SlackPirate - Slack 열거 및 추출 도구

이 도구는 Python으로 개발되었으며, 네이티브 Slack API를 사용하여 액세스 토큰이 주어지면 Slack 워크스페이스에서 '흥미로운' 정보를 추출합니다.

2018년 5월 기준으로 Slack은 800만 명이 넘는 고객을 보유하고 있으며 그 수는 급격히 증가하고 있습니다. 통합 및 'ChatOps' 가능성은 무궁무진하며 팀(개발자뿐만 아니라!)이 매우 강력한 워크플로우와 Slack 봇/애플리케이션 상호 작용을 만들 수 있게 해줍니다.

대기업과 중소기업 모두에서 흔히 있는 일이지만, Slack과 같은 도구는 정보 보안 거버넌스/정책 레이더망을 벗어나는 경우가 많으며, 이로 인해 민감하고 기밀인 정보가 있어서는 안 될 곳에 위치하게 되는 위험한 상황이 발생합니다.

이 도구의 목적은 두 가지입니다:

• Red-team(레드팀) 사용자는 조직의 워크스페이스에 대해 낮은 권한의 계정을 사용하여 Slack에서 민감한 정보, 문서, 자격 증명 등을 식별하고 추출할 수 있습니다. 이를 통해 공격자가 다른 시스템으로 이동하거나 기업 시스템/애플리케이션에 대한 더 깊은 지식과 내부 작동 방식을 얻을 수 있습니다.
• Blue-team(블루팀) 사용자는 워크스페이스에서 처음에 존재해서는 안 될 민감한 정보를 식별하고 탐지할 수 있습니다. 블루팀은 이 정보를 내부 교육 및 인식 제고 목적으로 사용하여 도구의 출력 결과와 (내부 및 외부) 공격자가 사용하고 악용할 수 있는 '것들'의 유형을 시연할 수 있습니다.

이 도구를 사용하면 편리한 시간에 오프라인으로 볼 수 있도록 민감한 정보를 쉽게 수집할 수 있습니다.

참고: 저는 Python 초보자이며, 스크립트가 크게 최적화되고 개선될 수 있다는 것을 의심하지 않습니다. 언제든지 풀 리퀘스트를 보내주세요. 검토하고 적절히 병합하겠습니다!

정보 수집

이 도구는 네이티브 Slack API를 사용하여 '흥미로운' 정보를 추출하며, 현재 다음 정보를 찾습니다:

• 워크스페이스에 등록할 수 있는 도메인(있는 경우)을 표준 출력으로 출력합니다. 여기에서는 구식이거나 오래되거나 잊혀진 도메인을 발견할 수 있으며, 이를 구매하여 워크스페이스에 등록하는 데 사용할 수 있습니다.
• S3 버킷 링크
• 비밀번호
• AWS 액세스/시크릿 키
• 비공개 키
• 모든 채널의 고정된 메시지
• 추가 접근을 제공할 수 있는 링크 및 URL 참조 - 예: Google Docs, Trello 초대, 내부 시스템 링크 등
• .key, .sh 파일, 문서에 포함된 "password" 또는 "secret" 단어 등 민감한 정보를 포함할 수 있는 파일

Slack 쿠키

Slack 웹 애플리케이션은 여러 쿠키를 사용합니다. 특히 중요한 것은 d라는 쿠키입니다. 이 d 쿠키는 피해자가 액세스할 수 있는 모든 워크스페이스에서 동일합니다. 즉, 단일 d 쿠키를 도난당하면 공격자는 피해자가 로그인한 모든 워크스페이스에 접근할 수 있습니다. Slack 웹 애플리케이션에서 한 번 로그인하면 무기한 로그인 상태가 유지되는 경험을 했습니다.

Slack 토큰

Slack API 토큰은 워크스페이스별 토큰입니다. 하나의 토큰은 (제가 알기로) 위의 d 쿠키처럼 모든 워크스페이스에 접근할 수 없습니다.

도구가 정보를 검색하고 추출하려면 API 토큰과 Slack 쿠키를 함께 제공해야 합니다. 이 토큰은 클라이언트가 Slack API로 보내는 요청의 폼 데이터에 포함됩니다. 따라서 SlackPirate를 사용하려면 다음 정보를 제공해야 합니다:

• --cookie 플래그를 사용하여 d 쿠키를 도구에 제공합니다. 도구는 연결된 워크스페이스와 토큰을 출력합니다.
• --token 플래그를 사용하여 토큰을 도구에 제공합니다. 이 토큰은 devtools나 다른 네트워크 모니터링 방법을 사용하거나 Slack의 프로세스 메모리를 스크래핑하여 찾을 수 있습니다. 토큰은 xoxc-로 시작합니다.

