SlackPirate - Outil d'énumération et d'extraction Slack

Ceci est un outil développé en Python qui utilise les API Slack natives pour extraire des informations 'intéressantes' d'un espace de travail Slack à partir d'un token d'accès.

Depuis mai 2018, Slack compte plus de 8 millions de clients et ce nombre augmente rapidement - les possibilités d'intégration et de 'ChatOps' sont infinies et permettent aux équipes (pas seulement aux développeurs !) de créer des workflows et des interactions avec des bots/applications Slack très puissants.

Comme c'est souvent le cas dans les entreprises, grandes ou petites, il n'est pas rare que des outils comme Slack passent sous le radar de la gouvernance/politique de sécurité informatique, ce qui conduit finalement à des situations précaires où des informations sensibles et confidentielles se retrouvent là où elles ne devraient pas.

L'objectif de cet outil est double :

• Les red-teamers peuvent l'utiliser pour identifier et extraire des informations sensibles, documents, identifiants, etc. de Slack à partir d'un compte à faibles privilèges dans l'espace de travail de l'organisation. Cela pourrait permettre à un attaquant de pivoter vers d'autres systèmes et/ou d'obtenir une connaissance bien plus intime du fonctionnement interne des systèmes/applications de l'entreprise.
• Les blue-teamers peuvent l'utiliser pour identifier et détecter des informations sensibles dans l'espace de travail qui ne devraient peut-être pas s'y trouver en premier lieu. Les blue-teamers peuvent utiliser ces informations à des fins de formation et de sensibilisation internes en démontrant la sortie de l'outil et le type de 'choses' qui pourraient être utilisées et abusées par des attaquants (internes aussi bien qu'externes).

L'outil vous permet de rassembler facilement des informations sensibles pour une consultation hors ligne à votre convenance.

Remarque : Je suis un n00b en Python et je ne doute pas que le script puisse être optimisé et amélioré massivement - n'hésitez pas à faire des pull requests ; je les examinera et les fusionnerai si nécessaire !

Collecte d'informations

L'outil utilise les API Slack natives pour extraire des informations 'intéressantes' et recherche actuellement les informations suivantes :

• Afficher sur la sortie standard les domaines (s'il y en a) qui sont autorisés à s'inscrire dans l'espace de travail - j'ai vu des domaines obsolètes, anciens et oubliés ici qui peuvent être achetés et utilisés pour s'inscrire dans l'espace de travail
• Liens vers des buckets S3
• Mots de passe
• Clés d'accès/secrètes AWS
• Clés privées
• Messages épinglés sur tous les canaux
• Références à des liens et des URL qui pourraient donner un accès supplémentaire à des documents sensibles - pensez : Google Docs, invitations Trello, liens vers des systèmes internes, etc.
• Fichiers pouvant contenir des informations sensibles comme .key, .sh, les mots "password" ou "secret" intégrés dans un document, etc.

Cookie Slack

L'application web Slack utilise un certain nombre de cookies - celui qui présente un intérêt particulier s'appelle, attendez... d. Ce cookie d est le même pour tous les espaces de travail auxquels la victime a accès. En pratique, cela signifie qu'un seul cookie d volé permettrait à un attaquant d'accéder à tous les espaces de travail auxquels la victime est connectée ; mon expérience avec l'application web Slack est qu'une fois connecté, vous restez connecté indéfiniment.

Token Slack

Le token API Slack est un token par espace de travail. Un token ne peut pas (à ma connaissance) accéder à d'autres espaces de travail comme le fait le cookie d ci-dessus qui donne accès à tous les espaces de travail.

