webDAV Techniques - Pentesting Web

Reconnaissance (whatweb):

La phase initiale de reconnaissance implique de tenter d'identifier les extensions de fichier autorisées sur le serveur. Une fois que les extensions de fichier autorisées sont détectées, les attaquants peuvent en profiter pour charger et exécuter des fichiers contenant un code malveillant. Si les fichiers malveillants sont chargés et exécutés avec succès sur le serveur web, les attaquants peuvent obtenir un accès non autorisé au serveur et compromettre la sécurité du système.

• L'outil Whatweb indique que le protocole WebDAV est utilisé.

Force brute (Davtest):

L'outil Davtest est une ligne de commande utilisée pour effectuer des tests de pénétration sur des serveurs WebDAV. Davtest peut être utilisé pour énumérer des ressources protégées sur un serveur WebDAV, ainsi que pour tester la configuration de sécurité du serveur. Davtest peut également être utilisé pour tester l'authentification et l'autorisation du serveur, et détecter des vulnérabilités connues.

cat /usr/share/wordlists/rockyou.txt| while read password; do response=$(davtest -url http://127.0.0.1 -auth admin:$password 2>&1 | grep -i succeed); if [ $response ]; then echo "[+] The correct password is $password"; break; fi; done

Chargement de fichiers (Cadaver):

Cadaver est un autre outil en ligne de commande utilisé pour interagir avec des serveurs WebDAV. Cadaver permet aux utilisateurs de naviguer dans les ressources du serveur, de charger et de télécharger des fichiers, et d'exécuter des commandes sur le serveur. Cadaver peut également être utilisé pour effectuer des tests de pénétration sur des serveurs WebDAV, tels que l'énumération de ressources protégées et l'exploitation de vulnérabilités connues.

• Une fois que nous connaissons le nom d'utilisateur et le mot de passe grâce à l'attaque par force brute, nous nous connectons avec Cadaver.

• Pour charger des fichiers, nous utiliserons la commande put suivie du nom du fichier :

• Dans le cas où WebDAV interpréterait le code php, nous pourrions exécuter une LFI ou même une RFI.