SlackPirate - Strumento di Enumerazione ed Estrazione per Slack

Questo è uno strumento sviluppato in Python che utilizza le API native di Slack per estrarre informazioni 'interessanti' da un workspace Slack, dato un token di accesso.

A partire da maggio 2018, Slack ha oltre 8 milioni di clienti e questo numero è in rapida crescita: le possibilità di integrazione e 'ChatOps' sono infinite e consentono ai team (non solo sviluppatori!) di creare flussi di lavoro e interazioni con bot/applicazioni Slack davvero potenti.

Come accade spesso in aziende grandi e piccole, non è raro che strumenti come Slack sfuggano al radar della governance/politica di sicurezza informatica, portando infine a situazioni precarie in cui informazioni sensibili e riservate finiscono in luoghi dove non dovrebbero essere.

Lo scopo di questo strumento è duplice:

• I red-team possono usarlo per identificare ed estrarre informazioni sensibili, documenti, credenziali, ecc. da Slack, partendo da un account a bassi privilegi nel Workspace dell'organizzazione. Ciò potrebbe consentire a un attaccante di spostarsi su altri sistemi e/o acquisire una conoscenza molto più approfondita del funzionamento interno di sistemi/applicazioni aziendali.
• I blue-team possono usarlo per identificare e rilevare informazioni sensibili nel Workspace che forse non dovrebbero esistere in primo luogo. I blue-team possono usare queste informazioni per scopi di formazione e sensibilizzazione interni, dimostrando l'output dello strumento e il tipo di 'cose' che potrebbero essere utilizzate e abusate da attaccanti (sia interni che esterni).

Lo strumento consente di raccogliere facilmente informazioni sensibili per la visualizzazione offline a proprio piacimento.

Nota: Sono un n00b in Python e non ho dubbi che lo script possa essere ottimizzato e migliorato enormemente - sentitevi liberi di fare pull request; le revisionerò e le unirò se appropriate!

Raccolta di Informazioni

Lo strumento utilizza le API native di Slack per estrarre informazioni 'interessanti' e cerca le seguenti informazioni, oggi:

• Stampa sull'output standard i domini (se presenti) autorizzati a registrarsi per il Workspace - ho visto domini vecchi, dimenticati e scaduti che possono essere acquistati e usati per registrarsi al Workspace
• Collegamenti a bucket S3
• Password
• Chiavi di Accesso/Secret AWS
• Chiavi private
• Messaggi fissati in tutti i canali
• Riferimenti a link e URL che potrebbero fornire ulteriore accesso a materiali sensibili - ad esempio: Google Docs, inviti Trello, collegamenti a sistemi interni, ecc.
• File che potrebbero contenere informazioni sensibili come .key, .sh, le parole "password" o "secret" incorporate in un documento, ecc.

Cookie di Slack

L'applicazione web di Slack utilizza diversi cookie: quello di particolare interesse si chiama, ecco... d. Questo cookie d è lo stesso in tutti i Workspace a cui la vittima ha accesso. Ciò significa, in pratica, che un singolo cookie d rubato consentirebbe a un attaccante di accedere a tutti i Workspace in cui la vittima è loggata; la mia esperienza con l'applicazione web di Slack è che una volta effettuato l'accesso, si rimane loggati indefinitamente.

Token di Slack

Il token API di Slack è un token per workspace. Un token non può (per quanto ne so) accedere ad altri workspace come invece il cookie d sopra consente di accedere a tutti i Workspace.

Affinché lo strumento possa cercare ed estrarre informazioni, dovrai fornirgli un token API oltre a un cookie di Slack. Questo token è incluso nei dati del modulo delle richieste inviate all'API di Slack dal client. Quindi per usare SlackPirate, dovrai fornire le seguenti informazioni:

• Fornisci allo strumento un cookie d usando il flag --cookie. Lo strumento restituirà i Workspace associati e i token
• Fornisci allo strumento un token usando il flag --token. Puoi trovarlo utilizzando gli strumenti di sviluppo o qualche altra forma di monitoraggio di rete, oppure estraendolo dalla memoria di processo di Slack. Inizia con xoxc-

Assicurati di passare sia un token che un cookie: servono entrambi per autenticarsi.

Compilazione

Lo script è stato sviluppato, testato e confermato funzionante su Python 3.5, 3.6 e 3.7. Un breve test su Python 2 ha mostrato alcuni problemi di compatibilità.

Linux con virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• source SlackPirate/bin/activate
• pip install -r requirements.txt
• ./SlackPirate.py --help

Linux senza virtualenv

• git clone https://github.com/emtunc/SlackPirate
• chmod +x SlackPirate.py
• pip install -r requirements.txt
• ./SlackPirate.py --help

Windows con virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• SlackPirate\Scripts\activate.bat
• pip install -r requirements.txt
• python SlackPirate.py --help

Windows senza virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install -r requirements.txt
• python SlackPirate.py --help

Utilizzo

python3 SlackPirate.py --help

• Mostra il menu di aiuto - include informazioni su tutti i moduli di scansione che puoi selezionare o ignorare esplicitamente

python3 SlackPirate.py --interactive

• La modalità interattiva indica allo strumento di permetterti di fornire un token o un cookie, e di scegliere le scansioni da eseguire tramite un'interfaccia console anziché tramite argomenti della riga di comando.

python3 SlackPirate.py --cookie <cookie>

Questo farà quanto segue:

• Trova tutti i Workspace associati che possono essere accessibili usando quel cookie
• Si connette a tutti i Workspace restituiti
• Cerca token API in ogni Workspace restituito
• Stampa sull'output standard per l'uso nel comando successivo

python3 SlackPirate.py --token <token>

Questo farà quanto segue:

• Verifica la validità del token e prosegue solo se Slack restituisce True
• Stampa sull'output standard se il token fornito ha privilegi di admin, owner o primary_owner
• Stampa sull'output standard se lo strumento ha trovato eventuali @domini che possono essere usati per registrarsi al Workspace Slack (potresti essere sorpreso da ciò che trovi qui - se sei fortunato troverai un dominio vecchio, inutilizzato e registrabile)
• Scarica i log di accesso del team in formato .json se il token fornito è un token privilegiato
• Scarica l'elenco degli utenti in formato .json
• Trova riferimenti a bucket S3
• Trova riferimenti a password e altre credenziali
• Trova riferimenti a chiavi AWS
• Trova riferimenti a chiavi private
• Trova riferimenti a messaggi fissati in tutti i canali Slack
• Trova riferimenti a URL e link interessanti
• Infine, lo strumento tenterà di scaricare file basati su parole chiave predefinite

python3 SlackPirate.py --token <token> --s3-scan

• Questo istruirà lo strumento a eseguire solo la scansione S3

python3 SlackPirate.py --token <token> --no-s3-scan

• Questo istruirà lo strumento a eseguire tutte le scansioni tranne quella S3

python3 SlackPirate.py --token <token> --verbose

• La modalità verbosa restituirà file in .CSV - fornirà molte più informazioni come nomi dei canali, nomi utente, permalink e altro.

Screenshot

Unisciti alla conversazione

È stato creato un Workspace Slack pubblico dove chiunque può unirsi e discutere nuove funzionalità, modifiche, richieste di funzionalità o semplicemente chiedere aiuto. Ecco il link di invito: https://join.slack.com/t/slackpirate/shared_invite/zt-6o3d9tjq-PhbMxtM2o5ALgFkOB9V_dg