搜索

[15356] 2020-05-10_利用Slack的TURN服务器访问Slack内部网络

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2020-05-10_利用Slack的TURN服务器访问Slack内部网络 利 用 S l a c k 的 T U R N 服 务 器 访 问 S l a c k 内 部 网 络 c l o u d s   F r e e B u f   2 0 2 0 - 0 5 - 1 0 该 篇 该 篇 W r i t e u p 介 绍 了 作 者 通 过 介 绍 了 作 者 通 过 T U R N 服 务 器 的 中 继 作 用 ， 实 现 对 服 务 器 的 中 继 作 用 ， 实 现 对 S l a c k 的 内 部 网 络 和 的 内 部 网 络 和 A W S 元 数 据 资 源 的 访 问 。 文 中 涉 及 到 了 元 数 据 资 源 的 访 问 。 文 中 涉 及 到 了 S T U N 、 、 T U R N 协 议 和 协 议 和 W e b R T C 知 识 ， 还 用 到 了 一 个 未 公 开 的 知 识 ， 还 用 到 了 一 个 未 公 开 的 S T U N 协 议 安 全 测 试 工 具 协 议 安 全 测 试 工 具 S t u n n e r 。 我 们 一 起 来 看 看 。 。 我 们 一 起 来 看 看 。 S T U N 和 和 T U R N 介 绍 介 绍 在 现 实 的 互 联 网 环 境 中 ， 大 多 数 客 户 端 主 机 都 位 于 防 火 墙 或 N A T 之 后 ， 像 在 视 频 会 议 、 视 频 通 话 、 在 线 教 育 等 实 时 传 输 场 景 下 ， 我 们 都 希 望 网 络 中 的 两 台 主 机 能 够 直 接 穿 透 N A T 限 制 进 行 通 信 ， 即 所 谓 的 P 2 P 通 信 ， 而 不 需 要 其 他 公 共 服 务 器 的 中 转 。 因 此 ， S T U N 和 T U R N 协 议 就 应 运 而 生 了 。 S T U N 协 议 （ S i m p l e   T r a v e r s a l   o f   U D P   T h r o u g h   N A T s ） ， 在 R F C 3 4 8 9 中 定 义 为 一 种 简 单 的 N A T 穿 透 解 决 方 案 ， 即 用 U D P 实 现 的 简 单 N A T 穿 透 方 法 。 在 新 的 R F C 5 3 8 9 修 订 中 把 S T U N 协 议 定 义 为 穿 透 N A T 的 提 供 工 具 ， 在 原 有 U D P 的 基 础 增 加 了 T C P 穿 透 ， 英 文 全 称 为 S e s s i o n   T r a v e r s a l   U t i l i t i e s   f o r   N A T ， 即 N A T 会 话 穿 透 。 T U R N 协 议 （ T r a v e r s a l   U s i n g   R e l a y s   a r o u n d   N A T ） ， 在 R F C 5 7 6 6 中 的 定 义 是 ， 使 用 中 继 穿 透 N A T ， 它 是 S T U N 协 议 的 一 种 中 继 扩 展 。 即 在 S T U N 的 基 础 上 实 现 中 继 或 “ 中 间 人 ” 方 式 的 N A T 穿 透 。 漏 洞 概 况 漏 洞 概 况 S l a c k 部 署 的 T U R N 服 务 器 允 许 把 客 户 端 请 求 的 U D P 包 和 T C P 请 求 ， 中 继 到 S l a c k 内 部 网 络 和 架 设 在 A W S 服 务 上 的 元 数 据 资 源 中 。 由 于 T U R N 是 S T U N 的 一 个 扩 展 协 议 ， 它 通 过 中 继 方 式 来 连 接 N A T 之 后 的 对 等 客 户 端 ， 这 有 点 类 似 我 们 渗 透 测 试 视 角 下 的 “ 代 理 ” 。 