看我如何绕过Slack后端的SSRF防护机制

本文分享了一个存在于Slack接口api.slack.com中的缺陷,通过利用Slack内置的斜线命令(Slash Commands)功能,可以绕过Slack后端的SSRF防护措施,在Slack接口上形成两个服务端请求伪造漏洞(SSRF)。

Slack是一个协同办公应用平台和聊天群组,它能将工作伙伴、沟通信息和使用工具进行聚合以便高效完成工作。从世界百强大公司到小型企业,全球有数百万人在使用Slack进行内部团队沟通协调,协同办公推动业务。

利用斜线命令(Slash Commands)绕过Slack的SSRF防护机制

漏洞分析

斜线命令/commands,为Slack中某些特定命令的快捷方式,在消息字段中输入斜线加命令,点击发送,即可完成一项命令操作。如/who为列出当前群组成员,/archive为对当前群组存档,/collapse为对当前群组进行视频图片的折叠显示。默认情况下,工作群组内所有成员都可使用斜线命令,群组管理员也可对组内成员进行斜线命令的权限设定。

早前在Hackerone上,看到了Nicolas Grégoire 提交的一个“绕过Slack SSRF 防护机制”的漏洞,报告中Nicolas Grégoire有以下分析:

特殊情况下,一些Slack功能组合,如“Integrations / Phabricator”,以及“Integration / Slash Commands”,允许用户提交可由后端服务器处理的URL链接。在这种功能场景中,Slack自身有一个黑名单来限定对如loopback, 10.0.0.0/8, 192.168.0.0/24等特殊内部资源的访问,但是,可以使用“[::]”来作为某个Slack内部主机,对Slack后端服务器发起请求。这种请求方式仅对一些支持IPv6且绑定服务端口的Slack服务器有效。

在漏洞修复中,Nicolas Grégoire给出了在外部代理(Outgoing Proxy)和斜线命令中请求中禁用IPv6的建议。Slack也依此做了修复。

看我如何绕过Slack后端的SSRF防护机制但是,这种修复过的SSRF防护机制,还是可以被绕过的。具体测试步骤如下:

1、登录 api.slack.com,在自己的slack服务中填写你预设的斜线命令(Slash Commands)配置,其中Request URL填写的请求网站 http://206.189.204.187/,为我自己控制的网站:

看我如何绕过Slack后端的SSRF防护机制2、在这个我控制的206.189.204.187网站服务器中,设置一个index.php访问页面,内容为包含一个‘Location’ 头的重写向,跳转到一个新的地址http://[::]:22/。根据Nicolas Grégoire的漏洞,这个地址http://[::]:22/为Slack支持IPv6的内部主机。index.php:

看我如何绕过Slack后端的SSRF防护机制

<?php

 header("location: http://[::]:22/");
 ?>

3、通过api.slack.com,访问自己的slack服务 xxxx.slack.com,加入相应的斜线命令,该过程中通过请求http://206.189.204.187/的操作,间接执行了对Slack内部服务器22端口的请求-http://[::]:22/,结果如下:

看我如何绕过Slack后端的SSRF防护机制4、在http://206.189.204.187/的index.php访问页面加入http://[::]:25/后,由于Slack内部服务器25端口是关闭的,所以结果如下:

看我如何绕过Slack后端的SSRF防护机制也就是,如果Slack内部服务器22端口是开放的,则会有以下响应:

Protocol mismatch. 
SMTP on TCP/25

如果Slack内部服务器22端口是关闭的,则会有以下响应:

220 squid3.tinyspeck.com ESMTP Postfix 
221 2.7.0 Error: I can break rules, too. Goodbye.

漏洞影响

攻击者利用这种SSRF漏洞,可以借由服务端的功能特性,去读取服务器内部资源信息,探测内部服务端口和版本情况。

漏洞上报进程

2018.7.13  漏洞初报

2018.7.13  漏洞分类

2019.1.23  Slack $500发放

2019.2.22  漏洞披露

在Slack的Event Subscriptions接口参数处绕过SSRF防护机制

漏洞分析

Slack的事件接口(Event API)https://api.slack.com/events-api,可在各种时间发生时进行触发调用,比如消息发送的时候、channels改变的时候等。当我们在创建一些私人定制化的Slack应用时,经常会用到Slack事件接口(Event API)。

配置Slack事件接口时,我们须在事件订阅处(Event Subscriptions)设置一个Request URL用来作为事件的订阅地址。设置好该地址后,当事件发生时,Slack会向该地址发送HTTP POST请求,其中会包含事件验证的”type”、”challenge”和”token”参数。

看我如何绕过Slack后端的SSRF防护机制这里,SSRF防护绕过漏洞就存在于此- https://api.slack.com/apps/YOUAPPCODE/event-subscriptions?,当我们设置的订阅地址URL不符合Slack API标准时,会返回以下响应消息:

看我如何绕过Slack后端的SSRF防护机制

Your request URL gave us a 500 error. Update your URL to receive a new request and challenge value.

经过测试,我发现同样用IPv6地址格式 [::] 同样在此可以利用。比如,在我的管理网站中,设置一个x.php,内容如下:

<?php
header("location: ".$_GET['u']);
?>

我们构造一个URL地址:http://hacker.site/x.php/?u=http://[::]:22/,URL编码后为:http://hacker.site/x.php/?u=http://%5B::%5D:22/,把它填写在订阅地址的Request URL处,会有以下响应:

看我如何绕过Slack后端的SSRF防护机制也就是说,这种请求Slack内部服务器22端口,且端口开放的响应如下:

"body": {
 SSH-2.0-OpenSSH_7.2p2 Ubuntu-4ubuntu2.4
Protocol mismatch.
}

如果Slack内部服务器端口未开放(25),会有如下响应:

看我如何绕过Slack后端的SSRF防护机制

"body": {
 220 squid-iad-ypfw.tinyspeck.com ESMTP Postfix
221 2.7.0 Error: I can break rules, too. Goodbye.
}

如果Slack内部服务器端口不存在,会没有任何响应:

看我如何绕过Slack后端的SSRF防护机制

漏洞影响

攻击者利用这种SSRF漏洞,可以借由服务端的功能特性,去读取服务器内部资源信息,探测内部服务端口和版本情况。漏洞上报后,Slack安全团队认为我的漏洞是重复报,但我觉得他们搞错了,最终Slack还是认为我的漏洞有效。

漏洞上报进程

2018.7.24  漏洞初报 被评为重复报

2018.9.2    漏洞验证分类 有效报

2019.1.23   Slack发放$500赏金

2019.2.22  漏洞披露

*参考来源:medium,clouds编译

赞(0) 打赏
未经允许不得转载:zohn博客 » 看我如何绕过Slack后端的SSRF防护机制
分享到: 更多 (0)

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

“物流因我更安全”菜鸟安全响应中心白帽子城市沙龙成都站将于3月9日(下周六)在成都市高新区天府新谷10号楼17层WORK+举办

报名链接

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