Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-26 06:30:37 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/file-inclusion/via-php_session_upload_progress.md

5 KiB
Raw Blame History

LFI2RCE putem PHP_SESSION_UPLOAD_PROGRESS

{% hint style="success" %} Naučite i vežbajte hakovanje AWS:HackTricks Obuka AWS Crveni Tim Stručnjak (ARTE)
Naučite i vežbajte hakovanje GCP: HackTricks Obuka GCP Crveni Tim Stručnjak (GRTE)

Podržite HackTricks
{% endhint %}

Osnovne informacije

Ako pronađete Uključenje Lokalne Datoteke čak i ako nemate sesiju i session.auto_start je Isključen. Ako je session.upload_progress.enabled Uključen i pružite PHP_SESSION_UPLOAD_PROGRESS u multipart POST podacima, PHP će omogućiti sesiju za vas.

$ curl http://127.0.0.1/ -H 'Cookie: PHPSESSID=iamorange'
$ ls -a /var/lib/php/sessions/
. ..
$ curl http://127.0.0.1/ -H 'Cookie: PHPSESSID=iamorange' -d 'PHP_SESSION_UPLOAD_PROGRESS=blahblahblah'
$ ls -a /var/lib/php/sessions/
. ..
$ curl http://127.0.0.1/ -H 'Cookie: PHPSESSID=iamorange' -F 'PHP_SESSION_UPLOAD_PROGRESS=blahblahblah'  -F 'file=@/etc/passwd'
$ ls -a /var/lib/php/sessions/
. .. sess_iamorange

In the last example the session will contain the string blahblahblah

Imajte na umu da sa PHP_SESSION_UPLOAD_PROGRESS možete kontrolisati podatke unutar sesije, pa ako uključite svoju sesijsku datoteku možete uključiti deo koji kontrolišete (na primer, php shellcode).

{% hint style="info" %} Iako većina tutorijala na internetu preporučuje da postavite session.upload_progress.cleanup na Off iz razloga debagovanja, podrazumevana vrednost session.upload_progress.cleanup u PHP-u je i dalje On. To znači da će vaš napredak u otpremanju u sesiji biti očišćen što je pre moguće. Dakle, ovo će biti Trkački uslov. {% endhint %}

CTF

U originalnom CTF-u gde je komentarisana ova tehnika, nije bilo dovoljno iskoristiti Trkački uslov već je učitani sadržaj trebalo da počne i sa stringom @<?php.

Zbog podrazumevanog podešavanja session.upload_progress.prefix, naša SESIJSKA datoteka će početi sa dosadnim prefiksom upload_progress_ Na primer: upload_progress_controlledcontentbyattacker

Triks za uklanjanje početnog prefiksa bio je base64enkodirati payload 3 puta a zatim ga dekodirati putem filtera convert.base64-decode, to je zato što kada se base64 dekodira PHP će ukloniti čudne karaktere, tako da posle 3 puta samo payload poslat od strane napadača će ostati (i tada napadač može kontrolisati početni deo).

Više informacija u originalnom writeup-u https://blog.orange.tw/2018/10/ i finalni exploit https://github.com/orangetw/My-CTF-Web-Challenges/blob/master/hitcon-ctf-2018/one-line-php-challenge/exp_for_php.py
Još jedan writeup na https://spyclub.tech/2018/12/21/one-line-and-return-of-one-line-php-writeup/

{% hint style="success" %} Naučite i vežbajte hakovanje AWS:HackTricks Training AWS Red Team Expert (ARTE)
Naučite i vežbajte hakovanje GCP-a: HackTricks Training GCP Red Team Expert (GRTE)

Podržite HackTricks
{% endhint %}