在 T C P 中 继 模 式 下 ， T U R N 使 用 了 R F C   6 0 6 2 规 范 中 提 到 的 0 x 0 0 0 A 消 息 连 接 方 法 ； 而 在 U D P 中 继 模 式 下 ， T U R N 则 使 用 了 R F C   5 7 6 6 规 范 中 提 到 的 0 x 0 0 6 消 息 指 示 方 法 ， 和 另 外 具 有   同 样 功 能 的 c h a n n e l 方 法 。 这 里 ， 可 能 有 人 会 有 疑 问 ， 那 么 ， 这 和 W e b R T C 又 有 啥 关 系 呢 ？ W e b R T C 应 用 中 的 应 用 中 的 T U R N 实 现 实 现 W e b R T C （ W e b   R e a l - T i m e   C o m m u n i c a t i o n ） ， 即 网 页 实 时 通 信 ， 它 实 现 了 基 于 网 页 的 语 音 对 话 或 视 频 通 话 ， 目 的 是 无 插 件 实 现 w e b 端 的 实 时 通 信 的 能 力 ， W e b 开 发 者 也 无 需 关 注 多 媒 体 的 数 字 信 号 处 理 过 程 ， 只 需 编 写 简 单 的 J a v a s c r i p t 程 序 即 可 实 现 。 W e b R T C 提 供 了 视 频 会 议 的 核 心 技 术 ， 包 括 音 视 频 的 采 集 、 编 解 码 、 网 络 传 输 、 显 示 等 功 能 ， 并 且 还 支 持 跨 平 台 ： w i n d o w s ， l i n u x ， m a c ， a n d r o i d 。 通 常 ， 基 于 N A T 的 限 制 条 件 下 ， 在 W e b R T C 和 V o I P 应 用 中 ， 棘 手 的 问 题 是 如 何 让 通 信 双 方 或 多 方 的 媒 体 流 信 息 能 互 相 流 通 ， 因 此 ， S T U N 的 出 现 在 很 大 程 度 上 解 决 了 这 一 问 题 ， 且 T U R N 的 扩 展 使 用 也 弥 补 了 相 应 的 不 足 。 之 后 ， 交 互 式 连 接 （ I n t e r a c t i v e   C o n n e c t i v i t y   E s t a b l i s h m e n t ， I C E ） 机 制 更 让 S T U N 和 T U R N 的 应 用 更 加 完 美 ， 它 通 过 综 合 运 用 S T U N 、 T U R N 、 R S I P 等 N A T 穿 透 方 式 ， 优 化 性 能 ， 以 弥 补 单 独 使 用 其 中 任 何 一 种 方 法 所 带 来 的 固 有 缺 陷 。 其 实 也 可 以 说 ， I C E 机 制 是 绑 定 T U R N 来 使 用 的 。 因 此 ， 对 大 多 W e b R T C 系 统 来 说 ， 一 个 关 键 因 素 是 当 防 火 墙 或 N A T 设 备 不 允 许 对 等 实 体 之 间 进 行 直 接 的 媒 体 流 量 通 信 交 互 时 ， 那 么 就 需 要 有 一 个 T U R N 服 务 器 在 对 等 实 体 之 间 来 中 继 消 息 。 S l a c k 部 署 的 部 署 的 T U R N 服 务 服 务 在 我 们 测 试 S l a c k 应 用 时 发 现 ， T U R N 被 用 来 基 于 安 全 实 时 传 输 协 议 （ S e c u r e   R e a l - t i m e   T r a n s p o r t   P r o t o c o l ， S R T P ） 建 立 媒 体 流 通 信 ， S l a c k 的 这 种 T U R N 用 法 在 Y o s h i m a s a   I w a s e 的 文 章 《 I s S l a c k ’ s   W e b R T C   R e a l l y   S l a c k i n g ? 》 中 有 过 详 细 阐 述 ， 在 此 就 不 作 深 入 讨 论 。 但 这 里 要 强 调 的 一 点 是 ， 相 对 于 解 决 媒 体 通 信 ， T U R N 服 务 器 被 部 署 在 S l a c k 架 构 中 的 关 键 位 置 却 是 我 们 更 关 心 的 。 