SlackPirate - Ferramenta de Enumeração e Extração do Slack

Esta é uma ferramenta desenvolvida em Python que usa as APIs nativas do Slack para extrair informações 'interessantes' de um workspace do Slack dado um token de acesso.

Em maio de 2018, o Slack tinha mais de 8 milhões de clientes e esse número está crescendo rapidamente - as possibilidades de integração e 'ChatOps' são infinitas e permitem que equipes (não apenas desenvolvedores!) criem fluxos de trabalho e interações de bot/aplicativos Slack realmente poderosos.

Como é comum em corporações grandes e pequenas, não é incomum que ferramentas como o Slack passem despercebidas pela governança/política de Segurança da Informação, o que acaba levando a situações precárias onde informações sensíveis e confidenciais acabam em lugares onde não deveriam.

O propósito desta ferramenta é duplo:

• Equipes vermelhas (red-teamers) podem usar isso para identificar e extrair informações sensíveis, documentos, credenciais, etc do Slack, a partir de uma conta de baixo privilégio no Workspace da organização. Isso pode permitir que um invasor faça pivô para outros sistemas e/ou obtenha conhecimento muito mais íntimo e interno dos sistemas/aplicações corporativos
• Equipes azuis (blue-teamers) podem usar isso para identificar e detectar informações sensíveis no Workspace que talvez nem devessem existir em primeiro lugar. Equipes azuis podem usar essas informações para fins internos de treinamento e conscientização, demonstrando a saída da ferramenta e o tipo de 'coisas' que poderiam ser usadas e abusadas por invasores (internos e externos).

A ferramenta permite que você colete facilmente informações sensíveis para visualização offline conforme sua conveniência.

Nota: Sou um n00b em Python e não tenho dúvidas de que o script pode ser otimizado e melhorado enormemente - sinta-se à vontade para fazer pull requests; eu revisarei e mesclarei conforme apropriado!

Coleta de Informações

A ferramenta usa as APIs nativas do Slack para extrair informações 'interessantes' e procura pelas seguintes informações, atualmente:

• Imprime na saída padrão os domínios (se houver) que têm permissão para se registrar no Workspace - já vi domínios desatualizados, antigos e esquecidos que podem ser comprados e usados para se registrar no Workspace
• Links para buckets S3
• Senhas
• Chaves de Acesso/Secret da AWS
• Chaves Privadas
• Mensagens fixadas em todos os Canais
• Referências a links e URLs que podem fornecer mais acesso a materiais sensíveis - pense: Google Docs, Convites do Trello, links para sistemas internos, etc
• Arquivos que podem conter informações sensíveis como .key, .sh, as palavras "password" ou "secret" embutidas em um documento, etc

Cookie do Slack

O aplicativo web do Slack usa vários cookies - o de especial interesse é chamado, adivinhe só... d. Este cookie d é o mesmo em todos os Workspaces aos quais a vítima tem acesso. O que isso significa na prática é que um único cookie d roubado permitiria a um invasor obter acesso a todos os Workspaces nos quais a vítima está logada; minha experiência com o aplicativo web do Slack é que, uma vez logado, você permanecerá logado indefinidamente.

Token do Slack

O token da API do Slack é um token por workspace. Um token não pode (pelo que eu sei) acessar outros workspaces da mesma forma que o cookie d acima permite acesso a todos os Workspaces.

Para que a ferramenta pesquise e extraia informações, você precisará fornecer a ela um token de API além de um Cookie do Slack. Este token está incluído nos dados do formulário das requisições enviadas à API do Slack pelo cliente. Então, para usar o SlackPirate, você precisará fornecer as seguintes informações:

• Forneça à ferramenta um cookie d usando a flag --cookie. A ferramenta exibirá os Workspaces e tokens associados
• Forneça à ferramenta um token usando a flag --token. Você pode encontrá-lo usando devtools ou alguma outra forma de monitoramento de rede, ou extraindo da memória do processo do Slack. Ele começa com xoxc-

Certifique-se de passar tanto um token quanto um cookie - você precisa de ambos para poder autenticar

Construção

O script foi desenvolvido, testado e confirmado funcionando em Python 3.5, 3.6 e 3.7. Um teste rápido no Python 2 apresentou alguns problemas de compatibilidade.

Linux com virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• source SlackPirate/bin/activate
• pip install -r requirements.txt
• ./SlackPirate.py --help

Linux sem virtualenv

• git clone https://github.com/emtunc/SlackPirate
• chmod +x SlackPirate.py
• pip install -r requirements.txt
• ./SlackPirate.py --help

Windows com virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• SlackPirate\Scripts\activate.bat
• pip install -r requirements.txt
• python SlackPirate.py --help

Windows sem virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install -r requirements.txt
• python SlackPirate.py --help

Uso

python3 SlackPirate.py --help

• Exibe o menu de ajuda - isso inclui informações sobre todos os módulos de varredura que você pode explicitamente selecionar ou ignorar

python3 SlackPirate.py --interactive

• O modo interativo instrui a ferramenta a permitir que você forneça um token ou cookie, e escolha as varreduras a serem executadas através de uma interface de console, em vez de argumentos de linha de comando.

python3 SlackPirate.py --cookie <cookie>

Isso fará o seguinte:

• Encontra todos os Workspaces associados que podem ser acessados usando esse cookie
• Conecta a quaisquer Workspaces retornados
• Procura por Tokens de API em cada Workspace retornado
• Imprime na saída padrão para uso no próximo comando

python3 SlackPirate.py --token <token>

Isso fará o seguinte:

• Verifica a validade do Token e só continua se o Slack retornar True
• Imprime na saída padrão se o token fornecido tem privilégios de admin, owner ou primary_owner
• Imprime na saída padrão se a ferramenta encontrou algum @domínio que pode ser usado para se registrar no Workspace do Slack (você pode se surpreender com o que encontra aqui - com sorte encontrará um domínio antigo, não utilizado e registrável aqui)
• Despeja logs de acesso da equipe em formato .json se o token fornecido for um token privilegiado
• Despeja a lista de usuários em formato .json
• Encontra referências a buckets S3
• Encontra referências a senhas e outras credenciais
• Encontra referências a chaves AWS
• Encontra referências a chaves privadas
• Encontra referências a mensagens fixadas em todos os canais do Slack
• Encontra referências a URLs e links interessantes
• Por último, a ferramenta tentará baixar arquivos com base em palavras-chave predefinidas

python3 SlackPirate.py --token <token> --s3-scan

• Isso instruirá a ferramenta a executar apenas a varredura S3

python3 SlackPirate.py --token <token> --no-s3-scan

• Isso instruirá a ferramenta a executar todas as varreduras exceto a varredura S3

python3 SlackPirate.py --token <token> --verbose

• O modo verboso produzirá arquivos em .CSV - fornecerá muito mais informações como nomes de canais, nomes de usuário, links permanentes e mais.

Capturas de Tela

Junte-se à conversa

Um Workspace público do Slack foi criado onde qualquer um pode se juntar e discutir novos recursos, mudanças, pedidos de funcionalidades ou simplesmente pedir ajuda. Aqui está o link de convite: https://join.slack.com/t/slackpirate/shared_invite/zt-6o3d9tjq-PhbMxtM2o5ALgFkOB9V_dg