https://www.youtube.com/watch?v=oUI38IEqimM


قبلش یه نگاه به این ویدیو بندازید ;

چجوری تونستم CTF فایل اپلود رو حل کنم و یه مفهوم امنیتی به دانشم اضافه کنم ؟

بیاین و فرض بگیرین زمانی که من یه عکس رو برای پست وبلاگم اضافه میکنم روی دکمه اپلود فایل کلیک کردم و توی چکی که با html داشت من اجازه داشتم فقط .png اپلود کنم .
درخواستمو با برپ رهگیری کردم و همچین درخواستی به سرور ارسال میشد با همچین بدنه ای :

form-data; name="file"; filename="photo.png"
content-type=image/png

PNG Byte

و در ریسپانس درخواست مسیری که فایل توی اون ادرس مینشست دقیقا به این حالت بود :

target/uploads/smfowmsfoeewofkewp.png

میخوام بدونم چک های امنیتی دقیقا کجاها هستند و چجوری میتونیم به نحوه ای اینارو بایپس کنیم ؟ سه نوع چک و تیک امنیتی توی اپلود فایل داریم :

1 - file extension name
2-content-type
3-magic byte

برای اولین قدم میخوام ببینم توی برپ سوییت اگه به جای png بزارم php ایا بایپس میشه ؟ نه
به من خطای اپلود رو میده و بهم ادرس فایل رو نمیده.

برای تست دوم سعی میکنم یه پسوند الکی بزارم مثل test و بله اپلود شد .
برنامه نویس از black list رو اجرا کرده که کار درستی نیست و نا امنه . چرا ناامنه ؟
چون برنامه نویس لیستی از اکستشن هایی که نباید اجرا بشه رو برای فایل اپلود گذاشته و من اگر بتونم اکستشنی توی بلک لیست نباشه و ولید باشه رو اپلود کنم میتونم یه سری دسترسی بگیرم .
برای تست سوم دست بردم به مجیک بایت (بایت عکس) و اگر بایتی رو از عکس کم یا زیاد میکردی اجازه اپلود نداشتی .

خب من جای خوبی برای تست دارم اولین کاری که میکنم سرچ میکنم که با چه پسوند هایی میتونم کد php رو اجرا کنم؟ یه لیست محدودی به من میده :

.php5 .php3 .phps .phtml .phar

دونه به دونه این اکستشن ها رو چک میکنم و تنها اکستشنی که دور میخورد این بود :

.phtml

خب من اسیپ پذیری رو زدم و کافی بود اخر مجیک بایت یه کد php بزارم و rce بگیرم .
ولی اینجا تموم نمیشه باید بریم سراغ ریشه .تمام سوال من اینه چرا فایل php با محتوای عکس اجرا میشه چه منطقی داره ؟

ببینید مرورگر چیزی به اسم اکستنشن رو نمیشناسه و براش فقط کانتنت تایپ و مجیک بایت مهمه پس چجوری فایل php اجرا میشه ؟
وب سرور فقط بر اساس اکستنشن چک میکنه و هر چیز اضافه تری رو نمیشناسه پس من وقتی زدم phtml وب سرور و انجین php متوجه شد که این یه پسوند ولید و معتبره و برای همین کامند اجرا شد و بایت عکس هم درون اون وجود داشت . دقت کنید اگر فایل شما درون داکیومت روت نشینه هیچوقت rce نداریم 🤌

همین نکته ریز و ساده میتونه به شما باگ بده و شما رو توی تحلیل فایل اپلود قوی تر کنه و اگر جایی برنامه نویس از بلک لیست برای چک اکستنشن استفاده کرده بود چشمتون رو تیز کنید 🌷

@Dagen_security

قبل از اینکه درگیر نسخه چاپی یا pdf هر کتابی بشید . از خودتون بپرسید آیا واقعا اهمیتی داره ؟
محتوای کتاب های امنیتی قراره به شما دانش اضافه بکنه و ذهنتون رو برای تحلیل بازتر کنه تا برای شما باگ بسازه .

