diff --git a/pentesting-web/file-upload/README.md b/pentesting-web/file-upload/README.md index f33c7f637..78664f143 100644 --- a/pentesting-web/file-upload/README.md +++ b/pentesting-web/file-upload/README.md @@ -9,8 +9,8 @@ GCPハッキングを学び、実践する：' >> img.png` -* **圧縮が画像に追加されている**場合、たとえば、[PHP-GD](https://www.php.net/manual/fr/book.image.php)のような標準PHPライブラリを使用している場合、前述の技術は役に立ちません。ただし、**PLTEチャンク** [**ここで定義された技術**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html)を使用して、圧縮に耐えるテキストを挿入できます。 +* **圧縮が画像に追加されている**場合、たとえば、[PHP-GD](https://www.php.net/manual/fr/book.image.php)のような標準のPHPライブラリを使用している場合、前述の技術は役に立ちません。ただし、**PLTEチャンク**[**ここで定義された技術**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html)を使用して、圧縮を**生き残る**テキストを挿入できます。 * [**コードのあるGitHub**](https://github.com/synacktiv/astrolock/blob/main/payloads/generators/gen\_plte\_png.php) -* ウェブページが画像を**リサイズ**している場合、たとえば、PHP-GD関数`imagecopyresized`または`imagecopyresampled`を使用している場合、前述の技術は役に立ちません。ただし、**IDATチャンク** [**ここで定義された技術**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html)を使用して、圧縮に耐えるテキストを挿入できます。 +* ウェブページが画像を**リサイズ**している場合、たとえば、PHP-GD関数`imagecopyresized`または`imagecopyresampled`を使用している場合、前述の技術は役に立ちません。ただし、**IDATチャンク**[**ここで定義された技術**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html)を使用して、圧縮を**生き残る**テキストを挿入できます。 * [**コードのあるGitHub**](https://github.com/synacktiv/astrolock/blob/main/payloads/generators/gen\_idat\_png.php) -* 画像のリサイズに耐えるペイロードを作成する別の技術として、PHP-GD関数`thumbnailImage`を使用します。ただし、**tEXtチャンク** [**ここで定義された技術**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html)を使用して、圧縮に耐えるテキストを挿入できます。 +* 画像のリサイズを**生き残る**ペイロードを作成するための別の技術として、PHP-GD関数`thumbnailImage`を使用します。ただし、**tEXtチャンク**[**ここで定義された技術**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html)を使用して、圧縮を**生き残る**テキストを挿入できます。 * [**コードのあるGitHub**](https://github.com/synacktiv/astrolock/blob/main/payloads/generators/gen\_tEXt\_png.php) ### その他のチェックするトリック * すでにアップロードされたファイルの**名前を変更**する脆弱性を見つけます（拡張子を変更するため）。 -* バックドアを実行するための**ローカルファイルインクルージョン**脆弱性を見つけます。 +* **ローカルファイルインクルージョン**の脆弱性を見つけてバックドアを実行します。 * **情報漏洩の可能性**： 1. **同じファイル**を**同時に**何度もアップロードします。 2. **既存のファイル**または**フォルダー**の**名前**でファイルをアップロードします。 3. **「.」、「..」、または「…」を名前に持つファイル**をアップロードします。たとえば、Apacheの**Windows**では、アプリケーションがアップロードされたファイルを「/www/uploads/」ディレクトリに保存する場合、「.」というファイル名は「/www/」ディレクトリに「uploads」というファイルを作成します。 -4. **NTFS**で簡単に削除できないファイル（例：「…:.jpg」）をアップロードします。（Windows） -5. **無効な文字**（例：`|<>*?”`）を名前に持つファイルを**Windows**にアップロードします。（Windows） +4. **NTFS**で簡単に削除できないファイルをアップロードします（例：**「…:.jpg」**）。(Windows) +5. **無効な文字**（例：`|<>*?”`）を名前に持つファイルを**Windows**にアップロードします。(Windows) 6. **予約された**（**禁止された**）**名前**（例：CON、PRN、AUX、NUL、COM1、COM2、COM3、COM4、COM5、COM6、COM7、COM8、COM9、LPT1、LPT2、LPT3、LPT4、LPT5、LPT6、LPT7、LPT8、LPT9）を持つファイルを**Windows**にアップロードします。 * **実行可能ファイル**（.exe）または**.html**（あまり疑わしくない）をアップロードして、被害者が誤って開いたときに**コードを実行**することも試みてください。 @@ -123,9 +123,9 @@ JettyサーバーにXMLファイルをアップロードできる場合、[**新 ## **uWSGI RCE** -この脆弱性の詳細な調査については、元の研究を確認してください：[uWSGI RCE Exploitation](https://blog.doyensec.com/2023/02/28/new-vector-for-dirty-arbitrary-file-write-2-rce.html)。 +この脆弱性の詳細な調査については、元の研究を確認してください：[uWSGI RCEの悪用](https://blog.doyensec.com/2023/02/28/new-vector-for-dirty-arbitrary-file-write-2-rce.html)。 -リモートコマンド実行（RCE）脆弱性は、`.ini`構成ファイルを変更する能力がある場合、uWSGIサーバーで悪用できます。uWSGI構成ファイルは、"magic"変数、プレースホルダー、および演算子を組み込むために特定の構文を利用します。特に、`@(filename)`として使用される'@'演算子は、ファイルの内容を含めるために設計されています。