🐉 ❄️ 🍩 राइट-अप CTFZone Quals 2019: चिकन 🛍️ 🏍️ 🎵

OFFZONE 2020 सम्मेलन के स्थगित होने के बावजूद , एक CTFZone अंतिम होगा ! इस साल यह पहली बार ऑनलाइन आयोजित किया जाएगा और इसे सोशल नेटवर्क पर सक्रिय रूप से प्रसारित किया जाएगा।

हम बाद में विवरण की घोषणा करेंगे, लेकिन अभी के लिए, हम सुझाव देते हैं कि योग्यता चरण से वेबटस्क स्टार्टअप की खोज करें। समाधान का विश्लेषण हमें कनाडा से देवंद मैकलीन ने भेजा था । विशेष रूप से हेबर के लिए, हमने स्थानीय छापे के पाठ का अनुवाद किया है और हम आपको यह पता लगाने के लिए आमंत्रित करते हैं कि प्रतिभागियों को किस श्रृंखला में कमजोरियों का सामना करना पड़ा और चिकन का इससे क्या लेना-देना है।

सामान्य जानकारी

कार्य के लेखक: पावेल सोरोकिन
अंक: 470
टीमों की संख्या जिन्होंने कार्य को हल किया: 2

उपयोगी कड़ियाँ:

, - :

(/Home/Index);
(/Home/Hens);
(/Home/Contact);
(/Auth/Login).

, , :

;
API , .

मुर्गी "पासपोर्ट" डाउनलोड करने के लिए लिंक में होम / होम पेज शामिल हैं।

Base64 को डिकोड करने के बाद, हम पैरामीटर फ़ाइल नाम ढूंढते हैं: 1.txt। CyberChef का उपयोग करते हुए, हम Base64 में एनकोड / etc / passwd करते हैं और लिंक का अनुसरण करते हैं:

http://web-chicken.ctfz.one/File/Download?filename=L2V0Yy9wY2NndzQ= सर्वर पर / etc / passwd फ़ाइल

की सामग्री ब्राउज़र में खोली जाती है। हमें सिस्टम में मनमानी फ़ाइलों को पढ़ने का अधिकार मिलता है। जब आप सिस्टम में अन्य फ़ाइलों को खोजने की कोशिश करते हैं, तो आप हर बार दिखाई देने वाली एक त्रुटि को देख सकते हैं जो आप एक बिना फाइल के अनुरोध करते हैं (या एक फ़ाइल जिसे एप्लिकेशन के उपयोगकर्ता अधिकारों के साथ नहीं पढ़ा जा सकता है):

यह देखने के बाद कि त्रुटि ASPNETCORE_ENVIRONMENT पर्यावरण चर को संदर्भित करती है , हम ASP.NET कोर वेब अनुप्रयोग लेआउट का अध्ययन करना शुरू करते हैं। और हम निम्नलिखित देखते हैं:

आवश्यक पथ और फ़ाइल नाम परिवर्तित करने और उन्हें Base64 में निकालने के लिए, हम एक छोटा पायथन स्क्रिप्ट ( fetch.py ) लिखते हैं :

ASP.NET Core में बनाए गए MVC वेब एप्लिकेशन की संरचना के बारे में इस ज्ञान का उपयोग करके, fetch.py का उपयोग करके हमें निम्न फ़ाइलों के लिए स्रोत कोड प्राप्त होता है:

../Views/Shared/_Layout.cshtml
../Views/Home/Index.cshtml
../Views/Home/Contact.cshtml
../Views/Home/Hens.cshtml
../Views/Auth/Login.cshtml

ऐसा करने और प्रत्येक पृष्ठ के स्रोत कोड का अध्ययन करने के बाद, हम Hens.cshtml में एक दिलचस्प विवरण पाते हैं

लाइन 1 में StackHenneryMVCAppProject का उपयोग करके समावेश विवरण @ शामिल है, जिसमें ASP.NET का अर्थ है DLL फ़ाइल का लिंक।

हम खोलते हैं ../StackHenneryMVCAppProject.dll - लेकिन काली लिनक्स में पायथन उपयोगिता के माध्यम से नहीं, बल्कि विंडोज पर ब्राउज़र में, क्योंकि हम इस फाइल को विंडोज में डिकंपाइल करने जा रहे हैं। जैसे कि URL के उपयोग के माध्यम:

http://web-chicken.ctfz.one/File/Download?filename=Li4vU3RhY2tIZW5uZXJ5TVZDQXBwUHJvamVjdC5kbGw=

खुलने dnSpy में DLL- फ़ाइल (.NET decompiler), तुरंत विधि में देखते हैं कि Initialize () वर्ग कॉन्फिग। कॉन्फ़िगरेशन , जो वेब अनुप्रयोग शुरू होने पर चलता है, चिकन_डोमेन_इंटरनेट.टेक्स्ट फ़ाइल की सामग्री को पढ़ता है । पायथन स्क्रिप्ट का उपयोग करते हुए, हम इस फ़ाइल की सामग्री को निकालते हैं:

वेब-चिकन-ध्वज
web- Chicken-Cort -

The Initialize () विधि 4321 पोर्ट के माध्यम से वेब-चिकन-ध्वज से जुड़ती है और कई पैरामीटर प्राप्त करती है: secret_token , RSA_key और ध्वज ।

दुर्भाग्य से, वेब-चिकन-ध्वज के लिए कनेक्शन शुरू करना संभव नहीं है। लेकिन, जब हम सर्वर के बाह्य IP पता (के लिए वेब चिकन लेखन का अनुवाद करने में स्थानीय डीएनएस मेजबान रिकॉर्ड बनाया 34.89.232.240 ), हम खोलने के लिए प्रबंधन http: // वेब चिकन लेखन / साथ स्वैगर यूआई इंटरफेस है कि प्रयोग किया जाता है रीस्ट एपीआई के माध्यम से कमांड का वर्णन और निष्पादित करना।

विघटित DLL फ़ाइल में खुदाई करते समय, आप देख सकते हैं कि AuthController नियंत्रक के पास न केवल लॉगिन () विधि थी, बल्कि Change_Password_Test () विधि भी थी :

जब हम / प्रामाणिक / Change_Password_Test पर जाते हैं, तो हम यह फ़ॉर्म देखते हैं:

Change_Password_Test () विधि का अध्ययन करते समय , हम समझते हैं कि यह HTTP POST अनुरोध के माध्यम से स्ट्रिंग के चार प्रकारों को संसाधित करता है:

उपयोगकर्ता नाम;
नया पासवर्ड;
पुराना पासवर्ड;
base_url।

Change_Password_Test () विधि को हम थोड़ा देखते हैं: base_url के लिए कोई मान प्राप्त किए बिना , विधि मान लेता है ।auth_server , जो वेब-चिकन- ऑर्किटिव है , और फिर base_url वैल्यू के अंत में असाइन / स्ट्रिंग / वर्जन जोड़ देता है , जिसके परिणामस्वरूप रिक्वेस्ट चर को असाइन किया जाता है :

कोड के अगले महत्वपूर्ण भाग में, HTTP POST अनुरोध से उपयोगकर्ता नाम और पुराने_पासवर्ड मापदंडों के स्ट्रिंग मान और उनके साथ कॉन्फ़िगरेशन से secret_token , JSON स्ट्रिंग में डाले जाते हैं। फिर, इस डेटा से एक JSON स्ट्रिंगकंटेंट ऑब्जेक्ट बनाया जाता है , जिसे पिछले चरण में बनाए गए requestURI चर के लिए HTTP POST डेटा के रूप में भेजा जाता है ।

अब सर्वर HTTP POST के अनुरोध का इंतजार करता है । कोड पैरामीटर के साथ JSON ऑब्जेक्ट को 0. के बराबर वापस करने के लिए अनुरोध करता है। यदि ऐसा नहीं होता है, तो हम उस लाइन शाखा में पहुंचते हैं जो लाइन 6 से शुरू होती है और त्रुटि / अमान्य / लॉगिन के साथ दृश्य / दृश्य / प्रामाणिक / लॉगिन देता है। पासवर्ड । यदि HTTP POST अनुरोध अभी भी 0 के बराबर कोड पैरामीटर के साथ एक JSON ऑब्जेक्ट लौटाता है , तो हम लाइन 11 से कोड शाखा में जाते हैं। तब requestUri2 चर का मान http: // वेब-चिकन-ऑक्ट्री , एक और JSON StringContent ऑब्जेक्ट बनाया जाता है

पिछले भाग की तरह, मूल HTTP POST अनुरोध के मापदंडों के साथ, और यह डेटा HTTP PUT अनुरोध में requestUri2 पते पर भेजा जाता है । अंत में, पासवर्ड बदला हुआ संदेश क्लाइंट को वापस कर दिया जाता है ।

संक्षेप में: पूरी प्रक्रिया एक HTTP POST अनुरोध के साथ / Auth / Change_Password_Test से शुरू होती है , जो कुछ निश्चित मापदंडों की अपेक्षा करती है। यह इन मूल्यों को लेता है और इसे HTTP POST के माध्यम से <base_url> / schem / login पर भेजने के लिए JSON ऑब्जेक्ट बनाता है । यदि प्रतिक्रिया में यह JSON को 0 के बराबर कोड पैरामीटर के साथ प्राप्त करता है , तो यह एक और JSON ऑब्जेक्ट बनाता है और HTTP: // वेब-चिकन-परसेंट / एंडोर्स / change_password के लिए एक HTTP PUT अनुरोध भेजता है ।

