يفحص المحتوى والامتداد

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

الهاكر الآن يطلب أن يبدأ محتوى الملف بتوقيع صورة GIF89a وأن ينتهي الاسم بامتداد صورة jpg أو png أو gif لكن خادم الغربان مضبوط خطأ فينفذ أي ملف اسمه يحتوي .php ولو انتهى بامتداد صورة

ما الذي تراه أمامك

نفس صفحة رفع الصورة لكن الحماية الآن أقوى تتحقق أن المحتوى يبدأ بتوقيع صورة GIF89a وأن الاسم ينتهي بامتداد صورة لكن الخادم ينفذ أي اسم فيه php حتى خلف لاحقة صورة

الهدف

ارفع web shell يمر من فحص المحتوى والامتداد ومع ذلك ينفذ

متى يعتبر محلولا

تجاوزت فحص المحتوى والامتداد بامتداد مزدوج وملف polyglot

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

جرب رفع شيفرة عادية ولاحظ رفضها لغياب توقيع الصورة
ابدأ المحتوى بتوقيع صورة صالح
اجعل الاسم ينتهي بامتداد صورة مع إبقاء php داخله
تأكد أن الملف المركب نجح وينفذ

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

حتى فحص توقيع الصورة والامتداد يكسر: ملف polyglot يبدأ بتوقيع صورة صالح ويحمل شيفرة في بقيته والامتداد المزدوج shell.php.jpg يمر فحص النهاية لكن الخادم المضبوط خطأ ينفذه السبب خطآن: فحص لا يكفي وضبط خادم ينفذ بالامتداد المتوسط الحل: أعد تسمية الملف باسم عشوائي بامتداد تختاره أنت واخزنه خارج جذر الويب واضبط الخادم ألا ينفذ شيئا في مجلد الرفع ولا يفسر الامتدادات المزدوجة

السبب الجذري

فحص التوقيع والامتداد لا يمنع ملفا مركبا يبدأ كصورة وينتهي اسمه بصورة لكنه يحوي شيفرة والخادم ينفذ أي php في الاسم الجذر إعداد خاطئ ينفذ بناء على جزء من الاسم

كيف يصلح الكود

توقيع الصورة لا يمنع polyglot والامتداد المزدوج يخدع الفحص النهائي أعد التسمية واخزن خارج التنفيذ

الكود المصاب

if (!data.startsWith('GIF89a')) return bad();           // magic bytes
if (!/\.(jpe?g|png|gif)$/i.test(name)) return bad();    // suffix only
save('/var/www/uploads/' + name); // server runs *.php.jpg as PHP (misconfig)

الكود الآمن

if (!isRealImage(data)) return bad();          // full decode, not just magic
const name = randomId() + '.' + safeExtFor(data); // our name, our extension
save('/srv/blobs/' + name);                     // outside web root, never executed

الأثر في الواقع

الملفات المركبة polyglot تتجاوز فحوص المحتوى والامتداد معا وقد زرعت web shells في أنظمة اعتقدت أنها تتحقق جيدا

كيف يكتشفها المدافعون

المدافع يخزن خارج جذر الويب بأسماء مولدة بلا امتداد منفذ ويعيد ترميز الصور ويمنع تنفيذ أي محتوى في مجلد الرفع

العودة إلى الدرس