免责声明：
本公众号致力于安全研究和红队攻防技术分享等内容，本文中所有涉及的内容均不针对任何厂商或个人，同时由于传播、利用本公众号所发布的技术或工具造成的任何直接或者间接的后果及损失，均由使用者本人承担。请遵守中华人民共和国相关法律法规，切勿利用本公众号发布的技术或工具从事违法犯罪活动。最后，文中提及的图文若无意间导致了侵权问题，请在公众号后台私信联系作者，进行删除操作。
在实战中经常会遇到配置文件中配置了很多不知道怎么利用的基于sass的或者私有化部署应用的key，从刚开始的微信公众号通过开发者模式的简单利用，到前段时间企业微信的未授权漏洞爆出，各种利用工具被写出，这里分享一个针对于飞书应用凭证泄露的工具。
目前总体设想图
针对于某书泄露的key进行了初步的功能实现。
-
通讯录导出
-
创建删除用户
创建用户
点击链接则可加入企业
删除用户
通过提供八位user_id删除用户
-
消息操作
分为上传文件、下载文件、发送消息
上传文件
给出file key
发送消息
通过file key和user id去发送给指定人员
对于key泄露的利用还是需要该key拥有比较高的权限，所以平时对于云应用权限审批或者配置的时候需要实行最小化原则。 工具已传小密圈，需要体验的欢迎扫描下方二维码
原文始发于微信公众号（Lambda小队）：工具分享-某书凭证泄露后利用工具
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论