spacesos: add writeup #7
Conversation
|
@derlaft @Alagunto @pomo-mondreganto @jnovikov |
| @@ -0,0 +1,40 @@ | |||
| # Spacesos Writeup | |||
| Есть сервис на дарте, который через `messages.dart` отправляет сообщения на сервис на php. В нём и будут все уязвимости. | |||
| ## First vulnerability | |||
There was a problem hiding this comment.
Name it like 'SSRF vulnerability'
| chdir("/tmp/messages"); | ||
| echo file_get_contents(path_normalize($user)) ?? ""; | ||
| ``` | ||
| Если в имени user будет #, то в `$_GET['user']` вернёт имя без # |
There was a problem hiding this comment.
The described method is good, but if you can please explain first the 'original' exploit and you can describe this as a second option (which comes from the one SSRF & no-sanitization problem).
| echo file_get_contents(path_normalize($user)) ?? ""; | ||
| ``` | ||
| Если в имени user будет #, то в `$_GET['user']` вернёт имя без # | ||
| Получается можно посмотреть все public crashes, нарегать юзеров с таким же именем и #xxxx на конце и мы получим краши юзеров без #xxxx |
There was a problem hiding this comment.
The reader can misunderstood the sentence like 'the vuln allow you to read public crashes'
| ``` | ||
| Если в имени user будет #, то в `$_GET['user']` вернёт имя без # | ||
| Получается можно посмотреть все public crashes, нарегать юзеров с таким же именем и #xxxx на конце и мы получим краши юзеров без #xxxx | ||
| ## Second vulnerability |
There was a problem hiding this comment.
Name it like 'PHP sanitization bypass'
| @@ -0,0 +1,40 @@ | |||
| # Spacesos Writeup | |||
| Есть сервис на дарте, который через `messages.dart` отправляет сообщения на сервис на php. В нём и будут все уязвимости. | |||
There was a problem hiding this comment.
That is not true that all the vulns are in the PHP service.
Dart one is the one that should not allow to control the urlstring and causes SSRF.
| } | ||
| ``` | ||
| Как мы видим, если username будет путь, то он вырежет все `..`, поэтому по папкам походить не получится, но можно вставить `.`, и тогда будет всё отлично. | ||
| Опять же, смотрим public crashes, регаем юзеров с именем xxxxx/./admin и смотрим краши админа. |
There was a problem hiding this comment.
- should it be
xxxx/../admin? - There is no
adminin this service, so it will be good to change likexxxxx/./<user_to_sploit>
|
Thanks for your contribution. I want to ask you to improve your writeup before merging.
|
No description provided.