SlackPirate - Slack列挙・抽出ツール

これはPythonで開発されたツールで、ネイティブのSlack APIを使用して、アクセストークンが与えられたSlackワークスペースから「興味深い」情報を抽出します。

2018年5月時点で、Slackの顧客数は800万を超え、その数は急速に増加しています。統合と「ChatOps」の可能性は無限であり、チーム（開発者だけではありません！）が非常に強力なワークフローやSlackボット/アプリケーションのやり取りを作成できるようにします。

大企業から小企業に至るまで、Slackのようなツールが情報セキュリティのガバナンス/ポリシーのレーダーから外れることは珍しくなく、その結果、機密性の高い情報が本来あるべきでない場所に置かれてしまう危険な状況に陥ります。

このツールの目的は2つあります。

レッドチームは、組織のワークスペースに対する低権限のアカウントを使用して、Slackから機密情報、ドキュメント、資格情報などを特定して抽出できます。これにより、攻撃者は他のシステムにピボットしたり、企業システム/アプリケーションの内部動作についてより詳細な知識を得たりすることができます。
ブルーチームは、ワークスペース上にそもそも存在すべきでない機密情報を特定・検出できます。ブルーチームは、この情報を内部トレーニングや意識向上の目的で使用し、ツールの出力と、攻撃者（内部および外部）によって悪用される可能性のある「もの」の種類を示すことができます。

このツールを使用すると、オフラインで都合の良いときに簡単に機密情報を収集できます。

注：私はPythonのn00bであり、スクリプトが大幅に最適化・改善される可能性があることは間違いありません。プルリクエストは自由に送ってください。適宜確認してマージします！

情報収集

このツールは、ネイティブのSlack APIを使用して「興味深い」情報を抽出し、現在以下の情報を探します。

ワークスペースへの登録が許可されているドメイン（存在する場合）を標準出力に出力します。ここでは、購入してワークスペースに登録できる、古く使われなくなったドメインや忘れられたドメインを見てきました。
S3バケットへのリンク
パスワード
AWSアクセスキー/シークレットキー
秘密鍵
すべてのチャンネルにピン留めされたメッセージ
機密資料へのさらなるアクセスを提供する可能性のあるリンクやURLへの参照（例：Google Docs、Trello招待、内部システムへのリンクなど）
.key、.shファイル、文書に埋め込まれた「password」や「secret」という単語など、機密情報を含む可能性のあるファイル

Slack Webアプリケーションは複数のCookieを使用します。特に注目すべきは、その名も... d というCookieです。この d Cookieは、被害者がアクセスできるすべてのワークスペースで同じです。つまり、単一の d Cookieが盗まれると、攻撃者は被害者がログインしているすべてのワークスペースにアクセスできるようになります。Slack Webアプリケーションでの私の経験では、一度ログインすると、無期限にログイン状態が続きます。

Slack Token

Slack APIトークンはワークスペースごとのトークンです。1つのトークンで（私の知る限り）上記の d Cookieのようにすべてのワークスペースにアクセスすることはできません。

ツールが情報を検索・抽出するには、Slack Cookieに加えてAPIトークンを提供する必要があります。このトークンは、クライアントからSlack APIに送信されるリクエストのフォームデータに含まれています。したがって、SlackPirateを使用するには、以下の情報を提供する必要があります。

--cookie フラグを使用して d Cookieをツールに提供します。ツールは関連するワークスペースとトークンを出力します。
--token フラグを使用してトークンをツールに提供します。これは、開発者ツールやその他のネットワーク監視手段を使用するか、Slackのプロセスメモリをスクレイピングして見つけることができます。トークンは xoxc- で始まります。

トークンとCookieの両方を必ず渡してください。認証するには両方が必要です。

ビルド

スクリプトはPython 3.5、3.6、3.7で開発、テスト、動作確認されています。Python 2での簡単なテストでは互換性の問題がいくつか発生しました。

Linux（virtualenv使用）

git clone https://github.com/emtunc/SlackPirate
pip install virtualenv
virtualenv SlackPirate
source SlackPirate/bin/activate
pip install -r requirements.txt
./SlackPirate.py --help

Linux（virtualenv不使用）

git clone https://github.com/emtunc/SlackPirate
chmod +x SlackPirate.py
pip install -r requirements.txt
./SlackPirate.py --help

Windows（virtualenv使用）

git clone https://github.com/emtunc/SlackPirate
pip install virtualenv
virtualenv SlackPirate
SlackPirate\Scripts\activate.bat
pip install -r requirements.txt
python SlackPirate.py --help

Windows（virtualenv不使用）

git clone https://github.com/emtunc/SlackPirate
pip install -r requirements.txt
python SlackPirate.py --help

使い方

python3 SlackPirate.py --help

ヘルプメニューを表示します。これには、明示的に選択または無視できるすべてのスキャンモジュールに関する情報が含まれます。

python3 SlackPirate.py --interactive

対話モードでは、コマンドライン引数ではなくコンソールUIを介してトークンやCookieを提供し、実行するスキャンを選択できます。

python3 SlackPirate.py --cookie <cookie>

これにより、次の処理が行われます。

そのCookieでアクセス可能な関連ワークスペースをすべて検索します。
見つかったワークスペースに接続します。
各ワークスペースでAPIトークンを探します。
次のコマンドで使用するために標準出力に出力します。

python3 SlackPirate.py --token <token>

これにより、次の処理が行われます。

トークンの有効性を確認し、Slackが True を返した場合のみ続行します。
指定されたトークンに管理者、所有者、またはプライマリ所有者の権限がある場合、標準出力に出力します。
Slackワークスペースに登録するために使用できる @domains が見つかった場合、標準出力に出力します（ここで見つけるものに驚くかもしれません。運が良ければ、古くて使われていない、登録可能なドメインが見つかります）。
提供されたトークンが特権トークンの場合、チームアクセスログを.json形式でダンプします。
ユーザーリストを.json形式でダンプします。
S3バケットへの参照を検索します。
パスワードやその他の資格情報への参照を検索します。
AWSキーへの参照を検索します。
秘密鍵への参照を検索します。
すべてのSlackチャンネルにピン留めされたメッセージへの参照を検索します。
興味深いURLやリンクへの参照を検索します。
最後に、事前定義されたキーワードに基づいてファイルのダウンロードを試みます。

python3 SlackPirate.py --token <token> --s3-scan

これは、ツールにS3スキャンのみを実行するように指示します。

python3 SlackPirate.py --token <token> --no-s3-scan

これは、ツールにS3スキャン以外のすべてのスキャンを実行するように指示します。

python3 SlackPirate.py --token <token> --verbose

詳細モードでは、ファイルを.CSV形式で出力します。チャンネル名、ユーザー名、パーマリンクなど、より多くの情報が提供されます。

スクリーンショット

Alt text

会話に参加

公開Slackワークスペースが設定されており、誰でも参加して新機能、変更、機能リクエストについて話し合ったり、単に助けを求めたりできます。招待リンクはこちらです： https://join.slack.com/t/slackpirate/shared_invite/zt-6o3d9tjq-PhbMxtM2o5ALgFkOB9V_dg

SlackPirate

人気