Server Side Inclusion/Edge Side Inclusion Injection
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Server Side Inclusion Basic Information
(Introduzione tratta dalla documentazione di Apache)
SSI (Server Side Includes) sono direttive che vengono inserite nelle pagine HTML e valutate sul server mentre le pagine vengono servite. Ti permettono di aggiungere contenuti generati dinamicamente a una pagina HTML esistente, senza dover servire l'intera pagina tramite un programma CGI o un'altra tecnologia dinamica. Ad esempio, potresti inserire una direttiva in una pagina HTML esistente, come:
<!--#echo var="DATE_LOCAL" -->
E, quando la pagina viene servita, questo frammento verrà valutato e sostituito con il suo valore:
Martedì, 15-gen-2013 19:28:54 EST
La decisione su quando utilizzare SSI e quando far generare completamente la tua pagina da un programma è solitamente una questione di quanto della pagina è statico e quanto deve essere ricalcolato ogni volta che la pagina viene servita. SSI è un ottimo modo per aggiungere piccoli pezzi di informazione, come l'ora corrente - mostrata sopra. Ma se la maggior parte della tua pagina viene generata al momento in cui viene servita, devi cercare un'altra soluzione.
Puoi dedurre la presenza di SSI se l'applicazione web utilizza file con le estensioni .shtml
, .shtm
o .stm
, ma non è solo questo il caso.
Un'espressione SSI tipica ha il seguente formato:
Controlla
Edge Side Inclusion
C'è un problema nella memorizzazione nella cache delle informazioni o delle applicazioni dinamiche poiché parte del contenuto potrebbe essere varia per la prossima volta che il contenuto viene recuperato. Questo è ciò per cui viene utilizzato ESI, per indicare utilizzando i tag ESI il contenuto dinamico che deve essere generato prima di inviare la versione memorizzata nella cache. Se un attaccante è in grado di iniettare un tag ESI all'interno del contenuto memorizzato nella cache, allora potrebbe essere in grado di iniettare contenuto arbitrario nel documento prima che venga inviato agli utenti.
Rilevamento ESI
Il seguente header in una risposta dal server significa che il server sta utilizzando ESI:
Se non riesci a trovare questo header, il server potrebbe comunque utilizzare ESI. Un approccio di sfruttamento cieco può essere utilizzato poiché una richiesta dovrebbe arrivare al server degli attaccanti:
ESI exploitation
GoSecure ha creato una tabella per comprendere i possibili attacchi che possiamo provare contro diversi software compatibili con ESI, a seconda delle funzionalità supportate:
Includes: Supporta la direttiva
<esi:includes>
Vars: Supporta la direttiva
<esi:vars>
. Utile per bypassare i filtri XSSCookie: I cookie del documento sono accessibili al motore ESI
Intestazioni Upstream Richieste: Le applicazioni surrogate non elaboreranno le dichiarazioni ESI a meno che l'applicazione upstream non fornisca le intestazioni
Host Allowlist: In questo caso, gli include ESI sono possibili solo da host server autorizzati, rendendo SSRF, ad esempio, possibile solo contro quegli host
Software | Includes | Vars | Cookies | Intestazioni Upstream Richieste | Host Whitelist |
Squid3 | Yes | Yes | Yes | Yes | No |
Varnish Cache | Yes | No | No | Yes | Yes |
Fastly | Yes | No | No | No | Yes |
Akamai ESI Test Server (ETS) | Yes | Yes | Yes | No | No |
NodeJS esi | Yes | Yes | Yes | No | No |
NodeJS nodesi | Yes | No | No | No | Optional |
XSS
La seguente direttiva ESI caricherà un file arbitrario all'interno della risposta del server
Bypass client XSS protection
Rubare Cookie
Rubare cookie da remoto
Rubare il cookie HTTP_ONLY con XSS riflettendolo nella risposta:
File Locale Privato
Non confondere questo con un "Includere File Locale":
CRLF
Open Redirect
Il seguente aggiungerà un'intestazione Location
alla risposta
Aggiungi intestazione
Aggiungi intestazione nella richiesta forzata
Aggiungi intestazione nella risposta (utile per bypassare "Content-Type: text/json" in una risposta con XSS)
CRLF nell'intestazione Add (CVE-2019-2438)
Akamai debug
Questo invierà informazioni di debug incluse nella risposta:
ESI + XSLT = XXE
Specificando il valore xslt
per il parametro dca, è possibile includere eXtensible Stylesheet Language Transformations (XSLT)
basato su ESI. L'inclusione fa sì che il surrogato HTTP recuperi i file XML e XSLT, con quest'ultimo che filtra il primo. Tali file XML sono sfruttabili per attacchi XML External Entity (XXE), consentendo agli attaccanti di eseguire attacchi SSRF. Tuttavia, l'utilità di questo approccio è limitata poiché l'ESI include già come vettore SSRF. A causa dell'assenza di supporto nella libreria sottostante Xalan, i DTD esterni non vengono elaborati, impedendo l'estrazione di file locali.
File XSLT:
Controlla la pagina XSLT:
XSLT Server Side Injection (Extensible Stylesheet Language Transformations)Riferimenti
Elenco di rilevamento Brute-Force
Impara e pratica il hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Impara e pratica il hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated