搜索

[14228] 2019-06-14_挖洞经验利用Slack应用程序窃取Slack用户的下载文件

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-18
2019-06-14_挖洞经验利用Slack应用程序窃取Slack用户的下载文件 挖 洞 经 验   |   利 用 S l a c k 应 用 程 序 窃 取 S l a c k 用 户 的 下 载 文 件 c l o u d s   F r e e B u f   2 0 1 9 - 0 6 - 1 4 本 文 中 ， 本 文 中 ， T e n a b l e 安 全 团 队 研 究 员 安 全 团 队 研 究 员 D a v i d   W e l l s 分 享 了 分 享 了 W i n d o w s 版 本 版 本 S l a c k 终 端 应 用 程 序 的 一 个 漏 洞 ， 通 过 对 终 端 应 用 程 序 的 一 个 漏 洞 ， 通 过 对 S l a c k 下 载 功 能 的 利 用 ， 可 以 操 控 下 载 功 能 的 利 用 ， 可 以 操 控 S l a c k 受 害 者 的 下 载 文 件 存 储 设 置 ， 间 接 隐 秘 窃 取 受 害 者 的 下 载 文 件 存 储 设 置 ， 间 接 隐 秘 窃 取 S l a c k 受 害 者 的 下 载 文 件 ， 深 入 利 受 害 者 的 下 载 文 件 ， 深 入 利 用 可 形 成 对 受 害 者 系 统 的 远 程 控 制 。 目 前 ， 该 漏 洞 已 经 被 用 可 形 成 对 受 害 者 系 统 的 远 程 控 制 。 目 前 ， 该 漏 洞 已 经 被 S l a c k 修 复 ， 并 在 最 新 的 修 复 ， 并 在 最 新 的 S l a c k   v 3 . 4 . 0 版 本 中 释 放 了 补 版 本 中 释 放 了 补 丁 。 丁 。 漏 洞 说 明 漏 洞 说 明 该 漏 洞 原 理 在 于 ， 攻 击 者 只 需 在 S l a c k 群 组 中 发 送 一 条 经 过 伪 装 构 造 的 链 接 ， 上 钩 的 受 害 者 一 旦 点 击 加 载 ， 其 S l a c k 应 用 程 序 的 下 载 文 档 存 储 位 置 就 会 发 生 更 改 ， 自 动 变 为 攻 击 者 控 制 的 远 程 S M B 文 件 共 享 服 务 系 统 ， 之 后 ， 受 害 者 在 S l a c k 应 用 中 下 载 的 任 意 文 件 都 会 被 “ 悄 悄 ” 地 存 储 （ 上 传 ） 到 这 个 攻 击 者 设 置 的 远 程 S M B 共 享 系 统 中 。 只 有 当 受 害 者 发 现 文 件 下 载 位 置 的 异 常 后 ， 手 动 修 改 回 来 ， 才 能 及 时 止 损 ， 切 断 这 种 “ 窃 密 ” 行 为 。 当 然 ， 通 过 这 种 方 式 ， 攻 击 者 不 仅 能 隐 秘 窃 取 受 害 者 的 下 载 文 档 ， 还 能 往 下 载 过 的 文 档 中 放 入 捆 绑 了 木 马 的 恶 意 文 档 ， 当 受 害 得 通 过 S l a c k 打 开 这 种 恶 意 文 档 之 后 ， 其 电 脑 系 统 就 被 攻 击 者 远 程 控 制 了 。 漏 洞 原 因 在 于 ， S l a c k 应 用 程 序 对 其 自 身 功 能   s l a c k : / /   l i n k s （ 加 链 接 ） 方 式 ， 以 及 可 点 击 链 接 的 不 当 处 理 。 以 下 是 作 者 相 关 的 漏 洞 发 现 分 享 。 逆 向 分 析 逆 向 分 析 S l a c k 功 能 设 置 功 能 设 置 S l a c k 是 基 于 E l e c t r o n 架 构 的 应 用 程 序 ， 逆 向 分 析 相 对 容 易 ， 作 为 S l a c k 用 户 的 我 来 说 ， 我 觉 得 S l a c k 的 “ s l a c k : / / ” 后 加 超 链 接 的 功 能 有 点 意 思 ， 其 中 可 能 存 在 安 全 隐 患 。 结 合 逆 向 分 析 结 果 ， 经 过 一 番 研 究 ， 我 在 S l a c k 逆 向 结 果 中 找 到 了 与 “ s l a c k : / / ” l i n k s 功 能 对 应 的 ， 用 来 处 理 其 后 链 接 （ l i n k s ） 的 代 码 模 块   -   p r o t o c o l - l i n k . t s ， 从 中 可 以 得 知 ， 设 置 s l a c k : / / s e t t i n g + l i n k   样 式 ， 点 击 之 后 就 能 使 S l a c k 程 序 的 某 些 功 能 发 生 更 改 。
