Ring0 CTF Web Çözümleri

[Cezeri]

Konu karmaşası olmaması adına tek başlıkta toplayalım dedik.
Çözümler eklendikçe konuya post geçilecektir.


"Propaganda Mail" sorusu

Selamlar,

İnternette bulunan online CTF’ler arasından en beğendiklerimden birisi olan RingZeroTeam CTF’inde bulunan web sorularından “Propaganda Mail” sorusunun çözümünü anlatacağım. Bu soru genel manada RCE ve zayıf filtreleme konularını içermektedir.

Soru Linki ; Propaganda mail 12...

İçeriğin tamamını görüntüleyebilmeniz için foruma üye olmanız gerekmektedir. Giriş yap veya üye ol.

 

[Cezeri]

"Read the unreadable" sorusu

RingZer0 ekibinin bu sorusunun çözümünde HTTP İstek Başlıklarından bir tanesi olan “Range” başlığını incelenecektir. Reel hedefler üzerinde pek işinizi göreceğini düşünmüyorum fakat farklı konular adına ufuk açıcı bir soru olabileceği için paylaşıyorum.

Soru Linki ; Read the Unreadable 1

Soruya girdiğinizde “Bu sayfanın içeriği FLAG kelimesini içerdiğinden engellendi” gibi bir ibare ile karşılaşıyoruz. Bizim izleyeceğimiz yol site içeriğini belirli aralıklara bölerek içerisinde FLAG kelimesi geçmeyecek şekilde isteklerde bulunmak olacak.

Bu noktada yardımımıza “Range” HTTP Başlığı koşuyor. Range başlığı ; kaynağın yalnızca bir bölümünü istediğini belirtir. İstenen bölüm, başlık içerisinde byte değerlere bölünerek ayrılabilir.

Genel manada kullanımı ; “Range: bytes=880-1000/*” şeklinde olabilmekte. Bu istek sonucunda 120 byte karakterin çıktısını alıyoruz. Hemen test edelim.

Daha önceki soruların FLAG değerlerinden bilindiği üzere soruların cevaplarının formatı “FLAG-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx” şeklindedir. Sayfayı bytelara bölerken FLAG kelimesinin olmadığı aralığı bulmamız gerekiyor. Flag değerleri 37 karakterden oluşuyor. İlk karakter olan “F” harfinin olmadığı 36 karakterlik atlamalar yaparak isteklerde bulunacağız ve kolaylıkla sonuca ulaşacağız.


Bu amaçla basit bir python scripti yazıp, işlemimizi otomatize edip flag değerini elde edelim.

Bu script, yukarıda bahsettiğimiz gibi 36 bytelık aralıklarla isteklerde bulunacak ve içerisinde “LAG-” kelimesinin olduğu ve aynı zamanda sayfamızın engellendiğini ifade eden “blocked” kelimesinin olmadığı aralığı bulup ekrana FLAG değerini ve kullanılan payloadı basacak.

Çıktıdan görüldüğü üzere “Range: bytes=1068-1104/*” şeklinde bir istek atarak FLAG değerini elde ettik.

Manuel kontrolümüzüde gerçekleştirelim ;

Jonturk @ JRBops

 

[Cezeri]

XPATH of hell!

Bu soruda “Blind XPath Injection” saldırısı gerçekleştirmeniz isteniyor.
XPath Injection hakkında detaylı bilgi için ; bknz : XPath Injection

“XPATH of hell” Soru Linki

" and substring(/*[1]/*[1]/@*[3],1,5)="FLAG- şeklindeki payloadın devamını getirerek flag değerini elde edebilirsiniz.

 

[Cezeri]

" Facebook will never forget this one"

Bu sorunun amacı XXE yöntemine değinmek. XXE, sitenin parse etmeye çalıştığı XML verisini manipüle ederek “File Read” ve/veya “Command Execution” tarzı zafiyetler elde etmemize olanak sağlayan bir güvenlik zafiyetidir.

NOT : XXE konusunu detaylı bir şekilde forumda ele alacağız.

Şimdi sorumuza geçelim.

“Facebook will never forget this one” Soru Linki 1





Kaynak koda bakarsanız JavaScript ile yazılmış scriptte bir XML isteği ile tarih bilgisi ekrana bastırılıyor.

Soru linkine girdiğinizde BurpSuite ile inceleme yaparsanız, “tarih ve saat” bölümünün otomatik POST edilen XML verisinden getirildiğini görebilirsiniz. Bu POST isteğini BurpSuite Repeater bölümüne alıp incelemesini yapalım.

POST edilen veriyi URL Decode ettiğimizde <date> şeklinde belirtilen tag içerisinde gönderilen tarih bilgisinin ekrana basıldığını görebiliyoruz.

tag içerisine eklediğimiz herhangi bir yazı ekrana basılıyor, biz bu XML isteğinde dışardan “/etc/passwd” dosyasının alınacağı bir ENTITY tanımlayarak ekrana bu ENTITY içeriğini bastıracağız ve /etc/passwd dosyasının içeriğini okuyacağız.

Bu amaçla ;

<?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE jonturk [<!ELEMENT vvHack ANY ><!ENTITY xxe SYSTEM "file://../../../../../../../../../../../etc/passwd" >]>

şeklinde bir ENTITY oluşturuyoruz ve bunu <date> </date> tagları arasına çağırıyoruz ve /etc/passwd dosyası içindeki FLAG değerini elde ediyoruz.