به اصل قضیه توجه کنید و دنبال زیر بغل مار نگردید. منتظر نباشید تا یک روزی ترجمه فارسی چاپی فلان کتاب برسه تا شما بخونیدش . سریع تر تسک های خودتون رو انجام بدین و کتابی که میخونین برین سراغ بعدی و دنبال جلد نگردید .
چون مهم ترین سرمایه هممون زمانیه که توش هستیم هر چی سریع تر همه چیز انجام بشه نتیجه دلپذیر تره .!
موافقی باهام؟
@Dagen_security

هر زمانی به یه ساب‌دامین یا IP رسیدید که از تکنولوژی IIS (Windows Server) استفاده می‌کرد، بی‌تفاوت ازش رد نشید.
حتماً ابزار ShortName Scanner رو روش اران کنید.👇

shortname scanner

این ابزار یک فازر مخصوص IIS هست که از یک ورد لیست خاص استفاده میکنه و اگه مسیر خطرناک یا پنهانی رو پیدا کرد بهتون نمایش میده . ممکنه توی بعضی از سیستم ها مسیر خطرناکی web.config باز و در دسترس باشه که چنین مسیری میتونه باعث نشت اطلاعات بشه و گزارشش بدید .!

@Dagen_security

چجوری از یه جاوا اسکریپت ساده به ادمین پنل رسیدم ✅

اولین کاری که کردم این بود که سورس صفحه رو باز کردم و روی دونه به دونه فایلای جاوا اسکریپت کلیک کردم و دنبال جاوا اسکریپ و سورسی بودم که برام سود اور باشه و بهم سر نخ بده که یه لینک چشممو تیز کرد :

https://log.sub.target.com/collectors/minimized/bundle-main.js

به ظاهر لینک نگاه کنید ادرسی که لینک شده احتمالا js مهمیه و وقتی داخلش رو باز کردم یه جاوا اسکریپت بود که به صورت پک شده و قابل خوندن نبود خب من طبق معمول سعی کردم یه .map به انتها اضافه کنم تا سورس رو به صورت پویا و خوانا ببینم ولی جواب نداد .❌

بیخیال نشدم و رفتم سراغ تست بعدی !

اینجا بهترین جا برای پیدا کردن باگه و من با این تریک باگ "افشای اطلاعات حساس" زیادی زدم و حتی میتونه دریچه ای برای باگ هایی مثل xss یا idor باشه !

برای این سناریو اولین کاری که همیشه میکنم فاز کردنه ولی چه جور فازی ؟

1 - https://log.sub.target.com/collectors/minimized/bundle-FUZZ.js

2 - https://log.sub.target.com/collectors/minimized/FUZZ-main.js

3 - https://log.sub.target.com/collectors/minimized/bundle-main-FUZZ.js

4 - https://log.sub.target.com/collectors/minimized/FUZZ.js

به چهار حالتی که که بالا میبینید دقت کنید ,هر کدوم رو انجام دادم و فاز کردم .!
کلمه کلیدی "_database" با همچین ادرسی اطلاعات + ادرس پنل ادمین رو بهم به صورت کلیر داخل کد جاوا اسکریپت نشون داد :

https://log.banana.target.com/collectors/minimized/DataBase_-main.js

ادرس پنل داخل کد جاوا اسکریپت و ساب دامینی بود که قابل حدس نبود و با هیچ اسکنر و ساب دامین فایندری پیدا نمیشد این کاملا افشای اطلاعات بود ,
پنل از من یوزر و پسورد نمیخواست و من سطح دسترسی سوپر ادمین رو داشتم و مثل ادمین سایت دسترسی ها برام کاملا باز بود !



توی این سناریو فقط با یک جاوا اسکریپت ساده تونستم یه باگ کریتیکال بزنم و فقط به کمی خلاقیت نیاز داشت . این جاوا اسکریپت توی سورس صفحه نبود و حتی با ریکان گوگل دورک + گیت هاب + وی بک یو آرال پیدا نمیشد و تنها با فاز کردن به دست میومد !

حتما اینجوری فاز کنید تا به سرنخ کلیدی برسید هیچوقت به فاز ساده با ابزار متکی نباشید و قبل از این که چهار تا کامند ران کنید کمی تحلیل کنید 🌷

@Dagen_security

دنبال ابزار های تکراری و بدرد نخور نرین چیزی که پیدا میکنن نهایتش خروجی های یکسانی دارند. این دقیقا همون ابزاریه که توی اتومیشن باید ازش استفاده کنید !

نکته مهمی که خیلی‌ها موقع پیدا کردن Origin IP یک وب‌سایت ازش غافل می‌شن اینه که فقط به تاریخچه‌ی DNS و سرتیفیکت‌ها نگاه میکنن.

توی بعضی از کیس‌ ها، مخصوصاً پیکربندی‌های قدیمی‌تر، می‌تونید به‌سادگی IP اصلی وبسایت رو از طریق MX Record مربوط به Mail Server پیدا کنید؛ چون توی بعضی از سایت ها ممکنه خود Mail Server رو همون اپی بالا اومده باشه .

ولی این روش روی وب‌سایت‌های امروزی معمولاً جواب نمیده و یه راه حلی داریم :

با استفاده از SecurityTrails و دیتای MX History میتونین تمام رکوردهای MX قدیمی رو بررسی کنید و اگه توی گذشته Mail Server روی همون IP اصلی اجرا شده باشه، احتمالش بالاس که توی همین تاریخچه دیده بشه و اپی اصلی سایت در دسترستون قرار بگیره 🤌

@Dagen_security

یکی از بهترین ابزار ها برای پارامتر دیسکاوری و پیدا کردن پارامتر های مخفی یه صفحه ابزار "X8" هستش .

کاری این ابزار میکنه یه ورد لیست و لیست کلمات از شما میگیره و دونه به دونه با درخواست های بالا تست میزنه و اگر مقدار پارامتر روی صفحه چاپ و رفلکت شد بهتون گزارش میده .

یکی از بهترین و کاربردی ترین سوییچ ابزار , اینه که شما میتونی یه کاستوم ولیو بهش بدی و بر اساس اون برای شما فاز کنه. یعنی چی ؟

x8 -u TARGET —custom-value "company name"

مقدار custom رو چیزی بذارید که برای خود سایت معتبر یا قابل‌تشخیص باشه مثل نام شرکت، نام دامنه یا هر الگوی دیگه ای. این کار باعث میشه پارامترهایی که فقط در صورت داشتن پارامتر های معتبر رفلکت میشن رو نمایش بده .

همین نکته ساده نتایج فاز پارامتر منو دوبرابر کرده و چیزیه که یه کامند فاز معمولی پیدا نمیکنه و میتونه به شما پارامتر های حساسی رو بده که منجر به xss و open redirect بشه
+ اگه صفحه نیاز به احراز داشت حتما توکن خوتودنم به ابزار بدید و با پروکسی چک کنید تا فاز بیهوده و بی نتیجه نداشته باشید.

@Dagen_security

قبل از اینکه بریم سراغ روال عادی چنل و گذاشتن پست های باگ بانتی ,

توی این چنل قراره عمیق تر شیم و بریم سراغ تحلیل وب اپلیکشن و این موضوع رو جدی تر برسی کنیم و اپلیکشن ها رو مپ کنیم ✍

۱ - علم تست کیس توی باگ بانتی دیگه جوابگو نیست و شما ازش نتیجه نمیگیرد شاید شانس به همراهتون باشه و باگ اسون بزنید .
ولی باگ هایی که خیلی ساده کشف میشن همه تستش میکنن و نوبت به شما نمیرسه .

۲ - دانشی که از شمارو از یه جونیور و یه فرد سنیور جدا میکنه تحلیل وب اپلیکشنه

همه هانترای خفن امروزی بیشتر روی دانش "application mapping" زمان میزارن و این علم خودشون رو قوی تر میکنن

جزو دسته افرادی نباشین که چهار تا کامند ران میکند و فقط متکی به ابزارن
چیزی از شما هانتر میسازه فهمیدن فرایند احرازهویت و نحوه پیاده سازی اون هدفه . اپلیکشن ها میتونن از هر نوع احراز هویت و پیاده سازی استفاده بکنن و دستشون توی این موضوع بازه .

ولی یه فرد هانتر باید روال غیر عادی رو تشخیص بده و به نوعی از این اشتباه و دست بردن برنامه نویس به کد باگ بسازه !

۳ - خب من چه جوری میتونم روال غیر عادی رو بشناسم ؟

شما برای اینکه بتونی اسکیل و مهارت خودتو توی کشف باگ بالا ببری نیاز داری که هزارتا لاگین پیج مختلف رو به چشم ببینی و دقت کنی که دقیقا از چه نوع احراز هویتی استفاده شده ؟ ایا امنه ؟

ایا مثلا اگر از google oauth  برای احراز هویت داره استفاده میکنه ایا طبق داکیومت رسمی داره انجام میده یا برنامه نویس دست برده توی فرایند ؟

برای اینکه جزو تاپ های حوزه بشید باید صبور و دقیق و مهم تر از همه خلاق باشید ـ!

دنبال فلان ابراز نباشید چیزی که شما رو از بقیه هانترا جدا می‌کنه تحلیل بلک باکس و وایت باکس و فرض گرفته !

برای اینکه روال غیر عادی رو تشخیص بدید باید دنبال جایی باشید که برنامه نویس توی فرایند دست برده و از خودش چیز جدیدی اختراع کرده که نبوده اینجا جاییه که دقیقا ما باید روش زمان مفید بزاریم 🤝

در ادامه چنل قراره تمرکز روی بحث های زیر باشه :

نحوه کارکرد وب اپلیکشن + سیستم احراز هویت + تکنولوژی استفاده شده

به چنل‌ یه انرژی جون دار بدید 🔥
وقته پست های تخصصی تره ، بریم ؟

@Dagen_security

داستان یه xss که فقط روی گوگل کروم اجرا میشد ✍️

داستان از این قراره که من یه تارگت رو باز کردم ;
اولین کاری که معمولا میکنم اینه که گوگل دورکینگ رو انجام میدم تا به ادرس هایی برسم که توسط گوگل ایندکس شده و به نوعی در دسترسه ;

هدف من برای این سناریو پیدا کردن یه xss بود و تنها روشی که بتونیم این اسیپ پذیری رو پیدا کنیم و اکسپلیوتش کنیم اینه که بدونیم ورودی ما دقیقا کجا میشینه ؟

به عنوان یه هانتر باید یه مفهوم مهم رو بدونیم : صفحات مختلف یه وبسایت میتونن باعث آپدیت شدن و لود شدن جاوا اسکریپت های جدید بشن و توی این مورد هم باید برسی بشه که آیا ما میتونیم با پیدا کردن سورس ها و سرچ کردن سینک های خطرناک توی dom جایی رو پیدا کنیم که مستقیما پارامتر رو از آدرس بگیره و داخل سینک خطرناک قرار بده ؟ که میشه dom xss

توی سناریوی من وقتی وبسایت رو با ip آمریکا باز کردم یه منو و دکمه برای کلیک برای من بالای صفحه وجود داشت وقتی روش کلیک کردم :

Target/shops/models

منو رو میبرد یه شاپ لوازم آرایشی بدون هیچ‌ پارامتر اضافه تری !
چون این پیچ و صفحه فقط با اپی آمریکا باز میشد با این طرز تفکر که افراد کمتری روی این صفحه کار کردند جلو رفتم و
توی مرحله بعد یه فاز نسبتا سنگین پارامتر از نوع post,get انجام دادم , که در نتیجه یه کلمه کلیدی پیدا شد که ورودی من توی سورس صفحه رفلکت میشد :

IsOveride=test

مقدار تست توی یک تگ div رفلکت شده بود و تنها کاری که من باید میکردم این بود که تگ رو بریک کنم و اسکریپت خودمو اجرا کنم :

IsOveride=test</div><noscript>alert(origin)</noscript>

ولی تارگت یه چکر یا یه وف کاستوم داشت جلوی xss من رو میگرفت با این هشدار :

malicious request blocked

حالا وقت فرض گرفتنه , با خودم گفتم وف ممکنه وقتی تگ اسکریپت رو ببینه در جا منو بلاک کنه و شاید تارگت یه بلک لیست تعین کرده باشه ;

پس من بیام و تگ های مختلف رو امتحان کنم با این چیت : xss cheat sheet

هیچ کدوم جوابگو نبود و من در انتها متوجه شدم که چرا با خود تگ xss نزنم ؟ بعد کلی سرچ و گشتن یه پیلود خفن پیدا کردم :

target/shops/models?IsOveride=test</div><div onreadystatechange='alert(origin)'>

و بله بلک لیست بود ✅
و اون چکر یا وف دور خورد و پیلود من توی سورس نشست , همه چیز درست بود ولی یه جار کار میلنگید و پیلود اجرا نشد ❌

تصمیم گرفتم به جای فایر فاکس برم روی brave و safari تست کنم و در نهایت پیلود من فقط و فقط روی کروم اجرا شد و من تاییده reflected xss رو گرفتم👌🔥

ولی چرا این اتفاق افتاد ؟

@Dagen_security

ریشه امنیتی این باگ دقیقا چیه چرا پیلود من فقط روی کروم اجرا شد ؟

هرکدوم از مرورگر هایی که ما میشناسیمشون ممکنه از render engin برای لود کردن و پارس کردن کد js و html استفاده میکنند

Firefox —> Gecko
Safari —> webkit
chrome and edge —> Blink

پس مرورگر ها میتونن توی پیاده سازی تفاوت هایی داشته باشن و چون blink یه نسبت یه رندر انجین های دیگه تفاوت توی js engin,html parse داشته این فقط روی کروم جواب میده چون کروم داره از این انجین استفاده میکنه پس xss هم داریم .✅

