Médecine légale, injection SQL et chat endurci: analyse de la tâche n ° 3 de l'étape en ligne NeoQUEST-2020

Aujourd'hui, nous allons considérer la tâche la plus controversée de NeoQUEST-2020 : sa première partie est championne du nombre de participants qui l'ont franchie, et la deuxième partie n'a obéi qu'à quelques-uns. Qui a t-il de si spécial à propos de lui? Comprenez la coupe!


Avez-vous déjà dû enquêter sur un vidage de RAM? Savez-vous combien de choses intéressantes vous pouvez en tirer? (spoiler: tout, y compris les résultats des scripts en cours d'exécution, des photos récentes, ainsi que l'historique du navigateur).
Qu'en est-il des injections SQL exotiques? Vous téléchargez une certaine image sur le site et vous recevez des informations d'une base de données fermée - n'est-ce pas un crime idéal?
Dans la première partie de l'article, nous examinerons les outils pour analyser le vidage de la mémoire et apprendre comment extraire les informations dont nous avons besoin à partir de là, et dans la deuxième partie de l'article, nous montrerons clairement le processus de manipulation des balises d'image pour une injection délicate :)

Alors, la tâche consiste à télécharger l' archive, qui contient un fichier binaire de 1 Go avec le nom parlant memdump.bin, sur la base duquel nous pouvons supposer qu'il s'agit d'un vidage de RAM. Nous utiliserons le cadre de volatilité pour ses recherches . Volatility prend en charge divers plugins qui facilitent la recherche et l'extraction du vidage de diverses informations utiles pour faire chanter un analyste. Tout d'abord, utilisez la commande imageinfo et obtenez des informations sur le vidage:



A en juger par la sortie de la commande imageinfo, nous avons affaire à un vidage de la mémoire de Windows 7. Ensuite, nous allons examiner la liste des processus en cours d'exécution dans le système au moment où le vidage a été supprimé à l'aide de la commande pslist:



Dans cette liste, vous pouvez voir plusieurs processus intéressants. Commençons l'étude avec le processus chrome.exe - vous pouvez toujours trouver quelque chose d'intrigant dans le navigateur. Il existe des plugins supplémentaires pour la volatilité qui automatisent l'extraction d'informations des processus. Par exemple, le plugin chromehistory nous permettra d'extraire l'historique de visite d'un navigateur à partir d'un vidage de RAM:



Dans l'histoire de chrome, plusieurs choses intéressantes peuvent être remarquées à la fois. Tout d'abord, un lien vers la deuxième partie de la mission, ainsi que des requêtes de recherche sur les métadonnées dans les images PNG, ce qui est également un indice pour la deuxième partie, mais nous y reviendrons plus tard. Au stade actuel, nous sommes intéressés par les demandes de code promotionnel pour une remise sur le site et les fichiers pdf, qui suggèrent l'objet de recherches supplémentaires (l'exécution d'Acrobat Reader`a peut également nous inciter à le faire). Essayons de trouver des documents pdf dans un vidage en utilisant la commande filescan:



Bonne chance! Il semble qu'il y ait du promo.pdf dans le vidage. Essayons de le tirer en utilisant la commande dumpfiles:



À ce stade, des difficultés mineures peuvent survenir du fait que certains visualiseurs de documents pdf peuvent ne pas reconnaître le fichier qui vient d'être extrait (il vous suffit de supprimer les octets supplémentaires à la fin du fichier). Mais avons-nous vraiment peur de quelques octets supplémentaires? :) Au final, ouvrez le document et voyez le code QR, après avoir lu lequel, nous obtenons le drapeau de la première partie de la tâche (et en même temps le code promotionnel pour recevoir un cadeau de l'équipe NeoQUEST - nous offrons des prix mémorables tous les participants qui ont terminé au moins une tâche!).



Ensuite, essayez d'obtenir le deuxième drapeau. Nous revenons sur le site dont le lien a été trouvé dans l'historique du navigateur. Pour accéder au site, vous devez entrer un code promotionnel. Nous rappelons l'historique de recherche dans le navigateur et la description du document lui-même (UTILISER CECI POUR JOINDRE), à partir de laquelle nous pouvons supposer que le premier indicateur est le code promotionnel dont nous avons besoin. Nous le saisissons sur le terrain et arrivons sur le site où l'on nous propose de télécharger une photo: à en



juger par la fréquence de blocage du site, nos participants ont décidé de vérifier expérimentalement le chargement de tous les types de documents possibles. Un certain temps plus tard, nous comprenons que seules les images PNG peuvent être téléchargées sur le site. Le prochain casse-tête est le message «Pas assez de données pour stocker cette image, désolé!», Qui se produit lorsque vous essayez de télécharger une image.

