搜索

[10054] 2016-04-30_小心！别在Github上泄露了你Slack的token

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-18
2016-04-30_小心！别在Github上泄露了你Slack的token 小 心 ！ 别 在 G i t h u b 上 泄 露 了 你 S l a c k 的 t o k e n s p h i n x   F r e e B u f   2 0 1 6 - 0 4 - 3 0 大 量 的 开 发 者 们 把 他 们 的 大 量 的 开 发 者 们 把 他 们 的 S l a c k 登 录 凭 证 上 传 到 了 登 录 凭 证 上 传 到 了 G i t h u b 和 其 他 公 开 网 站 上 ， 任 何 人 都 可 以 偷 偷 监 控 他 们 的 对 话 ， 或 和 其 他 公 开 网 站 上 ， 任 何 人 都 可 以 偷 偷 监 控 他 们 的 对 话 ， 或 者 下 载 通 过 者 下 载 通 过 S l a c k 传 输 的 数 据 。 传 输 的 数 据 。 S l a c k 是 一 个 基 于 云 的 团 队 沟 通 协 作 平 台 。 它 是 聊 天 群 组   +   大 规 模 工 具 集 成   +   文 件 整 合   +   统 一 搜 索 。 截 至 2 0 1 4 年 底 ， S l a c k 已 经 整 合 了 电 子 邮 件 、 短 信 、 G o o g l e   D r i v e 、 T w i t t e r 、 T r e l l o 、 A s a n a 、 G i t H u b   等   6 5   种 工 具 和 服 务 ， 把 可 以 把 各 种 碎 片 化 的 企 业 沟 通 和 协 作 集 中 到 一 起 。 2 0 1 5 年 2 月 S l a c k 企 业 聊 天 工 具 成 立 一 周 年 且 日 活 跃 用 户 达 到 5 0 万 人 ， 2 0 1 5 年 前 6 周 的 增 幅 就 高 达 3 5 % （ 至 少 增 加 1 3 万 人 ） ， 用 户 发 送 的 聊 天 信 息 达 到 1 7 亿 条 。 根 据 周 四 的 一 篇 博 文 ， D e t e c t i f y 公 司 的 研 究 人 员 最 近 估 计 ， 大 约 1 5 0 0 个 t o k e n 被 公 布 在 了 网 上 ， 有 些 甚 至 是 属 于 财 富 5 0 0 强 的 公 司 ， 支 付 提 供 商 、 I S P 、 医 保 提 供 商 。 研 究 人 员 私 下 把 他 们 的 发 现 汇 报 给 了 S l a c k ， S l a c k 称 ， 它 会 经 常 监 控 ， 检 查 是 否 有 敏 感 的 t o k e n 泄 漏 。 G i t h u b 泄 露 大 量 泄 露 大 量 S l a c k   t o k e n 在 G i t h u b 搜 索 " x o x p " ， 返 回 了 超 过 7 4 0 0 个 结 果 ， 这 个 " x o x p " 是 让 自 动 化 脚 本 访 问 S l a c k 账 号 时 会 用 到 的 t o k e n 的 前 缀 ， 即 使 开 启 了 二 步 验 证 也 会 有 这 个 前 缀 。 另 一 个 搜 索 则 找 到 了 超 过 4 1 0 0 个 前 缀 是 " x o x b " 的 S l a c k   t o k e n 。 不 是 所 有 的 搜 索 结 果 都 有 用 于 登 录 帐 号 所 要 用 到 的 所 有 t o k e n ， 但 是 很 多 结 果 有 。 开 发 者 们 无 意 中 把 t o k e n s 包 含 在 代 码 中 然 后 公 布 在 互 联 网 上 ， 这 样 任 何 人 都 可 以 偷 偷 监 控 开 发 者 与 公 司 之 间 的 对 话 ， 或 者 下 载 通 过 S l a c k 传 输 的 数 据 。   “ 最 糟 糕 的 情 况 是 ， 这 些 t o k e n 可 以 泄 露 产 品 数 据 库 密 码 、 源 代 码 或 者 是 加 密 的 文 件 和 敏 感 信 息 ， ” 博 文 中 写 道 ， “ D e t e c t i f y 仅 仅 通 过 在 G i t h u b 上 搜 索 已 经 找 到 大 量 的 t o k e n ， 并 且 新 上 传 的 t o k e n 每 天 都 在 增 加 。 ” 脚 本 可 以 使 得 关 联 的 账 户 自 动 执 行 各 种 各 样 的 任 务 ， 比 如 对 定 期 会 议 进 行 提 醒 、 或 者 将 联 系 人 信 息 提 供 给 其 他 用 户 。 很 多 开 发 者 会 把 这 些 所 谓 的 机 器 人 脚 本 发 布 在 G i t h u b 或 其 他 公 开 的 代 码 仓 库 上 。
实 际 上 ， 这 种 把 敏 感 登 录 信 息 发 布 在 G i t h u b 上 的 事 情 一 点 也 不 新 鲜 ， 在 之 前 5 0 0 0 0 名 U b e r 司 机 数 据 泄 露 的 事 件 中 ， 正 是 一 名 开 发 者 不 小 心 把 数 据 库 密 钥 放 在 了 两 个 G i t h u b 页 面 上 。 漏 洞 盒 子 也 专 门 发 布 过 调 查 报 告 ， 对 国 内 企 业 在 G i t h u b 上 的 信 息 泄 露 进 行 了 调 查 ， 结 果 万 达 、 步 步 高 等 知 名 企 业 也 中 了 枪 。 S l a c k 官 方 声 明 官 方 声 明 在 声 明 中 ， S l a c k 写 到 ： S l a c k 很 清 楚 ， t o k e n 应 该 被 跟 密 码 一 样 对 待 。 当 开 发 者 们 生 成 t o k e n 时 ， 我 们 会 警 告 他 们 不 要 分 享 给 其 他 用 户 或 其 他 程 序 。 我 们 客 户 的 安 全 对 我 们 至 关 重 要 ， 我 们 会 持 续 改 进 我 们 的 文 档 ， 提 醒 客 户 保 证 安 全 。 我 们 在 监 控 着 公 开 的 t o k e n ， 一 旦 我 们 发 现 了 公 开 的 t o k e n ， 我 们 会 撤 销 他 们 并 且 通 知 创 建 t o k e n 的 用 户 和 受 影 响 的 团 队 。 如 何 防 范 如 何 防 范 S l a c k 监 控 公 开 t o k e n 的 做 法 值 得 肯 定 ， 但 是 t o k e n 上 传 的 速 度 太 快 了 ， 可 能 手 速 快 的 黑 客 可 以 在 撤 销 之 前 找 到 它 们 。 把 S l a c k 脚 本 / 机 器 人 上 传 到 G i t h u b 不 应 该 把 t o k e n 一 起 上 传 上 去 ， 而 是 应 该 使 用 环 境 变 量 使 t o k e n 不 出 现 在 代 码 里 面 。 * 参 考 来 源 ： A r s 、 新 浪 科 技 ， F B 小 编 S p h i n x 编 译 ， 文 章 有 修 改 ， 转 载 请 注 明 来 自 F r e e b u f 黑 客 与 极 客 （ F r e e B u f . C O M ）  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理