토큰과 쿠키를 모두 전달해야 합니다. 인증하려면 둘 다 필요합니다.

빌드

스크립트는 Python 3.5, 3.6 및 3.7에서 개발, 테스트 및 확인되었습니다. Python 2에서 빠른 테스트를 수행했을 때 몇 가지 호환성 문제가 있었습니다.

Linux (virtualenv 사용)

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• source SlackPirate/bin/activate
• pip install -r requirements.txt
• ./SlackPirate.py --help

Linux (virtualenv 미사용)

• git clone https://github.com/emtunc/SlackPirate
• chmod +x SlackPirate.py
• pip install -r requirements.txt
• ./SlackPirate.py --help

Windows (virtualenv 사용)

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• SlackPirate\Scripts\activate.bat
• pip install -r requirements.txt
• python SlackPirate.py --help

Windows (virtualenv 미사용)

• git clone https://github.com/emtunc/SlackPirate
• pip install -r requirements.txt
• python SlackPirate.py --help

사용법

python3 SlackPirate.py --help

• 도움말 메뉴를 표시합니다. 명시적으로 선택하거나 무시할 수 있는 모든 스캔 모듈에 대한 정보를 포함합니다.

python3 SlackPirate.py --interactive

• 대화형 모드는 명령줄 인수가 아닌 콘솔 UI를 통해 토큰이나 쿠키를 제공하고 실행할 스캔을 선택할 수 있도록 합니다.

python3 SlackPirate.py --cookie <cookie>

이 명령은 다음을 수행합니다:

• 해당 쿠키로 액세스할 수 있는 연결된 워크스페이스를 찾습니다.
• 반환된 각 워크스페이스에 연결합니다.
• 각 반환된 워크스페이스에서 API 토큰을 찾습니다.
• 다음 명령에서 사용할 수 있도록 표준 출력으로 출력합니다.

python3 SlackPirate.py --token <token>

이 명령은 다음을 수행합니다:

• 토큰 유효성을 확인하고 Slack이 True를 반환하는 경우에만 계속합니다.
• 제공된 토큰에 admin, owner 또는 primary_owner 권한이 있는 경우 표준 출력으로 출력합니다.
• 도구가 Slack 워크스페이스에 등록하는 데 사용할 수 있는 @도메인을 찾은 경우 표준 출력으로 출력합니다 (여기서 놀라운 결과를 발견할 수 있습니다. 운이 좋으면 오래되고 사용되지 않는 등록 가능한 도메인을 찾을 수 있습니다).
• 제공된 토큰이 권한이 있는 토큰인 경우 팀 액세스 로그를 .json 형식으로 덤프합니다.
• 사용자 목록을 .json 형식으로 덤프합니다.
• S3 버킷 참조를 찾습니다.
• 비밀번호 및 기타 자격 증명 참조를 찾습니다.
• AWS 키 참조를 찾습니다.
• 비공개 키 참조를 찾습니다.
• 모든 Slack 채널의 고정된 메시지 참조를 찾습니다.
• 흥미로운 URL 및 링크 참조를 찾습니다.
• 마지막으로, 사전 정의된 키워드를 기반으로 파일 다운로드를 시도합니다.

python3 SlackPirate.py --token <token> --s3-scan

• 이 명령은 S3 스캔만 실행하도록 도구에 지시합니다.

python3 SlackPirate.py --token <token> --no-s3-scan

• 이 명령은 S3 스캔을 제외한 모든 스캔을 실행하도록 도구에 지시합니다.

python3 SlackPirate.py --token <token> --verbose

• 상세 모드는 파일을 .CSV 형식으로 출력하며, 채널 이름, 사용자 이름, 영구 링크 등 훨씬 더 많은 정보를 제공합니다.

스크린샷

대화에 참여하세요

누구나 가입하여 새로운 기능, 변경 사항, 기능 요청에 대해 논의하거나 도움을 요청할 수 있는 공개 Slack 워크스페이스가 설정되었습니다. 초대 링크는 다음과 같습니다: https://join.slack.com/t/slackpirate/shared_invite/zt-6o3d9tjq-PhbMxtM2o5ALgFkOB9V_dg