जब स्वैगर UI में REST API सीखते हैं, तो हम देखते हैं कि डीएलएमएल फ़ाइल में विघटित न केवल मार्ग / नियम / लॉगिन और / व्यावसायिक / परिवर्तन_पासवर्ड थे , बल्कि मार्ग / / पासवर्ड / पासवर्ड के लिए मार्ग भी थे ।

इस एपीआई मार्ग से दो मापदंडों के साथ एक JSON ऑब्जेक्ट की उम्मीद थी: ईमेल और secret_token । यदि वह इसे प्राप्त करता है, तो उसने 0 और संदेश और टोकन स्ट्रिंग्स की कोड संपत्ति के साथ एक JSON ऑब्जेक्ट लौटाया ।

यह पता चलता है कि अगर हम किसी तरह से Check_Password_Test () पद्धति को तुरंत / / लॉगिन / लॉगिन करने के बजाय मार्ग / नियम / पासवर्ड_recovery का अनुरोध करने के लिए मजबूर करते हैं , तो पासवर्ड बदलने की शाखा में प्रवेश करने के लिए यह एक वैध ईमेल पता दर्ज करने के लिए पर्याप्त होगा। हम फिर से कोड का हिस्सा है, जिसमें अध्ययन Check_Password_Test () विधि प्रदान करती है requestUri मूल्य मूल HTTP POST अनुरोध में, और हम समझते हैं कि हम मूल्य भेजने की जरूरत है http: // वेब चिकन लेखन / प्रमाणन / password_recovery # base_url पैरामीटर के रूप में, और फिर फाइनल में requestUri परिणाम http: // वेब-चिकन-पर / / / पासवर्ड_रेकवरी # / विशेषाधिकार / लॉगिन होगा ।

HTTP URL में # वर्ण इंगित करता है कि अनुरोध पते का हिस्सा समाप्त हो गया है। इसलिए, सर्वर जो अनुरोध प्राप्त करता है, वह बस / सामान्य / लॉगिन भाग को अनदेखा करेगा ।

यह, निश्चित रूप से, अच्छा है, लेकिन हमें अभी यह पता लगाना है कि REST समापन बिंदु, जहां हम अब अनुरोध को पुनर्निर्देशित करते हैं, ईमेल मान प्राप्त करेंगे । इस मान के बिना, अनुरोध विफल हो जाएगा, और हम आगे नहीं जाएंगे।

हम ध्यान से देखते हैं कि Check_Password_Test () विधि JSON डेटा कैसे बनाती है, और हम देखते हैं कि इनपुट डेटा को बिल्कुल भी साफ़ नहीं किया गया है, जिसका अर्थ है कि आप आसानी से अपने मापदंडों को लागू कर सकते हैं। यह HTTP POST अनुरोध में निम्नलिखित पैरामीटर भेजने के लिए पर्याप्त है:

उपयोगकर्ता नाम = admin
old_password = pwned "," email ":" admin@chicken.ctf.zone "," lol ":"
new_password = ptat0
base_url = http: // web-chicken-dif / विशेषाधिकार / पासवर्ड_ सेवा #

परिणामी JSON ऑब्जेक्ट को /ory / password_recovery पर भेजा जाता है :

इस JSON डेटा के साथ, हम उन आवश्यकताओं को पूरा करते हैं जो /ory / password_recovery को एक प्रतिक्रिया देनी चाहिए, जिसके बाद सर्वर पासवर्ड परिवर्तन शाखा में प्रवेश करेगा (JSON ऑब्जेक्ट में ईमेल प्रॉपर्टी होती है )। अब हमें पुराने_पासवर्ड के मूल्य की आवश्यकता नहीं है। इस कोड को शाखा में, हम सभी पासवर्ड बदलने के लिए आवश्यक मान दिए ( उपयोगकर्ता नाम संपत्ति है व्यवस्थापक और पासवर्ड संपत्ति है p0tat0 )। अनुरोध पूरा हो गया है, और हमें प्रतिक्रिया में पासवर्ड बदला गया है।

यह केवल लॉगिन पेज पर एक नया उपयोगकर्ता नाम और पासवर्ड दर्ज करने के लिए बना हुआ है!

और यहाँ हमारा झंडा है:

राइट-अप CTFZone Quals 2019: चिकन

सामान्य जानकारी

More articles: