SlackPirate - Инструмент для перечисления и извлечения данных из Slack

Это инструмент, разработанный на Python, который использует нативные Slack API для извлечения «интересной» информации из рабочего пространства Slack при наличии токена доступа.

По состоянию на май 2018 года у Slack более 8 миллионов клиентов, и это число быстро растёт — возможности интеграции и «ChatOps» безграничны и позволяют командам (не только разработчикам!) создавать действительно мощные рабочие процессы и взаимодействия с ботами/приложениями Slack.

Как это часто бывает в крупных и малых корпорациях, такие инструменты, как Slack, нередко остаются вне поля зрения служб информационной безопасности и политик, что в конечном итоге приводит к опасным ситуациям, когда конфиденциальная информация оказывается там, где ей быть не следует.

Цель этого инструмента двояка:

• Красные команды могут использовать его для выявления и извлечения конфиденциальной информации, документов, учётных данных и т.д. из Slack, имея учётную запись с низкими привилегиями в рабочем пространстве организации. Это может позволить атакующему перейти на другие системы и/или получить гораздо более детальное знание внутренних систем/приложений компании.
• Синие команды могут использовать его для выявления и обнаружения конфиденциальной информации в рабочем пространстве, которой там изначально быть не должно. Синие команды могут использовать эту информацию для внутреннего обучения и повышения осведомлённости, демонстрируя результаты работы инструмента и типы «вещей», которые могут быть использованы и злоупотреблены (как внутренними, так и внешними) злоумышленниками.

Инструмент позволяет легко собирать конфиденциальную информацию для автономного просмотра в удобное для вас время.

Примечание: я новичок в Python и не сомневаюсь, что скрипт можно значительно оптимизировать и улучшить — пожалуйста, не стесняйтесь создавать pull request; я рассмотрю их и, если уместно, приму!

Сбор информации

Инструмент использует нативные Slack API для извлечения «интересной» информации и ищет следующее (на данный момент):

• Вывод в стандартный вывод доменов (если они есть), которым разрешена регистрация в рабочем пространстве — я видел устаревшие, забытые домены, которые можно купить и использовать для регистрации в рабочем пространстве.
• Ссылки на S3-корзины
• Пароли
• Ключи доступа/секретные ключи AWS
• Закрытые ключи
• Закреплённые сообщения во всех каналах
• Ссылки на URL и ссылки, которые могут предоставить дополнительный доступ к конфиденциальным материалам — например, Google Docs, приглашения Trello, ссылки на внутренние системы и т.д.
• Файлы, которые могут содержать конфиденциальную информацию, такие как .key, .sh, слова «password» или «secret», встроенные в документ, и т.д.

Slack Cookie

Веб-приложение Slack использует несколько куки-файлов — наиболее интересный из них называется, как вы уже догадались, d. Этот d-куки одинаков для всех рабочих пространств, к которым имеет доступ жертва. Это означает, что одного украденного d-куки достаточно, чтобы атакующий получил доступ ко всем рабочим пространствам, в которые вошла жертва; мой опыт работы с веб-приложением Slack показывает, что после входа вы остаётесь в системе на неопределённый срок.

Slack Token

Токен Slack API — это токен на рабочее пространство. Один токен не может (насколько мне известно) получить доступ к другим рабочим пространствам так же, как d-куки, который даёт доступ ко всем пространствам.

Чтобы инструмент мог искать и извлекать информацию, вам нужно предоставить ему токен API в дополнение к Slack Cookie. Этот токен включается в данные формы запросов, отправляемых клиентом к Slack API. Итак, для использования SlackPirate необходимо предоставить следующую информацию:

• Передайте инструменту d-куки с помощью флага --cookie. Инструмент выведет связанные рабочие пространства и токены.
• Передайте инструменту токен с помощью флага --token. Его можно найти с помощью devtools или другого мониторинга сети, либо извлечь из памяти процесса Slack. Токен начинается с xoxc-

Обязательно передавайте и токен, и куки — они оба необходимы для аутентификации.

Сборка

Скрипт разработан, протестирован и подтверждённо работает на Python 3.5, 3.6 и 3.7. Быстрый тест на Python 2 выявил некоторые проблемы совместимости.

Linux с virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• source SlackPirate/bin/activate
• pip install -r requirements.txt
• ./SlackPirate.py --help

Linux без virtualenv

• git clone https://github.com/emtunc/SlackPirate
• chmod +x SlackPirate.py
• pip install -r requirements.txt
• ./SlackPirate.py --help

Windows с virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install virtualenv
• virtualenv SlackPirate
• SlackPirate\Scripts\activate.bat
• pip install -r requirements.txt
• python SlackPirate.py --help

Windows без virtualenv

• git clone https://github.com/emtunc/SlackPirate
• pip install -r requirements.txt
• python SlackPirate.py --help

Использование

python3 SlackPirate.py --help

• Отобразить меню помощи — включает информацию обо всех модулях сканирования, которые можно явно выбрать или игнорировать.

python3 SlackPirate.py --interactive

• Интерактивный режим указывает инструменту позволить вам ввести токен или куки и выбрать сканирования через консольный интерфейс, а не через аргументы командной строки.

python3 SlackPirate.py --cookie <cookie>

Это сделает следующее:

• Найдёт все связанные рабочие пространства, к которым можно получить доступ с помощью этого куки.
• Подключится к найденным рабочим пространствам.
• Найдёт токены API в каждом найденном рабочем пространстве.
• Выведет результат в стандартный вывод для использования в следующей команде.

python3 SlackPirate.py --token <token>

Это сделает следующее:

• Проверит валидность токена и продолжит только если Slack вернёт True.
• Выведет в стандартный вывод, обладает ли предоставленный токен правами администратора, владельца или primary_owner.
• Выведет в стандартный вывод, нашёл ли инструмент какие-либо @домены, которые можно использовать для регистрации в рабочем пространстве Slack (вы можете удивиться тому, что найдёте — если повезёт, обнаружите старый, неиспользуемый, регистрируемый домен).
• Выгрузит журналы доступа команды в формате .json, если предоставленный токен имеет привилегии.
• Выгрузит список пользователей в формате .json.
• Найдёт ссылки на S3-корзины.
• Найдёт ссылки на пароли и другие учётные данные.
• Найдёт ссылки на ключи AWS.
• Найдёт ссылки на закрытые ключи.
• Найдёт ссылки на закреплённые сообщения во всех каналах Slack.
• Найдёт ссылки на интересные URL и ссылки.
• Наконец, инструмент попытается скачать файлы на основе предопределённых ключевых слов.

python3 SlackPirate.py --token <token> --s3-scan

• Это укажет инструменту выполнить только сканирование S3.

python3 SlackPirate.py --token <token> --no-s3-scan

• Это укажет инструменту выполнить все сканирования, кроме сканирования S3.

python3 SlackPirate.py --token <token> --verbose

• Подробный режим выводит файлы в формате .CSV — предоставит гораздо больше информации, такую как имена каналов, имена пользователей, постоянные ссылки и другое.

Скриншоты

Присоединяйтесь к обсуждению

Было создано публичное рабочее пространство Slack, куда может присоединиться любой желающий, чтобы обсудить новые функции, изменения, запросы на функции или просто попросить помощи. Вот ссылка-приглашение: https://join.slack.com/t/slackpirate/shared_invite/zt-6o3d9tjq-PhbMxtM2o5ALgFkOB9V_dg