Revenant à l'historique du navigateur, nous rappelons les demandes du formulaire «ajouter des métadonnées au fichier png». En utilisant des inférences simples, nous concluons que, très probablement, certaines valeurs doivent être saisies dans les métadonnées pour télécharger une image sur un site. Vous pouvez commencer par étudier le format PNG (pour une description, par exemple, cliquez ici ). Tout d'abord, vérifiez la liste des mots clés standard pour les images PNG de métadonnées, par exemple: "Auteur", "Description", etc. En utilisant, par exemple, l'utilitaire de conversion de l'ensemble ImageMagick, ajoutez des métadonnées à l'image de test:

convert test.png -set 'Title' '1' -set 'Author' '2' -set 'Description' '3' -set 'Copyright' '4 '-set' Creation Time '' 5 '-set' Software '' 6 '-set' Clause de non-responsabilité '' 7 '-set 'Avertissement' '8' -set 'Source' '9' -set 'Comment' '0' out.png

Nous essayons de télécharger l'image résultante sur le site et apprécions le succès:



Il s'avère que les champs de métadonnées nécessaires sont Titre, Description, Auteur et Copyright.
D'ailleurs, un indice pour cela peut également être trouvé dans le vidage de la mémoire: vous pouvez trouver la mention du fichier mr_cat.png en utilisant la volatilité.



Nos participants ont décidé que c'était avec l'aide de M. Cat qu'il fallait injecter le site (beaucoup de messages sont venus à notre courrier avec M. Cat dans une apparence compressée, inversée, réfléchie et autre inesthétique ), mais le chat n'a rien à voir avec ça! Il distrait simplement et fait allusion aux participants: bon, regardez-moi, il y a quelque chose d'intéressant à l'intérieur! A l'intérieur du dépotoir, l'image n'a été que partiellement conservée; cependant, dans ses résidus, vous pouvez remarquer les champs de métadonnées complétés nécessaires:



Allez-y: nous pouvons maintenant télécharger des fichiers sur le site; cependant, que donne-t-il et comment rechercher un drapeau? Il est logique de supposer qu'une fois que les métadonnées sont requises pour le téléchargement, il est possible qu'elles soient utilisées d'une manière ou d'une autre pour stocker les fichiers téléchargés (par exemple, comme clés dans une base de données). Hourra! Nous approchons du dessert: nous devons vérifier sur le site la possibilité d'une injection SQL. Nous constatons que si l'un des paramètres est remplacé par un double guillemet ("), le site nous signalera une erreur au lieu de charger l'image:



Nous voyons maintenant la requête SQL elle-même et comprenons quels champs nous pouvons utiliser afin de construire une injection pour extraire des données de la base de données utilisée. Quant à l'emplacement du drapeau, dans ce cas, il est logique de vérifier la toute première image qui a été téléchargée dans la base de données. De plus, pendant l'opération d'injection, vous devez faire attention au fait que INSERT est exécuté dans la demande. Cela nous oblige à construire des requêtes spécifiques car il est impossible d'effectuer explicitement une opération SELECT à partir de la même table dans laquelle nous l'insérons en même temps que l'opération d'insertion (INSERT).

Faisons une demande avec laquelle nous extrayons la description de la première image de la base de données:

convert test1.png -set 'Title' '1' -set 'Author' '", (SELECT description FROM (SELECT * FROM picture) AS x limit 0,1)) - -' -set 'Description' '3' - set 'Copyright' '4' test.png

Téléchargez l'image résultante sur le site Web et obtenez la description dans le champ Copyright, qui est un indicateur:



Hourra, tâche terminée! Nous espérons que nous avons convaincu tout le monde de revérifier les entrées des utilisateurs pour la millionième fois, et aussi de la garder en sécurité la prunelle de vos yeux de créer un vidage de votre RAM :)
Terminez l'article avec une citation des grands sages: