搜索

[13851] 2019-03-10_挖洞经验绕过Slack后端SSRF防护机制

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2019-03-10_挖洞经验绕过Slack后端SSRF防护机制 挖 洞 经 验   |   绕 过 S l a c k 后 端 S S R F 防 护 机 制 c l o u d s   F r e e B u f   2 0 1 9 - 0 3 - 1 0 本 文 分 享 了 一 个 存 本 文 分 享 了 一 个 存 在 于 在 于 S l a c k 接 口 接 口 a p i . s l a c k . c o m 中 的 缺 陷 ， 通 过 利 用 中 的 缺 陷 ， 通 过 利 用 S l a c k 内 置 的 斜 线 命 令 （ 内 置 的 斜 线 命 令 （ S l a s h   C o m m a n d s ） 功 能 ， 可 以 绕 过 ） 功 能 ， 可 以 绕 过 S l a c k 后 端 的 后 端 的 S S R F 防 护 措 施 ， 在 防 护 措 施 ， 在 S l a c k 接 口 上 形 成 两 个 服 务 端 请 求 伪 造 漏 洞 （ 接 口 上 形 成 两 个 服 务 端 请 求 伪 造 漏 洞 （ S S R F ） 。 ） 。 S l a c k 是 一 个 协 同 办 公 应 用 平 台 和 聊 天 群 组 ， 它 能 将 工 作 伙 伴 、 沟 通 信 息 和 使 用 工 具 进 行 聚 合 以 便 高 效 完 成 工 作 。 从 世 界 百 强 大 公 司 到 小 型 企 业 ， 全 球 有 数 百 万 人 在 使 用 S l a c k 进 行 内 部 团 队 沟 通 协 调 ， 协 同 办 公 推 动 业 务 。 利 用 斜 线 命 令 （ 利 用 斜 线 命 令 （ S l a s h   C o m m a n d s ） 绕 过 ） 绕 过 S l a c k 的 的 S S R F 防 护 机 制 防 护 机 制 漏 洞 分 析 漏 洞 分 析 斜 线 命 令 / c o m m a n d s ， 为 S l a c k 中 某 些 特 定 命 令 的 快 捷 方 式 ， 在 消 息 字 段 中 输 入 斜 线 加 命 令 ， 点 击 发 送 ， 即 可 完 成 一 项 命 令 操 作 。 如 / w h o 为 列 出 当 前 群 组 成 员 ， / a r c h i v e 为 对 当 前 群 组 存 档 ， / c o l l a p s e 为 对 当 前 群 组 进 行 视 频 图 片 的 折 叠 显 示 。 默 认 情 况 下 ， 工 作 群 组 内 所 有 成 员 都 可 使 用 斜 线 命 令 ， 群 组 管 理 员 也 可 对 组 内 成 员 进 行 斜 线 命 令 的 权 限 设 定 。 具 体 用 法 点 此 查 看 。 早 前 在 H a c k e r o n e 上 ， 看 到 了 N i c o l a s   G r é g o i r e   提 交 的 一 个 “ 绕 过 S l a c k   S S R F   防 护 机 制 ” 的 漏 洞 ， 报 告 中 N i c o l a s G r é g o i r e 有 以 下 分 析 ： 特 殊 情 况 下 ， 一 些 S l a c k 功 能 组 合 ， 如 “ I n t e g r a t i o n s   /   P h a b r i c a t o r ” ， 以 及 “ I n t e g r a t i o n   /   S l a s h   C o m m a n d s ” ， 允 许 用 户 提 交 可 由 后 端 服 务 器 处 理 的 U R L 链 接 。 在 这 种 功 能 场 景 中 ， S l a c k 自 身 有 一 个 黑 名 单 来 限 定 对 如 l o o p b a c k ,   1 0 . 0 . 0 . 0 / 8 ,   1 9 2 . 1 6 8 . 0 . 0 / 2 4 等 特 殊 内 部 资 源 的 访 问 ， 但 是 ， 可 以 使 用 “ [ : : ] ” 来 作 为 某 个 S l a c k 内 部 主 机 ， 对 S l a c k 后 端 服 务 器 发 起 请 求 。 这 种 请 求 方 式 仅 对 一 些 支 持 I P v 6 且 绑 定 服 务 端 口 的 S l a c k 服 务 器 有 效 。 在 漏 洞 修 复 中 ， N i c o l a s   G r é g o i r e 给 出 了 在 外 部 代 理 （ O u t g o i n g   P r o x y ） 和 斜 线 命 令 中 请 求 中 禁 用 I P v 6 的 建 议 。 S l a c k 也 依 此 做 了 修 复 。 但 是 ， 这 种 修 复 过 的 S S R F 防 护 机 制 ， 还 是 可 以 被 绕 过 的 。 具 体 测 试 步 骤 如 下 ：
1 、 登 录   a p i . s l a c k . c o m ， 在 自 己 的 s l a c k 服 务 中 填 写 你 预 设 的 斜 线 命 令 （ S l a s h   C o m m a n d s ） 配 置 ， 其 中 R e q u e s t   U R L 填 写 的 请 求 网 站   h t t p : / / 2 0 6 . 1 8 9 . 2 0 4 . 1 8 7 / ， 为 我 自 己 控 制 的 网 站 ： 2 、 在 这 个 我 控 制 的 2 0 6 . 1 8 9 . 2 0 4 . 1 8 7 网 站 服 务 器 中 ， 设 置 一 个 i n d e x . p h p 访 问 页 面 ， 内 容 为 包 含 一 个 ‘ L o c a t i o n ’   头 的 重 写 向 ， 跳 转 到 一 个 新 的 地 址 h t t p : / / [ : : ] : 2 2 / 。 根 据 N i c o l a s   G r é g o i r e 的 漏 洞 ， 这 个 地 址 h t t p : / / [ : : ] : 2 2 / 为 S l a c k 支 持 I P v 6 的 内 部 主 机 。 i n d e x . p h p ： 3 、 通 过 a p i . s l a c k . c o m ， 访 问 自 己 的 s l a c k 服 务   x x x x . s l a c k . c o m ， 加 入 相 应 的 斜 线 命 令 ， 该 过 程 中 通 过 请 求 h t t p : / / 2 0 6 . 1 8 9 . 2 0 4 . 1 8 7 / 的 操 作 ， 间 接 执 行 了 对 S l a c k 内 部 服 务 器 2 2 端 口 的 请 求 - h t t p : / / [ : : ] : 2 2 / ， 结 果 如 下 ： 4 、 在 h t t p : / / 2 0 6 . 1 8 9 . 2 0 4 . 1 8 7 / 的 < ? p h p   h e a d e r ( " l o c a t i o n :   h t t p : / / [ : : ] : 2 2 / " ) ;   ? >
i n d e x . p h p 访 问 页 面 加 入 h t t p : / / [ : : ] : 2 5 / 后 ， 由 于 S l a c k 内 部 服 务 器 2 5 端 口 是 关 闭 的 ， 所 以 结 果 如 下 ： 也 就 是 ， 如 果 S l a c k 内 部 服 务 器 2 2 端 口 是 开 放 的 ， 则 会 有 以 下 响 应 ： P r o t o c o l   m i s m a t c h . S M T P   o n   T C P / 2 5 如 果 S l a c k 内 部 服 务 器 2 2 端 口 是 关 闭 的 ， 则 会 有 以 下 响 应 ： 2 2 0   s q u i d 3 . t i n y s p e c k . c o m   E S M T P   P o s t f i x 2 2 1   2 . 7 . 0   E r r o r :   I   c a n   b r e a k   r u l e s ,   t o o .   G o o d b y e . 漏 洞 影 响 漏 洞 影 响 攻 击 者 利 用 这 种 S S R F 漏 洞 ， 可 以 借 由 服 务 端 的 功 能 特 性 ， 去 读 取 服 务 器 内 部 资 源 信 息 ， 探 测 内 部 服 务 端 口 和 版 本 情 况 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 . 7 . 1 3   漏 洞 初 报 2 0 1 8 . 7 . 1 3   漏 洞 分 类 2 0 1 9 . 1 . 2 3   S l a c k   $ 5 0 0 发 放 2 0 1 9 . 2 . 2 2   漏 洞 披 露 在 在 S l a c k 的 的 E v e n t   S u b s c r i p t i o n s 接 口 参 数 处 绕 过 接 口 参 数 处 绕 过 S S R F 防 护 机 制 防 护 机 制 漏 洞 分 析 漏 洞 分 析 S l a c k 的 事 件 接 口 （ E v e n t   A P I ） h t t p s : / / a p i . s l a c k . c o m / e v e n t s - a p i ， 可 在 各 种 时 间 发 生 时 进 行 触 发 调 用 ， 比 如 消 息 发 送 的 时 候 、 c h a n n e l s 改 变 的 时 候 等 。 当 我 们 在 创 建 一 些 私 人 定 制 化 的 S l a c k 应 用 时 ， 经 常 会 用 到 S l a c k 事 件 接 口 （ E v e n t A P I ） 。 配 置 S l a c k 事 件 接 口 时 ， 我 们 须 在 事 件 订 阅 处 （ E v e n t   S u b s c r i p t i o n s ） 设 置 一 个 R e q u e s t   U R L 用 来 作 为 事 件 的 订 阅 地 址 。 设 置 好 该 地 址 后 ， 当 事 件 发 生 时 ， S l a c k 会 向 该 地 址 发 送 H T T P   P O S T 请 求 ， 其 中 会 包 含 事 件 验 证 的 ” t y p e ” 、 ” c h a l l e n g e ” 和 ” t o k e n ” 参 数 。
