SlackPirate – Tool für Slack-Enumeration und -Extraktion

Dies ist ein in Python entwickeltes Tool, das die nativen Slack-APIs verwendet, um 'interessante' Informationen aus einem Slack-Workspace zu extrahieren, sofern ein Zugriffstoken vorliegt.

Stand Mai 2018 hat Slack über 8 Millionen Kunden und diese Zahl steigt rasant – die Integrations- und 'ChatOps'-Möglichkeiten sind endlos und ermöglichen es Teams (nicht nur Entwicklern!), wirklich leistungsstarke Workflows und Slack-Bot-/Anwendungsinteraktionen zu erstellen.

Wie es bei großen und kleinen Unternehmen üblich ist, ist es nicht ungewöhnlich, dass Tools wie Slack unter dem Radar der Governance/Richtlinien der Informationssicherheit fliegen, was letztlich zu prekären Situationen führt, in denen vertrauliche und sensible Informationen an Orte gelangen, an die sie nicht gehören.

Der Zweck dieses Tools ist zweierlei:

• Red-Teamer können dies verwenden, um sensible Informationen, Dokumente, Anmeldedaten usw. aus Slack zu identifizieren und zu extrahieren, sofern sie ein Konto mit niedrigen Berechtigungen für den Workspace der Organisation haben. Dies könnte einem Angreifer ermöglichen, auf andere Systeme zu wechseln und/oder weitaus intimere Kenntnisse und interne Abläufe von Unternehmenssystemen/-anwendungen zu erlangen.
• Blue-Teamer können dies verwenden, um sensible Informationen im Workspace zu identifizieren und zu erkennen, die dort vielleicht von Anfang an nicht existieren sollten. Blue-Teamer können diese Informationen für interne Schulungs- und Sensibilisierungszwecke nutzen, indem sie die Ausgabe des Tools und die Art der 'Dinge' demonstrieren, die von (internen sowie externen) Angreifern verwendet und missbraucht werden könnten.

Das Tool ermöglicht es Ihnen, sensible Informationen bequem für die Offline-Ansicht zu sammeln.

Hinweis: Ich bin ein Python-N00b und habe keinen Zweifel daran, dass das Skript massiv optimiert und verbessert werden kann – bitte zögern Sie nicht, Pull-Requests zu stellen; ich werde sie prüfen und gegebenenfalls zusammenführen!

Informationssammlung

Das Tool verwendet die nativen Slack-APIs, um 'interessante' Informationen zu extrahieren und sucht derzeit nach folgenden Informationen:

• Gibt die Domänen (falls vorhanden) auf der Standardausgabe aus, die für die Registrierung im Workspace zugelassen sind – ich habe hier veraltete, alte und vergessene Domänen gesehen, die gekauft und zur Registrierung im Workspace verwendet werden können.
• Links zu S3-Buckets
• Passwörter
• AWS-Zugriffs-/Secret-Keys
• Private Keys
• Angeheftete Nachrichten in allen Kanälen
• Verweise auf Links und URLs, die weiteren Zugriff auf sensibles Material bieten könnten – denken Sie an: Google Docs, Trello-Einladungen, Links zu internen Systemen usw.
• Dateien, die sensible Informationen enthalten könnten, wie .key, .sh, die Wörter 'password' oder 'secret' in einem Dokument usw.

Slack Cookie

Die Slack-Webanwendung verwendet eine Reihe von Cookies – das besonders interessante heißt, halten Sie sich fest... d. Dieses d-Cookie ist in allen Workspaces, auf die das Opfer Zugriff hat, dasselbe. In der Praxis bedeutet dies, dass ein einziges gestohlenes d-Cookie einem Angreifer Zugriff auf alle Workspaces verschaffen würde, bei denen das Opfer angemeldet ist; meiner Erfahrung nach bleibt man bei der Slack-Webanwendung nach der Anmeldung auf unbestimmte Zeit angemeldet.

Slack Token

Das Slack-API-Token ist ein Token pro Workspace. Ein Token kann (soweit ich weiß) nicht auf andere Workspaces zugreifen, so wie das d-Cookie oben Zugriff auf alle Workspaces ermöglicht.