测 试 测 试 S l a c k 的 的 T U R N 服 务 器 时 发 现 的 问 题 服 务 器 时 发 现 的 问 题 经 过 测 试 我 们 发 现 ， 利 用 S l a c k 的 T U R N 服 务 器 ， 客 户 端 的 T C P / U D P 流 量 不 仅 可 以 中 继 到 其 T U R N 服 务 器 本 身 ， 还 能 中 继 到 S l a c k 架 设 在 A W S 上 的 内 部 地 址 。 这 对 于 W e b 应 用 类 型 的 渗 透 测 试 来 说 有 些 熟 悉 ， 因 为 这 可 能 成 为 S S R F （ 服 务 端 请 求 伪 造 ） 的 利 用 方 式   。 然 而 ， 与 常 规 S S R F 漏 洞 不 同 之 处 在 于 ， 这 里 可 以 利 用 （ 或 滥 用 ） 的 不 仅 局 限 于 H T T P 协 议 ， 可 能 还 涉 及 到 一 种 开 放 式 代 理 ， 比 如 s o c k s   p r o x y 或 基 于 C O N N E C T 方 法 的 w e b   p r o x y 。 那 利 用 S l a c k 的 这 种 T U R N 服 务 器 问 题 ， 可 以 实 现 哪 些 安 全 测 试 目 的 呢 ？ 1 、 可 以 连 接 到 A W S 的 元 数 据 服 务 端 h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 获 取 一 些 临 时 的 身 份 识 别 和 访 问 管 理 凭 据 ， 如 下 图 ； 2 、 可 以 连 接 到 S l a c k 本 地 主 机 探 测 一 些 未 曝 露 在 互 联 网 上 的 开 放 端 口 ， 如 n o d e   e x p o r t e r 的 系 统 监 测 服 务 ， 2 2 ,   2 5 ,   5 3 ,   4 4 3 ,   5 1 5 ,   5 6 6 6 ,   8 5 0 0 ,   8 8 8 8 ,   9 0 9 0 或 9 1 0 0 端 口 等 ； 3 、 在 S l a c k   的 A W S 架 构 - 1 0 . 4 1 . 0 . 0 / 1 6   中 进 行 端 口 扫 描 ， 发 现 一 些 服 务 器 管 理 应 用 ， 然 而 进 一 步 利 用 这 些 “ 可 信 ” 服 务 。 至 此 ， 有 些 人 可 能 会 觉 得 S l a c k 的 T U R N 服 务 器 貌 似 没 有 做 任 何 身 份 验 证 或 授 权 限 制 ， 但 其 实 S l a c k 是 做 了 身 份 验 证 的 。 而 且 ， 每 当 客 户 端 有 W e b R T C 会 话 请 求 过 来 时 ， S l a c k 的 T U R N 服 务 器 都 会 为 其 生 成 一 个 临 时 凭 据 ， 作 为 攻 击 者 来 说 ， 要 深 入 利 用 必 须 获 取 到 这 些 凭 据 信 息 。 因 此 ， 我 们 采 取 了 以 下 步 骤 来 进 行 尝 试 ：
1 、 把 我 们 的 浏 览 器 设 置 成 B u r p 代 理 模 式 ； 2 、 在 B u r p 中 的   P r o x y   >   H T T P   h i s t o r y   按 键 下 ， 过 滤 S l a c k 的 桌 面 协 作 应 用 关 键 字 s c r e e n h e r o ； 3 、 在 S l a c k 中 点 C a l l 发 起 一 个 通 话 ； 4 、 S l a c k 的 T U R N 服 务 器 发 起 对 / a p i / s c r e e n h e r o . r o o m s . c r e a t e 的 请 求 ， 响 应 消 息 中 包 含 了 临 时 的 用 户 名 密 码 信 息 ， 以 及 T U R N 主 机 名 和 端 口 ； 5 、 我 们 编 写 了 一 个 内 部 测 试 工 具 S t u n n e r 对 这 些 信 息 进 行 了 利 用 ， 最 终 形 成 了 一 个 有 效 的 漏 洞 。 S t u n n e r 就 是 一 个 S T U N 协 议 的 测 试 工 具 ， 当 然 也 能 检 测 一 些 T U R N 下 的 不 同 协 议 漏 洞 。 