🚾 👊🏼 👍🏻 नेटस वेब। वेब भेद्यता का फायदा उठाने के उद्देश्य से CTF मंच का मार्ग। भाग ४ 🤵🏽 👩‍❤️‍💋‍👩 👩🏿‍🤝‍👩🏻

इस लेख में, हम एक उदाहरण के रूप में नाट्स वॉरगेम्स का उपयोग करके कुछ WEB- पहचान के संचालन से निपटेंगे। प्रत्येक स्तर पर अगले स्तर के पासवर्ड तक पहुंच है। सभी पासवर्ड / etc / natas_webpass / files में भी संग्रहीत हैं। उदाहरण के लिए, natas5 का पासवर्ड फ़ाइल / etc / natas_webpass / natas5 में संग्रहीत है और केवल natas4 और natas5 उपयोगकर्ताओं के लिए पढ़ा जाता है।

पिछले भाग: भाग 1 , भाग 2 और भाग 3 ।

संगठनात्मक जानकारी

विशेष रूप से उन लोगों के लिए जो सूचना और कंप्यूटर सुरक्षा के किसी भी क्षेत्र में कुछ नया सीखना और विकसित करना चाहते हैं, मैं निम्नलिखित श्रेणियों के बारे में लिखूंगा और बात करूंगा:

PWN;
क्रिप्टोग्राफी (क्रिप्टो);
नेटवर्क टेक्नोलॉजीज (नेटवर्क);
रिवर्स (रिवर्स इंजीनियरिंग);
स्टेग्नोग्राफ़ी (स्टेग्नो);
WEB कमजोरियों की खोज और उनका दोहन।

इसके अलावा, मैं अपने अनुभव को कंप्यूटर फोरेंसिक, मैलवेयर और फर्मवेयर के विश्लेषण, वायरलेस नेटवर्क और स्थानीय क्षेत्र नेटवर्क पर हमले, पेंटेस्ट का संचालन करने और कारनामे लिखने में साझा करूंगा।

ताकि आप नए लेख, सॉफ्टवेयर और अन्य जानकारी के बारे में जान सकें, मैंने टेलीग्राम में एक चैनल बनाया और आईसीडी के क्षेत्र में किसी भी मुद्दे पर चर्चा करने के लिए एक समूह बनाया। साथ ही, मैं व्यक्तिगत रूप से आपके व्यक्तिगत अनुरोधों, प्रश्नों, सुझावों और सिफारिशों पर व्यक्तिगत रूप से विचार करूंगा और सभी का जवाब दूंगा ।

सभी जानकारी केवल शैक्षिक उद्देश्यों के लिए प्रदान की जाती है। इस दस्तावेज़ का लेखक इस दस्तावेज़ का अध्ययन करने के परिणामस्वरूप प्राप्त ज्ञान और विधियों का उपयोग करने के परिणामस्वरूप किसी को हुए नुकसान के लिए कोई ज़िम्मेदारी नहीं उठाता है।

स्तर 22

स्रोत कोड का विश्लेषण करने के बाद, यह स्पष्ट हो जाता है कि यदि रवेलियो जीईटी पैरामीटर खाली नहीं है तो हम पासवर्ड देखेंगे।

लेकिन पहली जांच में, यदि व्यवस्थापक सत्र स्थापित नहीं है, तो हम इस पृष्ठ पर मापदंडों के बिना पुनर्निर्देशित हैं।

आपको बस वेब एजेंट का उपयोग करने की आवश्यकता है न कि ब्राउज़र, उदाहरण के लिए कर्ल।

हम पासवर्ड निकाल लेते हैं।

स्तर 23

हम स्रोत कोड का विश्लेषण करते हैं। स्ट्रस्ट (s1, s2) फ़ंक्शन s1 से एक विकल्प देता है जो s2 से शुरू होता है। इसके अलावा php स्वचालित रूप से टाइप करता है। यही है, इसकी तुलना करते समय, यह स्ट्रिंग को एक संख्या तक ले जाएगा और अतिरिक्त वर्णों को छोड़ देगा।

"11iloveyou" स्ट्रिंग हमारी स्थिति के लिए उपयुक्त होगी। पहले चेक पर, यह "इलोवेयौ" लौटाता है, अर्थात यह सच है। दूसरे चेक में, 11> 10, यानी ट्रू।

स्तर 24

इस स्तर पर एक तार्किक त्रुटि भी होती है। हालत वैसे भी सच है अगर strcmp FALSE देता है। लेकिन strcmp त्रुटि के मामले में भी FALSE लौटाएगा।

हालांकि php स्वचालित रूप से टाइप करते हैं, लेकिन यह एक स्ट्रिंग को एक अरेंज करने में सक्षम नहीं है। ऐसा करने के लिए, पृष्ठ स्रोत कोड खोलें और फ़ील्ड नाम को "पासवार्ड" से "पासवार्ड []" में बदल दें।

हम कोई भी लाइन भेजते हैं।

हम पासवर्ड निकाल लेते हैं।

स्तर 25

स्रोत कोड का विश्लेषण करते समय, सबसे दिलचस्प logRequest () फ़ंक्शन है, जो उन क्षेत्रों को संसाधित करता है जिन्हें उपयोगकर्ता नियंत्रित कर सकता है। यह User_Agent और कुकी session_id का HTTP हेडर है।

यह ध्यान देने योग्य है कि सभी अनुक्रम "../" स्ट्रिंग से हटा दिए गए हैं, लेकिन यह इसके द्वारा किया जा सकता है: "... / / /" => "" ../ "।

समाधान का विचार: चूंकि रिकॉर्डिंग लॉग के लिए पथ session_id पर निर्भर करता है, जिसे हम नियंत्रित कर सकते हैं, और प्रदर्शन भाषा चुनकर सर्वर पर पथ का चयन किया जाता है - LFI के कारण हम लॉग फ़ाइल को पढ़ सकते हैं।

अब यह हमारी लॉग फ़ाइल में / etc / natas_webpass / natas26 से पासवर्ड लिखने के लिए बना हुआ है। चूंकि हमारा वेब-एजेंट पहले रिकॉर्ड किया गया है और फिर फ़ाइल से आउटपुट है, इसलिए हम इस फ़ील्ड में php कोड जोड़ देंगे।

हमें पासवर्ड मिलता है।

स्तर 26

इस उदाहरण में, एक बहुत ही गंभीर भेद्यता है - वस्तुओं का अनफ़िल्टर्ड डिसेरलाइज़ेशन। Unserialize () फ़ंक्शन एक क्रमबद्ध चर लेता है और इसे एक PHP ऑब्जेक्ट में वापस परिवर्तित करता है।

परिवर्तित मान लौटाया जाता है, जो पूर्णांक, फ्लोट, स्ट्रिंग, सरणी या ऑब्जेक्ट हो सकता है। यानी आप किसी भी कोड को निष्पादित कर सकते हैं। जब लॉगर वर्ग बनाया जाता है, तो फ़ाइल में कुछ जानकारी लिखता है।

विचार इस प्रकार है:

लकड़हारा वर्ग को फिर से लिखें, जहां संदेशों में से एक के बजाय एक php कोड निहित होगा जो एक पासवर्ड का उत्पादन करेगा।
इसे बेस 64 में एनकोड करें।
कुकी में पेस्ट करें।
लॉग फ़ाइल तक पहुँचें।
पासवर्ड निकाल लें।

<?php class Logger{ private $logFile; private $initMsg; private $exitMsg; function __construct($file){ $this->initMsg="<? passthru('cat /etc/natas_webpass/natas27'); ?>"; $this->exitMsg="<? passthru('cat /etc/natas_webpass/natas27'); ?>"; $this->logFile = "img/phpobjinj.php"; } function log($msg){ ; } function __destruct(){ ; } } $obj = new Logger("obj"); echo urlencode(base64_encode(serialize($obj))); ?>

हमें पासवर्ड मिलता है।

स्तर 27

यह सेवा उपयोगकर्ता डेटा प्रदान करती है। लेकिन अगर उपयोगकर्ता मौजूद नहीं है, तो वह इसे निर्दिष्ट उपयोगकर्ता नाम और पासवर्ड के साथ बनाता है।

समस्या यह है कि उपयोगकर्ता बनाने के बाद, सेवा लॉगिन पर उसके पासवर्ड की जांच नहीं करती है। उसी समय, डेटाबेस में गिरने के बाद लॉगिन और पासवर्ड के केवल पहले 64 अक्षर। इतना ही नहीं, हम उपयोगकर्ता नाम जानते हैं: natas28।

एक खाली पासवर्ड और नाम वाला एक उपयोगकर्ता बनाएं: "natas28_60-spaces_ any-character"। (इसलिए, सत्यापन के दौरान, उपयोगकर्ता natas28 के साथ कोई संयोग नहीं होगा, लेकिन निर्माण के दौरान इसे फ़िल्टर किया जाएगा और डेटाबेस में जोड़ा जाएगा। यानी, अगले कॉल पर पासवर्ड की जांच नहीं की जाएगी)।

हम नाम nasas28 और एक खाली पासवर्ड के तहत जाते हैं। हमें उपयोगकर्ता डेटा natas28 मिलता है।

जारी रखा जाए। आप टेलीग्राम पर हमसे जुड़ सकते हैं।