uWSGIでサポートされているさまざまなスキームの中で、"exec"スキームは特に強力で、プロセスの標準出力からデータを読み取ることを可能にします。この機能は、`.ini`構成ファイルが処理されるときに、リモートコマンド実行や任意のファイルの書き込み/読み取りなどの悪意のある目的に悪用される可能性があります。 +リモートコマンド実行（RCE）脆弱性は、`.ini`構成ファイルを変更する能力がある場合、uWSGIサーバーで悪用できます。uWSGI構成ファイルは、"magic"変数、プレースホルダー、および演算子を組み込むための特定の構文を利用します。特に、`@(filename)`として使用される`@`演算子は、ファイルの内容を含めるために設計されています。uWSGIでサポートされているさまざまなスキームの中で、"exec"スキームは特に強力で、プロセスの標準出力からデータを読み取ることを可能にします。この機能は、`.ini`構成ファイルが処理されるときに、リモートコマンド実行や任意のファイルの書き込み/読み取りなどの悪意のある目的に悪用される可能性があります。 以下は、さまざまなスキームを示す有害な`uwsgi.ini`ファイルの例です： ```ini @@ -152,7 +152,7 @@ uWSGIの設定ファイル解析の緩い性質を理解することが重要で ## **wget File Upload/SSRF Trick** 場合によっては、サーバーが**`wget`**を使用して**ファイルをダウンロード**しており、**URL**を**指定**できることがあります。この場合、コードはダウンロードされたファイルの拡張子がホワイトリスト内にあるかどうかを確認して、許可されたファイルのみがダウンロードされることを保証しているかもしれません。しかし、**このチェックは回避可能です。**\ -**linux**における**ファイル名**の**最大**長は**255**ですが、**wget**はファイル名を**236**文字に切り詰めます。**"A"\*232+".php"+".gif"**という名前のファイルを**ダウンロード**できます。このファイル名は**チェックを回避**します（この例では**".gif"**は**有効**な拡張子です）が、`wget`はファイル名を**"A"\*232+".php"**に**変更**します。 +**linux**における**ファイル名**の**最大**長は**255**ですが、**wget**はファイル名を**236**文字に切り詰めます。**"A"\*232+".php"+".gif"**という名前のファイルを**ダウンロード**できます。このファイル名は**チェックを回避**します（この例では**".gif"**は**有効**な拡張子です）が、`wget`はファイルを**"A"\*232+".php"**に**名前変更**します。 ```bash #Create file and HTTP server echo "SOMETHING" > $(python -c 'print("A"*(236-4)+".php"+".gif")') @@ -183,7 +183,7 @@ AAAAAAAAAAAAAAAAAAAAAAAAAAAAA 100%[============================================= ## ファイルアップロードから他の脆弱性へ -* **filename**を`../../../tmp/lol.png`に設定して**パストラバーサル**を試みる +* **filename**を`../../../tmp/lol.png`に設定して**パス・トラバーサル**を試みる * **filename**を`sleep(10)-- -.jpg`に設定すると、**SQLインジェクション**を達成できるかもしれません * **filename**を``に設定してXSSを達成する * **filename**を`; sleep 10;`に設定してコマンドインジェクションをテストする（他の[コマンドインジェクションのトリックはこちら](../command-injection.md)） @@ -195,9 +195,9 @@ AAAAAAAAAAAAAAAAAAAAAAAAAAAAA 100%[============================================= * [有名な**ImageTrick**脆弱性](https://mukarramkhalid.com/imagemagick-imagetragick-exploit/) * **URLから画像を取得するようにWebサーバーを指示できる**場合、[SSRF](../ssrf-server-side-request-forgery/)を悪用することを試みることができます。この**画像**が**公開**サイトに**保存**される場合、[https://iplogger.org/invisible/](https://iplogger.org/invisible/)からのURLを指定して、**すべての訪問者の情報を盗む**こともできます。 * [**XXEとCORS**バイパスをPDF-Adobeアップロードで実行](pdf-upload-xxe-and-cors-bypass.md) -* 特別に作成されたPDFでXSS: [次のページでは、**PDFデータを注入してJS実行を取得する方法**を示しています](../xss-cross-site-scripting/pdf-injection.md)。PDFをアップロードできる場合、与えられた指示に従って任意のJSを実行するPDFを準備できます。 -* \[eicar]\([**https://secure.eicar.org/eicar.com.txt**](https://secure.eicar.org/eicar.com.txt))の内容をアップロードして、サーバーに**ウイルス対策**があるかどうかを確認します -* ファイルをアップロードする際に**サイズ制限**があるかどうかを確認します +* 特別に作成されたPDFでXSS: [以下のページは、**PDFデータを注入してJS実行を取得する方法**を示しています](../xss-cross-site-scripting/pdf-injection.md)。PDFをアップロードできる場合、与えられた指示に従って任意のJSを実行するPDFを準備できます。 +* \[eicar]\([**https://secure.eicar.org/eicar.com.txt**](https://secure.eicar.org/eicar.com.txt))の内容をアップロードして、サーバーに**ウイルス対策**があるかどうかを確認する +* ファイルをアップロードする際に**サイズ制限**があるかどうかを確認する 以下は、アップロードによって達成できることのトップ10リストです（[こちらから](https://twitter.com/SalahHasoneh1/status/1281274120395685889)）： @@ -209,7 +209,7 @@ AAAAAAAAAAAAAAAAAAAAAAAAAAAAA 100%[============================================= 6. **AVI**: LFI / SSRF 7. **HTML / JS** : HTMLインジェクション / XSS / オープンリダイレクト 8. **PNG / JPEG**: ピクセルフラッド攻撃 (DoS) -9. **ZIP**: LFIを介したRCE / DoS +9. **ZIP**: LFI経由のRCE / DoS 10. **PDF / PPTX**: SSRF / BLIND XXE #### Burp拡張