• Natas Level 21 → Level 22

Info

• Username: natas22
• Password: 從上關獲取
• URL: http://natas22.natas.labs.overthewire.org

Walkthrough

• 存取網頁後使用帳號和上關獲取的密碼登入，沒有輸入框或按鈕等互動元件
  • 
• 點擊 View sourcecode 超連結查看兩個網頁的後端 PHP 程式碼
  • 
• 分析程式碼邏輯後畫成流程圖如下，當 GET 的 URL 中帶有 revelio 時，檢查 SESSION 是否存在、SESSION 中是否有 admin 和 admin == 1，如果不成立則重導向到網頁根目錄 /，但下方只檢查 revelio 是否存在
  • 
• 使用 cURL 請求頁面獲得 Response，成功獲得下題的登入密碼
  • 

Note

• 網站開發者嘗試透過 redirect，阻止非 admin 權限的使用者瀏覽網頁，但後續沒有正確地終止程式，導致可以通過第二次不安全的驗證，並忽略 redirect 以獲得敏感資料
• 除了 cURL 以外，也可以使用 Burp Suite 的 Proxy 或 Repeater、自行撰寫腳本等方式達成
  • 可參考 Day 0x02 Natas Level 0 → Level 1 的方法，透過 Burp Suite 的 Proxy 攔截，找到對應的封包查看 Response
  • 

Summary

• 相關弱點：
  • CWE-698: Execution After Redirect (EAR)
• 弱點原因：
  • 攻擊者可忽略重導向，並通過驗證獲得權限來查看敏感資訊
• 修補建議：
  • 建議評估認證方式的安全性以決定是否更換，且重導向後應適當地終止程式，並立即更換密碼，以減少資訊洩漏的風險

Reference

• Curl cheatsheet
• Execution After Redirect (EAR) | OWASP Foundation
• Authentication - OWASP Cheat Sheet Series
• code2flow - online interactive code to flowchart converter
• Carbon | Create and share beautiful images of your source code