而 在 另 一 个 模 块 S e t t i n g s - R e d u c e r . t s 中 ， 可 以 发 现 S l a c k 功 能 设 置 更 改 的 所 有 相 关 代 码 ： 也 就 是 说 ， 可 以 通 过 s l a c k : / / s e t t i n g s + l i n k 的 方 式 ， 实 现 对 S l a c k 程 序 所 有 功 能 设 置 的 更 改 。 实 现 实 现 S l a c k 下 载 文 档 存 储 位 置 的 下 载 文 档 存 储 位 置 的 隐 秘 隐 秘 更 改 更 改 基 于 以 上 逆 向 发 现 ， 我 发 现 可 经 由 “ P r e f S S B F i l e D o w n l o a d P a t h ” 参 数 设 置 来 对 S l a c k 文 档 下 载 存 储 位 置 进 行 更 改 ， 通 过 对 它 的 设 置 ， 可 以 实 现 点 击   s l a c k : / / s e t t i n g s + l i n k   方 式 构 造 的 链 接 就 能 更 改 S l a c k 下 载 文 档 存 储 位 置 ， 如 下 ： “ s l a c k : / / s e t t i n g s / ? u p d a t e = { ‘ P r e f S S B F i l e D o w n l o a d P a t h ’ : ’ ’ } ” 其 中 的 部 份 是 可 以 精 心 构 造 的 一 点 。 但 不 巧 的 是 ， S l a c k 对 以 上 的 链 接 构 造 是 具 备 特 殊 字 符 过 滤 机 制 的 ， 其 中 的 冒 号 “ ： ” 表 明 这 需 要 提 供 一 个 本 地 的 根 目 录 驱 动 路 径 。 之 后 ， 我 想 到 了 S M B 共 享 方 式 ， 这 种 方 式 不 需 要 提 供 本 地 根 目 录 驱 动 路 径 ， 但 却 可 以 符 合 其 存 储 位 置 要 求 ， 完 全 可 以 绕 过 S l a c k 在 此 的 过 滤 防 护 。 所 以 ， 我 自 己 架 设 了 一 个 远 程 S M B 服 务 系 统 3 5 . 1 9 3 . 1 3 0 . 2 ， 然 后 s l a c k : / / s e t t i n g s + l i n k 就 变 为 ：
这 样 一 来 ， 当 我 把 这 个 s l a c k : / / s e t t i n g s + l i n k 发 送 给 其 它 S l a c k 用 户 后 ， 一 旦 对 方 点 击 ， 其 S l a c k 应 用 程 序 中 的 文 档 下 载 存 储 位 置 就 自 动 变 为 3 5 . 1 9 3 . 1 3 0 . 2 a p t ： 当 然 ， 当 对 方 执 行 了 某 个 文 档 的 下 载 后 ： 就 会 自 动 把 该 文 档 存 储 （ 上 传 ） 到 我 控 制 的 3 5 . 1 9 3 . 1 3 0 . 2 中 来 ：
漏 洞 利 用 的 攻 击 途 径 漏 洞 利 用 的 攻 击 途 径 从 现 实 环 境 来 说 ， s l a c k : / / s e t t i n g s + l i n k 应 该 经 过 必 要 的 编 码 或 模 糊 ， 要 不 然 某 些 有 安 全 意 识 的 S l a c k 用 户 一 眼 就 会 识 破 ， 不 会 点 击 它 。 针 对 这 种 情 况 ， 有 两 种 解 决 方 法 。 加 入 同 一 加 入 同 一 S l a c k 群 组 的 用 户 群 组 的 用 户 这 种 在 同 一 S l a c k 群 组 中 的 成 员 用 户 ， 怎 么 来 实 现 这 种 攻 击 呢 ？ 在 研 究 了 S l a c k 的 说 明 文 档 之 后 ， 我 发 现 S l a c k 禁 止 在 群 组 消 息 中 出 现 超 链 接 相 关 字 眼 ： 但 经 过 对 S l a c k   A P I 文 档 的 阅 读 分 析 ， 我 发 现 可 以 在 附 件 “ a t t a c h m e n t s ” 功 能 中 来 实 现 超 链 接 的 构 造 ， 具 体 方 法 是 在 S l a c k 的 P O S T 提 交 请 求 中 ， 添 加 一 个 名 为 “ a t t a c h m e n t ”   的 请 求 ， 以 合 法 网 站 方 式 把 s l a c k : / / s e t t i n g s + l i n k 嵌 入 到 其 中 ， 构 造 出 我 们 想 要 的 设 置 更 改 链 接 ， 如 下 ： 当 这 条 P O S T 方 式 的 消 息 提 交 到 S l a c k 群 组 中 后 ， 它 对 S l a c k 用 户 显 出 的 是 合 法 的 链 接 “ h t t p : / / g o o g l e . c o m ”   ， 但 其 实 点 击 之 后 ， 加 载 的 却 是 我 们 构 造 的 设 置 更 改 链 接 ：
因 此 ， “ 上 钩 ” 的 S l a c k 用 户 点 击 之 后 ， 他 S l a c k 程 序 的 文 档 下 载 存 储 位 置 就 会 变 为 我 设 置 的 远 程 S M B 系 统 。 未 在 同 一 未 在 同 一 S l a c k 群 组 的 其 它 群 组 的 其 它 S l a c k 用 户 用 户 除 了 在 同 一 S l a c k 群 组 的 用 户 ， 那 么 这 个 漏 洞 的 利 用 范 围 还 能 不 能 再 扩 大 呢 ？ 也 就 是 说 ， 如 果 不 相 互 加 入 同 一 个 S l a c k 群 组 ， 能 否 向 其 他 S l a c k 用 户 发 送 恶 意 链 接 利 用 这 个 漏 洞 ？ 答 案 是 可 以 的 。 S l a c k 群 组 可 以 订 阅 R S S 推 送 ， 并 可 以 用 包 含 链 接 的 站 点 更 新 发 送 给 群 组 。 为 此 ， 我 们 可 以 想 像 一 种 场 景 ， 假 设 某 个 非 常 受 欢 迎 的 r e d d i t . c o m 论 坛 模 块 ， 有 好 多 S l a c k 用 户 都 订 阅 了 这 个 论 坛 ， 那 么 我 在 上 面 发 布 一 个 经 恶 意 构 造 的 s l a c k : / / s e t t i n g s + l i n k 链 接 会 怎 样 呢 ？ 作 为 测 试 之 用 ， 我 在 一 个 私 人 R e d d i t 论 坛 中 进 行 了 发 贴 ， 发 贴 中 包 含 有 一 个 正 常 的 超 链 接 。 由 于 R e d d i t 论 坛 不 允 许 直 接 的 s l a c k : / /   l i n k s 链 接 ， 所 以 我 又 构 造 了 从 正 常 的 超 链 接 跳 转 到 s l a c k : / /   l i n k s 链 接 的 方 法 ， 如 下 ： 这 条 帖 子 内 容 发 布 之 后 ， 订 阅 了 这 个 R e d d i t 论 坛 模 块 的 用 户 就 会 收 到 R e d d i t 新 帖 子 条 目 的 更 新 提 示 ， 点 击 提 示 进 入 后 就 能 预 览 到 我 们 构 造 的 恶 意 链 接 ： 但 这 个 技 巧 存 在 一 个 小 小 的 不 足 ， 那 就 是 当 用 户 点 击 其 中 的 恶 意 链 接 后 ， 浏 览 器 会 跳 出 如 下 的 应 用 切 换 提 示 框 ， 只 有 点 击 “ Y e s ” 后 ， 用 户 S l a c k 程 序 的 文 档 下 载 存 储 位 置 才 会 发 生 改 变 ： 总 结 总 结
该 漏 洞 的 利 用 技 术 可 能 会 被 一 些 懂 行 的 具 备 安 全 意 识 的 S l a c k 用 户 识 破 ， 但 是 ， 大 量 网 络 钓 鱼 事 件 的 经 验 表 明 ， 用 户 最 好 不 要 轻 易 点 击 来 历 不 明 的 网 页 链 接 ， 尤 其 是 ， 该 漏 洞 可 以 通 过 伪 装 的 R S S 推 送 形 成 大 范 围 影 响 。 攻 击 者 通 过 设 置 S l a c k 用 户 的 文 档 下 载 存 储 位 置 ， 可 以 轻 易 控 制 受 害 者 的 下 载 文 件 ， 攻 击 者 也 可 以 修 改 这 些 下 载 文 件 ， 在 其 中 捆 绑 木 马 等 恶 意 软 件 。 当 受 害 者 打 开 S l a c k 中 的 下 载 文 件 时 ， 其 实 就 是 与 攻 击 者 控 制 的 远 程 S M B 存 储 系 统 进 行 了 交 互 ， 其 打 开 的 下 载 文 件 可 能 是 被 攻 击 者 捆 绑 过 木 马 的 文 件 ， 那 么 ， 攻 击 者 将 会 有 更 深 入 的 入 侵 渗 透 可 能 。 还 好 ， 漏 洞 上 报 后 ， 经 S l a c k 调 查 表 明 ， 目 前 为 止 没 有 任 何 该 漏 洞 被 在 野 利 用 过 的 线 索 或 报 告 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理