其 中 有 意 思 的 一 个 子 命 令 就 是 T U R N 对 等 端 扫 描 ， 它 针 对 特 定 的 对 等 端 主 机 ， 通 过 T U R N 中 继 进 行 端 口 扫 描 。 下 列 视 频 中 我 们 用 到 了 t u r n   p e e r   h t t p p r o x y 命 令 ， 它 能 通 过 让 W e b 浏 览 器 配 置 成 H T T P 代 理 模 式 与 S t u n n e r 工 作 ， 由 于 S t u n n e r 会 把 H T T P 请 求 和 响 应 代 理 到 S l a c k 的 T U R N 服 务 器 ， 这 样 S t u n n e r 和 T U R N 服 务 器 之 间 就 形 成 了 一 个 H T T P 流 量 交 互 。 演 示 视 频 演 示 视 频 视 频 展 示 了 以 下 几 个 方 面 ： 获 取 T U R N 服 务 器 为 客 户 端 生 成 的 凭 据 ； 利 用 我 们 自 己 的 I P 地 址 测 试 T U R N 服 务 器 到 互 联 网 端 的 中 继 ； 连 接 到 S l a c k 的 内 部 网 络 和 架 设 在 A W S 上 的 元 数 据 服 务 。 漏 洞 修 复 漏 洞 修 复 修 复 该 漏 洞 ， 可 以 在 T U R N 服 务 器 中 设 置 访 问 控 制 规 则 ， 去 阻 止 一 些 内 部 非 公 开 地 址 在 T U R N 消 息 中 被 指 定 为 对 端 地 址 X O R - P E E R - A D D R E S S 。 实 际 环 境 中 ， 包 括 S l a c k 在 内 的 大 多 系 统 都 用 到 了 集 成 S T U N / T U R N / I C E   协 议 且 支 持   P 2 P   穿 透 防 火 墙 的 C o t u r n 应 用 ， 因 此 ， 我 们 建 议 实 施 以 下 规 则 ： 漏 洞 上 报 和 处 理 进 程 漏 洞 上 报 和 处 理 进 程 2 0 1 7 . 1 1     把 T U R N 滥 用 方 式 加 入 到 了 我 们 的 内 部 测 试 工 具 S t u n n e r 中 2 0 1 7 . 1 2     在 某 邀 请 测 试 中 发 现 了 T U R N 漏 洞 2 0 1 8 . 2         对 S l a c k 进 行 了 测 试 且 发 现 了 其 漏 洞 2 0 1 8 . 4         向 S l a c k 上 报 漏 洞 ， 并 帮 助 其 在 不 同 场 景 下 复 现 了 漏 洞 2 0 1 8 . 5         S l a c k 向 现 用 的 服 务 器 打 补 丁 2 0 1 0 . 1         征 求 S l a c k 漏 洞 公 开 意 见 2 0 2 0 . 3         公 布 漏 洞 ， 更 多 详 情 参 考 H a c k e r O n e   P S :   我 们 在 视 频 语 音 服 务 的 测 试 中 都 用 到 了 S t u n n e r 工 具 ， 但 现 阶 段 我 们 暂 不 打 算 开 源 该 工 具 。 n o - m u l t i c a s t - p e e r s d e n i e d - p e e r - i p = 0 . 0 . 0 . 0 - 0 . 2 5 5 . 2 5 5 . 2 5 5 d e n i e d - p e e r - i p = 1 0 . 0 . 0 . 0 - 1 0 . 2 5 5 . 2 5 5 . 2 5 5 d e n i e d - p e e r - i p = 1 0 0 . 6 4 . 0 . 0 - 1 0 0 . 1 2 7 . 2 5 5 . 2 5 5 d e n i e d - p e e r - i p = 1 2 7 . 0 . 0 . 0 - 1 2 7 . 2 5 5 . 2 5 5 . 2 5 5 d
* 参 考 来 源 ： 参 考 来 源 ： r t c s e c ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理