سلاك بايريت - أداة تعداد واستخراج معلومات من سلاك

هذه أداة مطورة بلغة بايثون تستخدم واجهات برمجة تطبيقات سلاك الأصلية لاستخراج المعلومات 'المثيرة للاهتمام' من مساحة عمل سلاك باستخدام رمز وصول.

اعتبارًا من مايو 2018، يمتلك سلاك أكثر من 8 ملايين عميل وهذا العدد في ازدياد سريع - إمكانيات التكامل و'ChatOps' لا حصر لها وتتيح للفرق (وليس فقط المطورين!) إنشاء سير عمل قوية جدًا وتفاعلات روبوت/تطبيق سلاك.

كما هو الحال مع الشركات الكبيرة والصغيرة، ليس من غير المألوف أن تمر أدوات مثل سلاك تحت رادار الحوكمة/السياسة الأمنية مما يؤدي في النهاية إلى مواقف خطيرة تنتهي فيها المعلومات الحساسة والسرية في أماكن لا ينبغي أن تكون فيها.

الغرض من هذه الأداة ذو شقين:

• يمكن لأعضاء الفريق الأحمر استخدامها لتحديد واستخراج المعلومات الحساسة والمستندات وبيانات الاعتماد وما إلى ذلك من سلاك باستخدام حساب ذي صلاحيات منخفضة لمساحة العمل الخاصة بالمؤسسة. قد يسمح هذا للمهاجم بالتنقل إلى أنظمة أخرى و/أو الحصول على معرفة أكثر عمقًا وآليات العمل الداخلية للأنظمة/التطبيقات الخاصة بالشركة
• يمكن لأعضاء الفريق الأزرق استخدامها لتحديد واكتشاف المعلومات الحساسة في مساحة العمل التي ربما لا ينبغي أن توجد هناك في المقام الأول. يمكن لأعضاء الفريق الأزرق استخدام هذه المعلومات لأغراض التدريب الداخلي والتوعية من خلال عرض مخرجات الأداة ونوع 'الأشياء' التي يمكن استخدامها وإساءة استخدامها من قبل المهاجمين (الداخليين وكذلك الخارجيين).

تتيح لك الأداة جمع المعلومات الحساسة بسهولة لعرضها دون اتصال بالإنترنت في وقت مناسب لك.

ملاحظة: أنا مبتدئ في بايثون ولا شك لدي أن السكربت يمكن تحسينه وتطويره بشكل كبير - لا تتردد في تقديم طلبات السحب؛ سأقوم بمراجعتها ودمجها حسب الاقتضاء!

جمع المعلومات

تستخدم الأداة واجهات برمجة تطبيقات سلاك الأصلية لاستخراج المعلومات 'المثيرة للاهتمام' وتبحث عن المعلومات التالية، حتى الآن:

• طباعة إلى المخرجات القياسية للنطاقات (إن وجدت) المسموح لها بالتسجيل في مساحة العمل - لقد رأيت نطاقات قديمة ومهملة ومنسية هنا يمكن شراؤها واستخدامها للتسجيل في مساحة العمل
• روابط إلى دلاء S3
• كلمات المرور
• مفاتيح الوصول/السرية لـ AWS
• المفاتيح الخاصة
• الرسائل المثبتة عبر جميع القنوات
• المراجع إلى الروابط وعناوين URL التي قد توفر وصولاً إضافيًا إلى المواد الحساسة - فكر في: مستندات Google، دعوات Trello، روابط إلى أنظمة داخلية، إلخ
• الملفات التي قد تحتوي على معلومات حساسة مثل .key و .sh وكلمات "password" أو "secret" المضمنة في مستند، إلخ

ملف تعريف ارتباط سلاك

يستخدم تطبيق سلاك على الويب عددًا من ملفات تعريف الارتباط - أحدها ذو أهمية خاصة يسمى، انتظره... d . ملف تعريف الارتباط d هذا هو نفسه عبر جميع مساحات العمل التي يمكن للضحية الوصول إليها. ما يعنيه هذا في الواقع هو أن ملف تعريف ارتباط d مسروق واحد قد يسمح للمهاجم بالوصول إلى جميع مساحات العمل التي سجل فيها الضحية الدخول؛ تجربتي مع تطبيق سلاك على الويب هي أنه بمجرد تسجيل الدخول، ستبقى مسجلاً الدخول إلى أجل غير مسمى.

رمز سلاك

رمز واجهة برمجة تطبيقات سلاك هو رمز لكل مساحة عمل. لا يمكن لرمز واحد (على حد علمي) الوصول إلى مساحات عمل أخرى بنفس الطريقة التي يسمح بها ملف تعريف الارتباط d أعلاه بالوصول إلى جميع مساحات العمل.

