file download 심화 공격

웹 디렉터리를 파악한다

 

why ?

웹셀을 업로드 하기 위해서 ( 파일 업로드 취약점 )

* 파일 업로드 취약점을 성공적으로 수행하기 위해서 웹 디렉터리 파악이 필수

업로드의 상세 경로를 모르는 경우가 많기 때문에, 웹 디렉터리 파악과 정보수집은 필수

즉, 심화공격은 연계 공격을 하기 위한 밑작업 이다

웹 디렉터리란 : 웹 소스코드가 실행이 되는 최상위 디렉터리

window apache 기준으로 htdocs, Tomcat으로는 Root, linux apache /var/www/html

 

경로 이동문자

../ > 우회해서 사용할 수 있다는것 가정 > 웹 디렉터리를 파악

 

웹 디렉터리 ( ROOT ) - upload 폴더 - image 폴더

환경분석으로 JAVA 언어 기반인것을 유추

> index.html, index.jsp

../index.html

../../index.html

../../../index.html 로 index파일 경로 유추

 

../../index.jsp 파일 확인 가능 - index 파일 확인 및 경로 확인 가능

JAVA : index.html , index.jsp, index.do // WEB-INF/web.xml

PHP : index.html, index.php

web-inf 파일 확인 가능

html로는 접근 불가능

정보 수집 및 분석

1) 파일이 어디에 업로드가 되는지 경로를 파악한다

- 파일 업로드 소스코드를 다운 받은 후 분석

2) 웹 소스코드도 다운로드한 뒤 웹 어플리케이션 로직을 분석한다

- 해당 어플리케이션 소스코드를 다운 받은 후 분석

3) 톰캣(WEB-INF) 디렉터리에서 web.xml 파일을 다운 받은 후 정보를 획득한다

-../ 를 추가하면서 WEB-INF/web.xml 파일을 다운 받은 후 분석

4) 히스토리 및 로그파일을 분석하여 정보 획득

 

 

192.168.0.200/download_vuln/prob1

 

목표

C:\success\Open Me.txt 메모장의 내용을 확인하시오

 

대문자로 변경해도 오류 없음 > 윈도우 서버임을 확인

../가 null 값으로 치환 됐음을 알 수 있다.

index.html 파일 확인 가능

해당 파일 확인

 

 

 

목표2

C:\success\Open Me.txt 메모장의 내용을 확인하시오

대문자 변경해도 같은 값 출력 > 윈도우 서버

/를 차단해둔것

%5C로 치환 후 내용 확인 \로 치환 후 내용 확인

UTF-8로 변경 후 해당 내용 확인

혹은 proxy에서 해당 구문 입력 후 

다운로드한 파일 확인

목표3

C:\success\Open Me.txt 메모장의 내용을 확인하시오

download.php(해당사이트의 코드) 파일 내용 확인

파일 이름에 \와 / 금지 및 /가 들어갔을 경우 허용되지 않은 문자 포함 경고창 그리고 path/filename

Forward 후 다운로드 내용확인

다운로드 후 내용 확인

 

 

 

목표4

C:\success\Open Me.txt 메모장의 내용을 확인하시오

base64로 된 것 확인 후

인코딩

해당 txt 파일 확인

forward 후 파일 다운로드 - 메모장 확인

 

 

목표5

C:\success\Open Me.txt 메모장의 내용을 확인하시오

./와 /와 \와 .\가 막힌것을 확인 후 ....//를 사용해서 확인

이 후 forward 하면 뜨는

해당 문구 확인

 

 

목표6

C:\success\Open Me.txt 메모장의 내용을 확인하시오

./와 /와 \와 .\가 막힌것을 확인 후 ...// , ....//도 막힌것 확인 .....///과 ........//// 사용 후 메세지 확인

시큐어 코딩에 시큐어코딩 더할 수 있음

해당 문구 확인

 

 

목표7

C:\success\Open Me.txt 메모장의 내용을 확인하시오

/ = 공백 치환

./ = 해당 파일이 존재 x

.. = 공백 치환

\ = 사용 가능 > 파일명의 처음,뒤에는 괜찮은데 중간에 들어가면 해당파일이 존재 x

. = 사용 가능 > 파일명의 처음,뒤에는 괜찮은데 중간에 들어가면 해당파일이 존재 x

치환 순서 = / 먼저 치환 후 .. 치환 > 사용 불가

./. > .. >  둘 다 지워진다

..이 먼저 치환 후 / 치환 > 사용 가능

./. > /이 살아남고 ../ == /가 먼저 치환 되는것을 노리기