Pour que l'outil recherche et extraie des informations, vous devez lui fournir un token API en plus d'un cookie Slack. Ce token est inclus dans les données de formulaire des requêtes envoyées à l'API Slack depuis le client. Donc, pour utiliser SlackPirate, vous devez fournir les informations suivantes :

• Fournissez à l'outil un cookie d en utilisant le drapeau --cookie. L'outil affichera les espaces de travail et les tokens associés
• Fournissez à l'outil un token en utilisant le drapeau --token. Vous pouvez le trouver soit en utilisant les outils de développement ou une autre forme de surveillance réseau, soit en fouillant la mémoire du processus Slack pour le trouver. Il commence par xoxc-

Assurez-vous de passer à la fois un token et un cookie - vous avez besoin des deux pour pouvoir vous authentifier

Construction

Le script a été développé, testé et confirmé fonctionnel sur Python 3.5, 3.6 et 3.7. Un test rapide sur Python 2 a présenté quelques problèmes de compatibilité.

Linux avec virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• source SlackPirate/bin/activate
• pip install -r requirements.txt
• ./SlackPirate.py --help

Linux sans virtualenv

• git clone https://github.com/emtunc/SlackPirate
• chmod +x SlackPirate.py
• pip install -r requirements.txt
• ./SlackPirate.py --help

Windows avec virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• SlackPirate\Scripts\activate.bat
• pip install -r requirements.txt
• python SlackPirate.py --help

Windows sans virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install -r requirements.txt
• python SlackPirate.py --help

Utilisation

python3 SlackPirate.py --help

• Affiche le menu d'aide - il comprend des informations sur tous les modules de scan que vous pouvez explicitement sélectionner ou ignorer

python3 SlackPirate.py --interactive

• Le mode interactif indique à l'outil de vous permettre de fournir un token ou un cookie, et de choisir les scans à exécuter via une interface console plutôt que via des arguments en ligne de commande.

python3 SlackPirate.py --cookie <cookie>

Cela fera ce qui suit :

• Trouver tous les espaces de travail associés accessibles avec ce cookie
• Se connecter à tous les espaces de travail retournés
• Chercher des tokens API dans chaque espace de travail retourné
• Afficher sur la sortie standard pour utilisation dans la commande suivante

python3 SlackPirate.py --token <token>

Cela fera ce qui suit :

• Vérifier la validité du token et ne continuer que si Slack retourne True
• Afficher sur la sortie standard si le token fourni a les privilèges admin, owner ou primary_owner
• Afficher sur la sortie standard si l'outil a trouvé des @domaines pouvant être utilisés pour s'inscrire dans l'espace de travail Slack (vous pourriez être surpris par ce que vous trouverez ici - si vous avez de la chance, vous trouverez un domaine ancien, inutilisé et enregistrable)
• Décharger les logs d'accès de l'équipe au format .json si le token fourni est un token privilégié
• Décharger la liste des utilisateurs au format .json
• Trouver des références vers des buckets S3
• Trouver des références vers des mots de passe et autres identifiants
• Trouver des références vers des clés AWS
• Trouver des références vers des clés privées
• Trouver des références vers des messages épinglés sur tous les canaux Slack
• Trouver des références vers des URL et liens intéressants
• Enfin, l'outil tentera de télécharger des fichiers basés sur des mots-clés prédéfinis

python3 SlackPirate.py --token <token> --s3-scan

• Cela indiquera à l'outil d'exécuter uniquement le scan S3

python3 SlackPirate.py --token <token> --no-s3-scan

• Cela indiquera à l'outil d'exécuter tous les scans sauf le scan S3

python3 SlackPirate.py --token <token> --verbose

• Le mode verbeux générera des fichiers en .CSV - fournira beaucoup plus d'informations telles que les noms de canaux, les noms d'utilisateurs, les liens permanents et plus encore.

Captures d'écran

Rejoignez la conversation

Un espace de travail Slack public a été mis en place où tout le monde peut rejoindre et discuter des nouvelles fonctionnalités, des changements, des demandes de fonctionnalités ou simplement demander de l'aide. Voici le lien d'invitation : https://join.slack.com/t/slackpirate/shared_invite/zt-6o3d9tjq-PhbMxtM2o5ALgFkOB9V_dg