لكي تبحث الأداة عن المعلومات وتستخرجها، ستحتاج إلى تزويدها برمز API بالإضافة إلى ملف تعريف ارتباط سلاك. يتم تضمين هذا الرمز في بيانات النموذج للطلبات المرسلة إلى واجهة برمجة تطبيقات سلاك من العميل. لذلك لاستخدام SlackPirate، ستحتاج إلى توفير المعلومات التالية:

• قم بتزويد الأداة بملف تعريف ارتباط d باستخدام العلم --cookie . ستقوم الأداة بإخراج مساحات العمل والرموز المرتبطة بها
• قم بتزويد الأداة برمز باستخدام العلم --token . يمكنك العثور عليه إما باستخدام أدوات المطور أو بعض أشكال مراقبة الشبكة الأخرى، أو عن طريق استخراج ذاكرة عملية سلاك له. يبدأ بـ xoxc-

تأكد من تمرير كل من الرمز وملف تعريف الارتباط - ستحتاج إلى كليهما لتتمكن من المصادقة.

البناء

تم تطوير السكربت واختباره وتأكيد عمله على بايثون 3.5 و3.6 و3.7. أظهر اختبار سريع على بايثون 2 بعض مشكلات التوافق.

لينكس مع virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• source SlackPirate/bin/activate
• pip install -r requirements.txt
• ./SlackPirate.py --help

لينكس بدون virtualenv

• git clone https://github.com/emtunc/SlackPirate
• chmod +x SlackPirate.py
• pip install -r requirements.txt
• ./SlackPirate.py --help

ويندوز مع virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• SlackPirate\Scripts\activate.bat
• pip install -r requirements.txt
• python SlackPirate.py --help

ويندوز بدون virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install -r requirements.txt
• python SlackPirate.py --help

الاستخدام

python3 SlackPirate.py --help

• عرض قائمة المساعدة - تتضمن معلومات حول جميع وحدات الفحص التي يمكنك تحديدها أو تجاهلها صراحةً

python3 SlackPirate.py --interactive

• الوضع التفاعلي يوجه الأداة للسماح لك بتقديم رمز أو ملف تعريف ارتباط، واختيار عمليات الفحص لتشغيلها من خلال واجهة وحدة التحكم بدلاً من وسيطات سطر الأوامر.

python3 SlackPirate.py --cookie <cookie>

سيقوم هذا بما يلي:

• العثور على أي مساحات عمل مرتبطة يمكن الوصول إليها باستخدام ملف تعريف الارتباط هذا
• الاتصال بأي مساحات عمل تم إرجاعها
• البحث عن رموز API في كل مساحة عمل تم إرجاعها
• طباعة إلى المخرجات القياسية لاستخدامها في الأمر التالي

python3 SlackPirate.py --token <token>

سيقوم هذا بما يلي:

• التحقق من صحة الرمز والاستمرار فقط إذا أعاد سلاك True
• طباعة إلى المخرجات القياسية إذا كان الرمز المقدم لديه صلاحيات المسؤول أو المالك أو المالك الأساسي
• طباعة إلى المخرجات القياسية إذا وجدت الأداة أي @نطاقات يمكن استخدامها للتسجيل في مساحة عمل سلاك (قد تتفاجأ بما تجده هنا - إذا كنت محظوظًا، ستجد نطاقًا قديمًا غير مستخدم وقابل للتسجيل هنا)
• تفريغ سجلات الوصول للفريق بصيغة .json إذا كان الرمز المقدم هو رمز متميز
• تفريغ قائمة المستخدمين بصيغة .json
• العثور على مراجع لدلاء S3
• العثور على مراجع لكلمات المرور وبيانات اعتماد أخرى
• العثور على مراجع لمفاتيح AWS
• العثور على مراجع للمفاتيح الخاصة
• العثور على مراجع للرسائل المثبتة عبر جميع قنوات سلاك
• العثور على مراجع لعناوين URL وروابط مثيرة للاهتمام
• أخيرًا، ستقوم الأداة بمحاولة تنزيل الملفات بناءً على كلمات رئيسية محددة مسبقًا

python3 SlackPirate.py --token <token> --s3-scan

• سيؤدي هذا إلى توجيه الأداة لتشغيل فحص S3 فقط

python3 SlackPirate.py --token <token> --no-s3-scan

• سيؤدي هذا إلى توجيه الأداة لتشغيل جميع عمليات الفحص باستثناء فحص S3

python3 SlackPirate.py --token <token> --verbose

• الوضع المفصل سيخرج الملفات بصيغة .CSV - سيوفر الكثير من المعلومات الإضافية مثل أسماء القنوات وأسماء المستخدمين والروابط الدائمة والمزيد.

لقطات الشاشة

انضم إلى المحادثة

تم إنشاء مساحة عمل عامة على سلاك حيث يمكن لأي شخص الانضمام ومناقشة الميزات الجديدة أو التغييرات أو طلبات الميزات أو ببساطة طلب المساعدة. إليك رابط الدعوة: https://join.slack.com/t/slackpirate/shared_invite/zt-6o3d9tjq-PhbMxtM2o5ALgFkOB9V_dg