بریم سراغ بخش پیلود :
همونطور که میدونید ایونت هندلر کارش اجرا کردن جاوااسکریپته ;

توی این پیلود اینونت هندلر اصلا برای div استاندارد نیست و از یه کلاس و ابجکت قدیمی اومده مثل (document,XMLHttpRequest) ولی blink این غیر استاندارد رو پارس میکنه و میگه :

تو اینو نوشتی ولی عیبی نداره من پارسش میکنم !
و این دقیقا میشه مغز اسیپ پذیری 👌

ولی مرورگر هایی مثل firefox و safari اینو پیلود رو نمیشناسن و ایگنورش میکنن .🫡


دقیقا توی متن گزارش نوشته شد :

following this link in the google chrome , xss will be popped up ;

@Dagen_security

سم کری نویسنده و هانتر تاپ هکروان یه تریک جذابی برای دور زدن otp توی کرانفراسش اراعه کرده , اون گفتش که :

فرض بگیریم ما یه فرمی داریم که وقتی ایمیل رو وارد میکنیم مثل هر لاگین معمولی دیگه ای یه otp کد یا همون کد تایید رو برای ما ارسال میکنه , حالا سم کری میگه وقتی میخوای otp کد رو وارد کنی , یه OTP اشتباه وارد کن و میبینی که مثلا 400 میگیری .

حالا برو همین ریکوست رو دوباره توی برپت کپچر کن و به جای مقدار OTP اینو قرار بده :

otp=../sms

و میبینی که دور میخوره :)

دلیل و منطقش چیه ؟

به عنوان یه هانتر چون همیشه بلک باکس تست میکنیم کار ما فرض گرفتنه فرض میکنیم : بکند یه سرور اینترنال داره مثل این :

http://internal-ip/sms/1234 — > 400 bad request

که کد تاییدی که وارد میکنی با اون اینترنال چک میشه , حالا اگه تویه مهاجم 1234 رو وارد کنی و کد اشتباه باشه از اینترنال یه 400 میاد ولی وقتی تو اینو وارد میکنی ../sms توی اینترنال این اتفاق میوفته :

http://internal-ip/sms/../sms

این یه مسیر میاد عقب و چون دایرکتوری sms توی اینترنال وجود داره پس تو از طرف اینترنال یه استاتوس کد 200 میگیری و otp رو بایپس میکنی :)

ایا همیشه جوابه ؟ نه
ایا همیشه اسم دایرکتوری sms هستش نه ! باید فاز کنی و بدستش بیاری
این سناریو فقط با وقتی جوابه که بکند سرور و پیاده سازی برنامه نویس بر اساس استاتوس کد چک رو انجام میده 🤝

امیدوارم درک کافی از این سناریو داشته باشید 🌷

@Dagen_security

سعی میکنم چنل رو همیشه زنده و اکتیو نگه دارم و این دانش رو انتقال بدم کمترین کاری که میتونه باعث دلگرمی باشه دادن انرژی و ریکشن و حمایت از چنله
کانالی نیستیم که محتوایی که توی اینترنت ریخته رو بیایم ورش داریم بزاریم چنل , نه .
هر چیزی که اینجا قرار میگیره یه مفهوم ریشه امنیتی و تجربه پشتشه که سعی داریم انتقالش بدیم
این حجم از حمایت کم برای یه کانالی که متفاوته ارزشی نداره و بی فایدس :/

@Dagen_security

عزیزانی که پی وی پیام داده بودند همه پیام ها جواب داده شد ✅

یه مشکل توی تقریبا اکثر کسایی که پیام داده بودن داشتیم این بود که اکثرا مبانی و پایه رو بلد بودند ولی بخاطر نداشتن یه نقشه راه درست کمی از مسیر دور شده بودن و نمیدونستن در ادامه راه باید چه چیزایی رو بخونن و چه چیز هایی که بدردشون نمیخوره رو بندازن دور و خودشون و دانششون رو محک بزنند .

برای همین یه تصمیم گرفتم xmind owasp top 10 رو که خودم اول راهم با اون شروع کردم و صفر تا صد دانشمو داخلش نوشتم رو برای اعضای چنل پاپ کنم تا ازش استفاده کنید و به نوعی مرحله به مرحله با اون پیش برید و کار خودتون رو راحت تر کنید ;

برای دریافتش فقط به پشتیبان پیام بدید تا شرایط رو برای ارسال بگه خدمتتون 🙏👇

@bookmind369