bishopfox/snowpicktrova dati sensibili che trapelano dalle istanze ServiceNow.
snowpick è uno scanner di esposizione per ServiceNow che rileva ACL dei widget mal configurati, controlli di accesso alle API REST ed esposizione di dati non autenticata.
ServiceNow espone i dati attraverso due superfici pubbliche comuni: i widget del Service Portal e l'API REST Table. Quando i controlli di accesso su una delle due superfici sono mal configurati, gli utenti non autenticati potrebbero essere in grado di interrogare record interni come ticket incident, directory utente, articoli della knowledge base e voci del catalogo servizi. snowpick testa entrambe le superfici, separa l'esposizione delle righe dall'evidenza basata solo sul conteggio e produce dettagli di riproduzione per una validazione autorizzata.
snowpick ottiene un token di sessione dalla pagina di login di ServiceNow senza alcuna credenziale, quindi lo usa per interrogare le API interne della piattaforma. Controlla due superfici di attacco:
I widget sono piccole applicazioni che alimentano il Service Portal di ServiceNow. Ognuna ha le proprie impostazioni di controllo accessi. Quando queste impostazioni sono troppo permissive, una sessione non autenticata potrebbe essere in grado di recuperare dati dal widget. snowpick prima chiede all'istanza un elenco dei widget installati, quando possibile, poi sonda ciascuno di essi e verifica se restituisce record o solo evidenze basate sul conteggio.
Table API è un'interfaccia REST su /api/now/table/ per interrogare direttamente le tabelle di ServiceNow. Ha controlli di accesso separati da quelli dei widget, quindi un target può essere bloccato su una superficie e aperto sull'altra. snowpick sonda tabelle di alto valore come sys_user, incident e oauth_entity.
Count oracle. A volte un widget o una tabella conferma che esistono record corrispondenti senza restituire le righe. snowpick lo segnala come count_oracle — non è esposizione completa, ma nemmeno pulito, poiché i conteggi possono essere sondati con filtri per dedurre i dati alla cieca.
❯ go install github.com/BishopFox/snowpick@latest
Oppure compila dal sorgente:
❯ git clone https://github.com/BishopFox/snowpick.git
❯ cd snowpick
❯ go build -o snowpick .
Richiede Go 1.21 o successivo.
Punta snowpick su un'istanza ServiceNow. Non sono necessarie credenziali.
❯ snowpick -target prod.service-now.com
snowpick v1.0.0 | 1 targets | 6 widgets | proxy direct
[!] prod.service-now.com
| ticket-attachments 272 records [internal_operations:inferred]
[*] 1/1 targets complete, 1 with findings
RESULTS
1 targets scanned in 8.2s | 1 reachable | 1 with findings
EXPOSED prod.service-now.com 272 records [internal_operations:inferred]
| ticket-attachments 272 records [internal_operations:inferred]
| ServiceNow Overview and Open House 'How To.... Videos'
| How to - JIRA and Confluence Access Process
| Updating Your Personal Time Zone in ServiceNow
ATTACK SURFACE
ticket-attachments #################### 272 across 1 target
DATA CLASSIFICATION
OPERATIONS 1 finding across 1 target
snowpick scopre automaticamente i widget installati sull'istanza e sonda ciascuno di essi insieme alle sue impostazioni predefinite integrate. I risultati sono classificati per gravità.
Progress markers (left of each host):
[!] findings [+] clean [-] unreachable or no session [*] progress
Summary buckets:
EXPOSED data or a confirmed count came back CLEAN nothing reachable
SKIP no public session (e.g. SSO-only login) DOWN host unreachable
Counts:
272 records total the instance reports as matching
272 records, 10 sampled total, plus the rows snowpick pulled as evidence
Tags:
[pii:observed] a hint, written as category:basis
basis observed = value seen in returned data
inferred = from a table/field/widget name
category pii, credentials, infrastructure,
internal_operations, review_required
[blind oracle] count confirmed but no rows returned (a count_oracle)
[API] finding came from the Table REST API, not a widget
[stats.do] the /stats.do diagnostic endpoint is publicly reachable
Passa un file con un hostname per riga. snowpick li scansiona in parallelo.
❯ snowpick -targets hosts.txt -concurrency 5
snowpick v1.0.0 | 6 targets | 6 widgets | proxy direct
[!] prod.service-now.com
| ticket-attachments 272 records [internal_operations:inferred]
[*] 1/6 targets complete, 1 with findings
[+] staging.service-now.com clean
[*] 2/6 targets complete, 1 with findings
[!] dev.service-now.com [stats.do]
| ticket-attachments 61 records [internal_operations:inferred]
[*] 3/6 targets complete, 2 with findings
[+] sandbox.service-now.com clean
[*] 4/6 targets complete, 2 with findings
[-] internal.service-now.com bootstrap failed: /login.do returned 302
[+] test.service-now.com clean
[*] 6/6 targets complete, 2 with findings
ServiceNow espone anche un'API REST Table su /api/now/table/ per interrogare direttamente le tabelle backend. Questa è una superficie di controllo accessi separata dai widget. Usa -table-api per verificare entrambe.
❯ snowpick -target prod.service-now.com -table-api
snowpick v1.0.0 | 1 targets | 6 widgets | proxy direct
[!] prod.service-now.com
| [API] cmn_department 1,234 records, 10 sampled [infrastructure:inferred]
[*] 1/1 targets complete, 1 with findings
Per i risultati dell'API Table, record_count rappresenta il totale dei record esposti quando ServiceNow restituisce un conteggio totale. sample_count indica quanti record snowpick ha raccolto come evidenza limitata.
Per impostazione predefinita, snowpick controlla un set curato di tabelle ad alto valore (ticket incident, record utente, allegati, ecc.). Con -discover, tenta di enumerare i nomi delle tabelle dall'istanza e li controlla anch'essi.
❯ snowpick -target prod.service-now.com -discover -discover-limit 200
Usa -fingerprint per identificare quale release di ServiceNow sta eseguendo il target. Questo aiuta a determinare quali patch di sicurezza sono applicate.
❯ snowpick -target prod.service-now.com -fingerprint
snowpick v1.0.0 | 1 targets | 6 widgets | proxy direct
[!] prod.service-now.com [Zurich (glide-zurich-07-01-2025__patch7-02-19-2026)] [stats.do]
| ticket-attachments 61 records [internal_operations:inferred]
[*] 1/1 targets complete, 1 with findings
Instrada il traffico attraverso Burp, ZAP o un proxy SOCKS. Usa -rate per limitare le richieste sulle istanze di produzione.
❯ snowpick -target prod.service-now.com -proxy socks5://127.0.0.1:1080 -insecure -rate 200ms
Sopprimi l'output di avanzamento con -quiet. Il JSON va su stdout per impostazione predefinita, o su un file con -output. Il codice di uscita 2 indica che esistono risultati, 1 che uno o più target non hanno potuto essere testati e 0 che la scansione è terminata senza risultati.
❯ snowpick -target prod.service-now.com -quiet -output results.json
❯ echo $?
2
L'output JSON contiene i dettagli dei risultati, inclusi suggerimenti sull'impatto, dettagli delle richieste, record campione limitati quando vengono restituite righe e materiale di riproduzione dove applicabile.