钉钉，限制较多，22年后获取的应用Corpsecret需要设置白名单，且无法绕过。并且对于通讯录的Corpsecret需要单独获取。

## 1、用Corpid和Corpsecret获取token

## 2、新建用户，填入有效手机号，加入组织中可以直接用手机号登录该企业。



而且加进去就分配邮箱，可通过邮箱和企业微信钓鱼。



## 3、还可以通过获取邀请二维码加入到企业。





# 飞书

实际利用的较少，一般都是劫持cookie做钓鱼用。

## 1、获取tenant_access_token

## 2、新建用户，填入有效手机号，加入组织中可以直接用手机号登录该企业。

需要注意，open_department_id为查询到的部门id，用户默认是放根部门，比较明显。可以放小部门里。





## 3、公告问题，直接手机号登进去就可以发，没看到发公告的api接口。