这 里 ， S S R F 防 护 绕 过 漏 洞 就 存 在 于 此 -   h t t p s : / / a p i . s l a c k . c o m / a p p s / Y O U A P P C O D E / e v e n t - s u b s c r i p t i o n s ? ， 当 我 们 设 置 的 订 阅 地 址 U R L 不 符 合 S l a c k   A P I 标 准 时 ， 会 返 回 以 下 响 应 消 息 ： Y o u r   r e q u e s t   U R L   g a v e   u s   a   5 0 0   e r r o r .   U p d a t e   y o u r   U R L   t o   r e c e i v e   a   n e w   r e q u e s t   a n d   c h a l l e n g e   v a l u e . 经 过 测 试 ， 我 发 现 同 样 用 I P v 6 地 址 格 式   [ : : ]   同 样 在 此 可 以 利 用 。 比 如 ， 在 我 的 管 理 网 站 中 ， 设 置 一 个 x . p h p ， 内 容 如 下 ： 我 们 构 造 一 个 U R L 地 址 ： h t t p : / / h a c k e r . s i t e / x . p h p / ? u = h t t p : / / [ : : ] : 2 2 / ， U R L 编 码 后 为 ： h t t p : / / h a c k e r . s i t e / x . p h p / ? u = h t t p : / / % 5 B : : % 5 D : 2 2 / ， 把 它 填 写 在 订 阅 地 址 的 R e q u e s t   U R L 处 ， 会 有 以 下 响 应 ： < ? p h p h e a d e r ( " l o c a t i o n :   " . $ _ G E T [ ' u ' ] ) ; ? >
也 就 是 说 ， 这 种 请 求 S l a c k 内 部 服 务 器 2 2 端 口 ， 且 端 口 开 放 的 响 应 如 下 ： 如 果 S l a c k 内 部 服 务 器 端 口 未 开 放 （ 2 5 ） ， 会 有 如 下 响 应 ： " b o d y " :   {   S S H - 2 . 0 - O p e n S S H _ 7 . 2 p 2   U b u n t u - 4 u b u n t u 2 . 4 P r o t o c o l   m i s m a t c h . }
如 果 S l a c k 内 部 服 务 器 端 口 不 存 在 ， 会 没 有 任 何 响 应 ： 漏 洞 影 响 漏 洞 影 响 攻 击 者 利 用 这 种 S S R F 漏 洞 ， 可 以 借 由 服 务 端 的 功 能 特 性 ， 去 读 取 服 务 器 内 部 资 源 信 息 ， 探 测 内 部 服 务 端 口 和 版 本 情 " b o d y " :   {   2 2 0   s q u i d - i a d - y p f w . t i n y s p e c k . c o m   E S M T P   P o s t f i x 2 2 1   2 . 7 . 0   E r r o r :   I   c a n   b r e a k   r u l e s ,   t o o .   G o o d b y e . }
况 。 漏 洞 上 报 后 ， S l a c k 安 全 团 队 认 为 我 的 漏 洞 是 重 复 报 ， 但 我 觉 得 他 们 搞 错 了 ， 最 终 S l a c k 还 是 认 为 我 的 漏 洞 有 效 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 . 7 . 2 4   漏 洞 初 报   被 评 为 重 复 报 2 0 1 8 . 9 . 2   漏 洞 验 证 分 类   有 效 报 2 0 1 9 . 1 . 2 3   S l a c k 发 放 $ 5 0 0 赏 金 2 0 1 9 . 2 . 2 2   漏 洞 披 露 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理