PHP FILTER CHAINS: FILE READ FROM ERROR-BASED ORACLE Introduction DownUnder CTF 2022 FROM php:8.1-apache RUN mv "$PHP_INI_DIR/php.ini-production" "$PHP_INI_DIR/php.ini" COPY index.php /var/www/html/index.php

Browser-Powered Desync Attacks A New Frontier in HTTP Request Smuggling Outline HTTP handling anomalies Client-side desync Pause-based desync Defence & Takeaways HTTP handling anomalies Connection state attacks

起因 意外翻到了某個客服網站有個疑似被惡意塞入的 ssrf 漏洞，抱持著嘗試找到新的洞的心態深入挖掘下去 Recon 對於新的一個網站，首先先用工具做滲透測試，主要使用工具為AWVS、ARL、各類型的子域名爆破工具、針對路徑做 fuzz 的工具，並掃描該 ip 所開啟的 protocol 有哪些可以利用。 將用子域名爆破工具掃出來的網站一一丟進AWVS、ARL掃描，其中比較關鍵的是找到一個 SSRF頁面，參數是url，看起來就是故意留的，先嘗試利用看看可以做到什麼樣的程度。 ssrf.php 有路徑可使用首先先試試 LFI，因為其攻擊最為簡單

A flaw was found in the way the "flags" member of the new pipe buffer structure was lacking proper initialization in copy_page_to_iter_pipe and push_pipe functions in the Linux kernel and could thus contain stale values. An unprivileged local user could use this flaw to write to pages in the page cache backed by read only files and as such escalate their privileges on the system. :::info affact kernel [v5.8, fixed on v5.16.11, v5.15.25 and v5.10.102) ::: <small>以下 code 都是以 linux kernel v5.15.0 為例</small> Introduction 作者的公司有提供網頁伺服器服務，有一個建立 log 檔的系統，並且提供用戶下載來查看流量，有一天客戶跟他們反應，他們下載了網頁伺服器的日誌壓縮檔，進行解壓縮時，被解壓縮程式警告說 gzip 檔有 CRC 校驗的錯誤，作者想一想，就手動幫他的客戶修復這個 CRC 的問題，但一個月後，又發生了好多次，那錯誤的檔案一多，就可以檢查看看有沒有一個規律，發現每次都是發生在壓縮檔的結尾，就是檔案中 CRC 的位置，這個位置的值被蓋成了 zip 檔的檔頭，作者找了很久找不到問題，覺得這一定是 kernel bug。

Abstract fastjson 是一個 Java 的 library，可以將 Java Object 和 JSON 格式互相轉換，主要為 Alibaba 開發 Github Repository Background AutoType允許用戶在反序列化數據中透過 @type 指定反序列化的 class 類型 fastjson [v1.2.25,)

registerFont in FontMetrics.php in Dompdf before 2.0.1 allows remote file inclusion because a URI validation failure does not halt font registration, as demonstrated by a @font-face rule. :::info affact Dompdf (, 2.0.1] ::: Abstract Dompdf is a popular library in PHP used for rendering PDF files from HTML. Background

** RESERVED ** This candidate has been reserved by an organization or individual that will use it when announcing a new security problem. When the candidate has been publicized, the details for this candidate will be provided. :::info affact kernel [v3.17, v?) ::: <small>以下 code 都是以 linux kernel v5.16.15 為例</small> Abstract Dirty Cred 是一個提權漏洞，能夠繞過 kernel 中 cred 的檢查機制，使用時需搭配能夠寫入 heap 相關的漏洞。

Introduction DoS，由兩個以上的的電腦發起 DoS 攻擊就稱為 DDoS 攻擊 美國國土安全部旗下的美國電腦緊急應變小組定義的阻斷服務攻擊症狀包括： 網路異常緩慢（打開檔案或存取網站） 特定網站無法存取 無法存取任何網站 垃圾郵件的數量急劇增加 無線或有線網路連接異常斷開

Zero Copy scenario 從 disk 讀檔，再將檔案用 socket 傳給另一 client read(file, tmp_buf, len); write(socket, tmp_buf, len); cpu copy 2 次 dma copy 2 次 切 mode 4 次

[toc] OpenVPN 發送封包流程 packets 經過 system call 之後傳入 TCP/IP stack，再傳入 TUN/TAP 虛擬網卡中，虛擬網卡用hard_start_xmit() 將 packets 加入 skbuffer，並將 packets 從 kernel space 複製到 user space，OpenVPN 再用網卡中的 character device turn_read() 讀取 packets，將 packets SSL 加密後透過 socket 送出。 接受封包流程 物理網卡收到 packets，經過 TCP/IP stack，OpenVPN 通過 link_socket_read() 接收 packets，SSL 解密，OpenVPN 調用 character device turn_write() 寫到虛擬網卡，再將 packets 從 userspace 複製到 kernel space，寫入 skbuffer，再調用 netif_rx() 接收，packets 再次進入 TCP/IP stack。 Layer 3 or Layer 2