رتبها

ولله الحمد انتهت مسابقة #AtHack العالمية
كمية المُتعة تعجز حروفي عن وصفها !
شكراً ! @athackcon , @SAFCSP
وبكل حماس واندفاعية..
اقدم لكم حل احد التحديات الي واجهتنا 👇🔥
تنويه: قبل القراءة ينصح بتحضير كاسة نسكافيه سكر خفيف..⚠️
#CyberSecurity , #CTF

1⃣
تحدي Admin
النوع:ويب
التصنيف: صعب
نبدأ نقرأ وصف التحدي بتمعن وحنكة🧐:
_
مجرد موقع بسيط ! لا يوجد شي تراه هنا
ملاحظة: مسموح تخمين المجلدات في هذا التحدي
_
نشوف الموقع ومانلاحظ اي شي مثير للاهتمام
ولكن دقيقه ! مو قال مسموح التخمين؟
اجل وبكل اندفاعية و شراسة نبدا التخمين ..

2⃣
بس وش هو تخمين المجلدات؟
هو كتابة اسامي صفحات ( روابط )
مُحتمل وجودها فالموقع
لتنفيذ الهجوم نستعمل أداة FFUF
مع قائمة مسارات (اسامي ملفات)
نجيبها من قوقل (أنصح ب SecLists)
وفي خلال ثوان.. يرضخ امامنا الموقع !
ويكشف لنا عن صفحتين
صفحة admin , وصفحة login
يلا نزورها..

3⃣
تطلع لنا صفحة دخول ب حقل واحد فقط
نجرب نكتب أي شي ويرد علينا الموقع ويقول
(لم يتم العثور على المستخدم)
نروح صفحة admin ويطلع لنا كلام يقول بكل بساطة
( انت لست 127.0.0.1 )
طبعا من المعروف ان 127.0.0.1 هو ايبي اللوكل هوست
نستعمله لما نبي نخش على شي في نفس الجهاز ( السيرفر)

4⃣
نبدا بترتيب افكارنا..
كيف ممكن نتحكم في هذا الموقع ؟
ومين المتحكم بالموقع ؟ بضبط ! الادمن (الإدارة)
فلازم نستحوذ عليه
نبدا ب اول فكرة خطرت على بالنا
هو قال مسموح لوكل هوست
فنجرب بعض الي تعلمناه من الثريد السابق..
مثل هيدر X-Forwarded-For
لتمثيل وكأننا من اللوكل هوست

5⃣
للأسف فشلت محاولتنا ! ☹️
نسترجع نفسنا ونعيد التفكير في طريقة الاختراق
ايش الهجمات والثغرات
الي من الممكن تنفيذها ؟؟
نلاحظ الوصف قال انه مجرد موقع عادي !
والمواقع العاديه لو بتخش أي مكان فيها
لازم اول شي تسوي تسجيل دخول !
فنحتاج نتجاوز او نستغل الدخول
بهدف الوصول للادمن

6⃣
نبدا ندقق على صفحة الدخول
ونلاحظ ان الحقل اسمه authentication
بمعنى ان فيه عملية تحقق لهذا الحقل
وهنا نسأل: هو كيف يتحقق ؟
كعادة أي موقع يتصل بقاعدة بيانات ويتحقق
فيخطر على بالنا SQL
المستعمل فقواعد البيانات
واشهر ثغراتها Sql Injection
فبشكل سريع نهجم بأداة Sql map..

7⃣
وللأسف ! فشلنا للمره الثانيه ☹ , هل نفقد الأمل؟
نتذكر طعم وفرحة وصولنا للفلاق..
ونكمل بحث عن أفكار ثانيه لاختراق الموقع
ولكن للأسف بعد بحث طويل ماحصلنا فكرة مُمكنه
ولكن .. نراجع نفسنا شويه..
ونرجع لموضوع التحقق
احنا ماجربنا أي شي غير الSQL !!
هل ممكن في بديل..؟

8⃣
نتذكر بصدفه..
ان الموقع يقدر يسوي تحقق بتقنية اسمها XML !!
واكيد! ماننسى ثغرتها المشهورة XXE
نركض لاقرب قائمة بايلودز (أكواد إستغلال للثغرة)
وبحكم ان المنظمين وضحو ان الفلاق داخل السيرفر
تحديداً /home
ف نختار البايلود المشهور ل تحويل XXE إلى LFI
لقراءة ملفات السيرفر..

9⃣
طبعاً ! ماننسى نعطيه يوزر عشان ينفذ التحقق عليه
فنكتب له اسم مثلاً test
ومو احنا هدفنا صفحة الادمن؟
ف نحدد له اسمها عشان يقراها لنا
وبسم الله نحقن كود الاستغلال بأداة Burp suite
ونقول يارب..
واخيراً !!😭 يرد علينا بمحتوى صفحة الادمن base64
وبكل حماسس نفكه ونبدأ نقرأه..

🔟
نقرأ اكواد صفحة الادمن ونلاحظ ان الكود مقسم جزئين
نشوف الجزء الأول يوضح لنا انه لازم الإرسال
من داخل السيرفر (لوكل هوست)
واحنا متحكمين بصفحة الدخول الي من داخل السيرفر
ف هذي الجزئية امرها بسيط
نكتب داخل البايلود الي سويناه لوكل هوست
يعني نقوله احنا منكم وفيكم ..

1⃣1⃣
ونقرأ الجزئية الثانيه نلاحظ انه في أمر system
يستقبل متغير ip وهذا المتغير يتم تحديد قيمته
من ركوست من نوع GET
الي ينكتب مباشرة في الرابط
أمر system وظيفته تنفيذ أوامر داخل السيرفر
يعني كأنه ترمنل (نفس الcmd)
ولكن داخله امر ping لازم نتجاوزه ب سطر جديد
عشان ينفذ أمرنا

⏺️12
طيب كذا فهمنا ان احنا لازم نسوي سطر جديد
عشان ننفذ أمرنا
وطبعا مانقدر ناخذ راحتنا ونكتب /n وخلاص
لازم ننفذها مع عدم إستعمال أي رمز من القائمة
لانه مسوي لها فلترة ( منع )
بكل بساطة نشوف طريقة ثانيه لكتابتها ونتذكر %0a
وعشان نتجاوز الفلتر نشفرها مرتين URL ENCODE

⏺️13
و ننفذ خطتنا كامله للجزئين ونجرب نكتب امر id لتجربة..
وفعلاً !!! تم تنفيذ الامر! 🥳
يتبقى شي واحد فقط زي مابلغونا المنظمين..
نقرا الملفات الي داخل مجلد home ب امر ls
ثم نقرأ الفلاق ب امر cat
وأخيرا..بووووووومممممم😭🔥
يطلع لنا الفلاق ! 🚩