Damit das Tool Informationen suchen und extrahieren kann, müssen Sie ihm zusätzlich zu einem Slack-Cookie ein API-Token bereitstellen. Dieses Token ist in den Formulardaten der vom Client an die Slack-API gesendeten Anfragen enthalten. Um SlackPirate zu verwenden, müssen Sie also die folgenden Informationen bereitstellen:

• Geben Sie dem Tool ein d-Cookie mit dem Flag --cookie. Das Tool gibt die zugehörigen Workspaces und Token aus.
• Geben Sie dem Tool ein Token mit dem Flag --token. Sie können dies entweder mit den Entwicklertools oder einer anderen Form der Netzwerküberwachung finden, oder indem Sie den Prozessspeicher von Slack danach durchsuchen. Es beginnt mit xoxc-.

Stellen Sie sicher, dass Sie sowohl ein Token als auch ein Cookie übergeben – Sie benötigen beide, um sich zu authentifizieren.

Erstellung

Das Skript wurde entwickelt, getestet und für Python 3.5, 3.6 und 3.7 bestätigt. Ein schneller Test mit Python 2 ergab einige Kompatibilitätsprobleme.

Linux mit virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• source SlackPirate/bin/activate
• pip install -r requirements.txt
• ./SlackPirate.py --help

Linux ohne virtualenv

• git clone https://github.com/emtunc/SlackPirate
• chmod +x SlackPirate.py
• pip install -r requirements.txt
• ./SlackPirate.py --help

Windows mit virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• SlackPirate\Scripts\activate.bat
• pip install -r requirements.txt
• python SlackPirate.py --help

Windows ohne virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install -r requirements.txt
• python SlackPirate.py --help

Verwendung

python3 SlackPirate.py --help

• Zeigt das Hilfemenü an – dies enthält Informationen zu allen Scanmodulen, die Sie explizit auswählen oder ignorieren können.

python3 SlackPirate.py --interactive

• Der interaktive Modus weist das Tool an, Ihnen zu erlauben, ein Token oder Cookie bereitzustellen und Scans über eine Konsolen-Benutzeroberfläche auszuwählen, anstatt über Befehlszeilenargumente.

python3 SlackPirate.py --cookie <cookie>

Dies wird Folgendes tun:

• Findet alle zugehörigen Workspaces, die mit diesem Cookie aufgerufen werden können.
• Verbindet sich mit allen zurückgegebenen Workspaces.
• Sucht in jedem zurückgegebenen Workspace nach API-Tokens.
• Gibt sie zur Verwendung im nächsten Befehl auf der Standardausgabe aus.

python3 SlackPirate.py --token <token>

Dies wird Folgendes tun:

• Überprüft die Gültigkeit des Tokens und fährt nur fort, wenn Slack True zurückgibt.
• Gibt auf der Standardausgabe aus, ob das bereitgestellte Token Admin-, Owner- oder Primary_Owner-Berechtigungen hat.
• Gibt auf der Standardausgabe aus, ob das Tool @Domains gefunden hat, die für die Registrierung im Slack-Workspace verwendet werden können (Sie werden vielleicht überrascht sein, was Sie hier finden – wenn Sie Glück haben, finden Sie eine alte, ungenutzte, registrierbare Domain).
• Gibt Teamzugriffsprotokolle im .json-Format aus, wenn das bereitgestellte Token privilegiert ist.
• Gibt die Benutzerliste im .json-Format aus.
• Findet Verweise auf S3-Buckets.
• Findet Verweise auf Passwörter und andere Anmeldedaten.
• Findet Verweise auf AWS-Keys.
• Findet Verweise auf private Keys.
• Findet Verweise auf angeheftete Nachrichten in allen Slack-Kanälen.
• Findet Verweise auf interessante URLs und Links.
• Schließlich versucht das Tool, Dateien basierend auf vordefinierten Schlüsselwörtern herunterzuladen.

python3 SlackPirate.py --token <token> --s3-scan

• Dies weist das Tool an, nur den S3-Scan durchzuführen.

python3 SlackPirate.py --token <token> --no-s3-scan

• Dies weist das Tool an, alle Scans außer dem S3-Scan durchzuführen.

python3 SlackPirate.py --token <token> --verbose

• Der ausführliche Modus gibt Dateien im .CSV-Format aus – er liefert viel mehr Informationen wie Kanalnamen, Benutzernamen, Permalinks und mehr.

Screenshots

Diskussion beitreten

Ein öffentlicher Slack-Workspace wurde eingerichtet, dem jeder beitreten kann, um neue Funktionen, Änderungen, Feature-Wünsche zu diskutieren oder einfach um Hilfe zu bitten. Hier ist der Einladungslink: https://join.slack.com/t/slackpirate/shared_invite/zt-6o3d9tjq-PhbMxtM2o5ALgFkOB9V_dg