Попал в топ-10 багхантеров по результатам этого года на площадке BI.ZONE

Результаты года, последнюю половину которого принимаю участие в багбаунти программах (Через площадку BI.ZONE и напрямую):
- Нашёл 41 уязвимость в сервисах вендоров
- Попал в топ-10 хакеров площадки BI.ZONE
- Заработал в багбаунти около полутора миллиона рублей

Большая часть аудитории этого канала является студентами, подготовлю материал о методах развития в сфере ИБ и участии в багбаунти программах

Думал над интересным форматом контента, решил, что сделаю серию коротких видеороликов, пока что ориентированных на студентов.

Обсудим типичные уязвимости, интересные подходы и фишки. А пилотный видеоролик будет про IDOR (Следующий пост)

Недавно выложил в паблик свою ферму для CTF в формате Attack-Defense, которую около года обкатывали командой 89cr3w 👻

https://github.com/arkiix/CulhwchFarm

Из интересного:
• API позволяет оптимизировать работу с фермой. Например, можете написать парсер команд, который добавит их в ферму (В репе есть примеры client/team_parsers)
• Валидаторы, с помощью них вы можете валидировать поступающие флаги в ферму (откидывать невалидные)
• Удобная настройка основных параметров фермы и параметров протоколов/валидаторов на фронте
• Генератор команд на фронте, Вы можете сгенерировать список команд в одно нажатие (Поддерживает IPv6)
• Скачивание уже настроенного скрипта-клиента на фронте (Автоматически установит URL и пароль фермы, attack-period)
• Удобные графики и метрики на основной странице
• Переделать протокол из DestructiveFarm или S4DFarm не составит труда, а основные протоколы мы уже завезли

Как поднять:
• Клоним репозиторий

git clone https://github.com/arkiix/CulhwchFarm

• Меняем SERVER_PASSWORD в compose.yml
• Выполняем

docker compose up --build -d

• После билда ферма будет доступна на http://127.0.0.1:8893

Сейчас зафорсилась уязвимость в aiohttp (CVE-2024-23334)

Если при добавлении обработчика возврата статических файлов флаг Follow_symlinks выставлен на True (Он служит для того чтобы обработчик следовал символическим ссылкам на файлы вне корневого каталога), то из-за недостаточной проверки это может привести к атаке обхода каталога (directory traversal, aka path traversal).
Что позволяет хакерам получить доступ к любым файлам на уязвимых серверах.

Данная уязвимость затрагивает все версии aiohttp, начиная с 3.9.1 и старше (Исправлено в 3.9.2).

Простой пример уязвимого кода:

app = web.Application()
app.router.add_static('/static/', path='static/', follow_symlinks=True)

PoC прост до безобразия, пример:

curl --path-as-is http://localhost:3000/static/../../../../../etc/passwd