• Natas Level 24 → Level 25

Info

• Username: natas25
• Password: 從上關獲取
• URL: http://natas25.natas.labs.overthewire.org

Walkthrough

• 存取網頁後使用帳號和上關獲取的密碼登入，有一堆字和 language 下拉式選單，選擇 de 會變德文，URL 增加 ?lang=de
  • 
  • 
• 點擊 View sourcecode 超連結查看後端 PHP 程式碼
  • 
• 分析程式碼邏輯後畫成流程圖如下，透過 ../ 觸發 safeinclude() 呼叫 logRequest()，串接 HTTP_USER_AGENT 的內容寫入 log 檔案
  • 
• 可參考 Day 0x02 Natas Level 0 → Level 1 的方法，透過 Burp Suite 的 Proxy 開啟 Intercept 攔截
  1. URL 的 ..././ 會導致呼叫 logRequest() 並去除 ../
  2. logRequest() 寫入 HTTP_USER_AGENT 中的 PHP 腳本
  3. 藉由 1. 過濾後的正確路徑，利用 LFI 引入 log 檔案
  4. 查看回顯的網頁獲得下題的登入密碼
  • 
  • 

Note

• 因為畢竟是 Wargame 練習平台？巧妙地構造出一條神奇利用道路，直接引入 natas_webpass 會 exit()，但網站嘗試以黑名單 ../ 的方式阻止 LFI 卻唯獨沒有提前終止或 return，而且剛好又需要 ../ 才能呼叫 logRequest() 寫入 PHP 腳本
• 不過只要符合上述的指定道路，Payload 也可以有限度地產生不同變化，例如 ....//、..././logs/natas25_bv8cu7lk6pped9chjf8guj73qh.log 等

Summary

• 相關弱點：
  • CWE-807: Reliance on Untrusted Inputs in a Security Decision
• 弱點原因：
  • 透過未經驗證的 User-Agent 寫入 PHP 腳本，利用 LFI 獲取敏感資訊
• 修補建議：
  • 建立白名單驗證所有使用者輸入，另建議立即更換密碼，以減少資訊洩漏的風險

Reference

• code2flow - online interactive code to flowchart converter
• Carbon | Create and share beautiful images of your source code