• XSS.stack #1 – первый литературный журнал от юзеров форума

Фишинг в сраке (slack-e)

Что делать?

panicum

floppy-диск
Пользователь
Регистрация
10.03.2024
Сообщения
1
Реакции
0
Я недавно реверсил приложение, наткнулся на хук в слаку, на который шлются логи при краше в дебаг режиме. В новой версии хук подчистили, но он остался рабочим.
Вот думаю заслать туда что-то типа такого
pic.jpg
Много текста - чтоб отключился мозг. При клике на любую из двух кнопок, открывается ссылка для установки моего приложения. Если все успешно, приложение читает все их файлы и переписки. Или, если попросить доступ, можно слать сообщения от имени кликнувшего. Конечно, дальше нужно будет в чат отослать, что все успешно, ссылка обновлена/удалена. Можно даже, если выберут обновить, настроить хук в другом воркспейсе и форвардить сообщения из одного хука на другой, чтоб не было подозрений.

Есть одна проблема. Страница с авторизацией приложения выглядит так
pic2.jpg
На что я прошу авторизацию скорее всего никто внимания не обратит, но вот текст на желтом фоне - что приложение не одобрено слаком - все портит. Чтоб от него избавиться, нужно пройти проверку, что теоретически возможно, но сложно. Не знаю, получится ли и стоит ли заморачиваться.

Мой изначальный план был назвать приложение "Webhook Security" и просить права админа, т.к. это логично, что только он может делать что-либо с веб-хуками и дает доступ ко всему, что есть во всех каналах. Если кликнет кто-то другой, ему скажут: "Извини, ты не админ". Но я вот потестил, обнаружил желтый текст, и теперь думаю, если только один человек пойдет устанавливать приложение, шанс на успех невелик. Так что нужно поменять как-то текст и план, чтоб первый этап прошло больше людей. Или не менять текст, но просить права только клиента. В общем, нужен совет. Или, как думаете, yolo, слать так?
 
Последнее редактирование:


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх