GromHacks Labs -- Списки полезных нагрузок, которые они не хотят, чтобы у вас были. 1 324 инъекционных зонда, отправленных с материнского корабля, чтобы обнаружить, что поддается инъекции в 20 классах уязвимостей. Мы не эксплуатируем, мы просто стучимся в дверь и смотрим, кто ответит. Каждая нагрузка тестируется на реальных парсерах, потому что пришельцы требуют доказательств. Не доверяй никакому вводу. Подвергай всё сомнению!
Нашли полезную нагрузку, которая не работает? Пожалуйста, откройте issue с полезной нагрузкой, целевым контекстом и тем, что вы ожидали получить. Pull requests с исправлениями или новыми полезными нагрузками всегда приветствуются.
Исследование продолжается. Этот проект находится в активной разработке и будет обновляться новыми контекстами инъекций, полезными нагрузками и улучшениями валидации.
Отказ от ответственности: Эти полезные нагрузки предоставлены исключительно для авторизованного тестирования безопасности, обучения и исследовательских целей. Авторы не несут никакой ответственности или обязательств за любое неправомерное использование или побочные эффекты. Используйте полностью на свой страх и риск. Используя этот проект, вы принимаете на себя полную ответственность за свои действия.
Лицензия: MIT — см. LICENSE
1 618 уникальных строк полезных нагрузок по 37 категориям тестирования безопасности плюс сквозной набор полиглотов, 35 именованных форматов десериализации, библиотек и sinks, а также 20 шаблонных движков. Контекстно-сохраняющий мастер содержит 1 760 назначений полезных нагрузок разделам по 661 разделу, так что общая строка остаётся связанной с каждым парсером и контекстом вставки, где она применима. Минимальный список из 108 полезных нагрузок включает репрезентативные пробы для GraphQL, HQL/JPQL, XPath, JSONPath, конструирования JSON, загрязнения HTTP-параметров, XQuery, Firestore, SMTP/IMAP и заголовков email, заголовков Host, структуры XML/SOAP, LDAP DN, HTML/CSS, CSV, логов и LaTeX. Покрытие валидацией варьируется в зависимости от полезной нагрузки, парсера и контекста вставки.
Матрица языков охватывает C, C++, C#, Dart, Elixir, Erlang, Go, Java, JavaScript, Kotlin, Lua, Objective-C, Perl, PHP, Python, Ruby, Rust, Scala, Swift и TypeScript.
Общий валидатор — это дымовая проверка, а не доказательство эксплуатации: более ранние результаты считали произвольные ошибки и тайм-ауты запросов попаданиями. Контекстная регрессия охватывает девять живых диалектов SQL, включая строковые, числовые, инъецированные позиции предложения ORDER BY и прямые позиции выражений сортировки; GraphQL.js, Hibernate HQL/JPQL, прямые XPath/XQuery/JSONPath, конструирование JSON и загрязнение дублирующимися параметрами, структурированные фильтры Firestore, инъекцию команд SMTP/IMAP и заголовков email, отравление URL через заголовок Host, структуру XML и SOAP, инъекцию фильтров и DN в LDAP, HTML/CSS/XSS в Chromium, выход за пределы формульных ячеек CSV, подделку логов, инъекцию исходного кода LaTeX, кавычки/обратные кавычки/конвейеры POSIX shell, контексты $() и percent-декодированного перевода строки, локальные фикстуры SSRF/path/XXE, MongoDB/CouchDB/Redis/ArangoDB/DynamoDB PartiQL/Cassandra CQL/Couchbase SQL++/Elasticsearch/Neo4j, EL, XSLT, SSI, загрязнение прототипа и репрезентативные колбэки десериализации. Проверки в браузере включают контексты парсера с некавыченным атрибутом, фрагментом атрибута, HTML-комментарием и </script>. Матрица языков проверяет математику, ошибки, тайминг, OOB и выходы за кавычки в генерируемом исходном коде во всех 20 запрошенных языках; распространённые альтернативные контексты строк с кавычками и обратными кавычками тестируются там, где поддерживаются, наряду с общим арифметическим полиглотом во всех 20 и строками формата времени выполнения, где применимо. См. COVERAGE.md для проверенной матрицы и оставшихся пробелов, специфичных для движков.
Большинство общедоступных списков полезных нагрузок организованы по типу уязвимости: один список для SQL-инъекций, другой для XSS, ещё один для инъекций команд и так далее. Тестировщик выбирает список, который, по его мнению, соответствует цели, загружает его в инструмент-интрудер и запускает против параметра. Если он ошибается с классом уязвимости, весь скан не даёт ничего. Если бэкенд — это необычная база данных, нестандартный шаблонный движок или язык, который список не учитывал, полезные нагрузки молча не срабатывают. Тестировщик двигается дальше, думая, что параметр чист.
У этого подхода две фундаментальные проблемы. Во-первых, он требует, чтобы тестировщик знал, какая уязвимость существует, ещё до того, как он её нашёл. Во-вторых, большинство циркулирующих полезных нагрузок теоретические — скопированные между проектами и постами в блогах без какой-либо проверки против реального парсера. Они выглядят правильно. Они могут даже быть синтаксически валидными. Но они на самом деле не вызывают обнаружимого ответа от цели.
Этот проект использует полиглоты там, где одна строка может покрыть несколько связанных контекстов. Поведение полезной нагрузки всё ещё зависит от того, как приложение её вставляет: аргумент shell может быть некавыченным, в одинарных или двойных кавычках; строковые и числовые выражения SQL различаются; шаблонные движки используют несовместимые разделители. Тестовый стенд должен явно моделировать эти обёртки. Не следует предполагать, что какая-либо одна строка вырвется из любых кавычек, комментария или парсера.
Полезные нагрузки сгруппированы вокруг столпов обнаружения — наблюдаемых ответов, которые могут дать доказательства в подходящем контексте:
7*191, которое вычисляется в 1337. Если это число появляется в ответе, а полезная нагрузка отправила только 7*191 (не литерал 1337), целевой парсер вычислил выражение. Результат доказывает вычисление в этом sink, которым может быть запрос, шаблон, язык выражений или среда выполнения кода.Эти сигналы полезны только при проверке в фактическом контексте полезной нагрузки. Общий валидатор — это дымовой тест; ошибка парсера, тайм-аут или отражённая строка сами по себе не доказывают, что полезная нагрузка выполнилась. Используйте контекстно-специфичные проверки Docker для более сильных доказательств.
Традиционные OOB- и тайминговые полезные нагрузки полагаются на команды shell: curl, nslookup, ping, sleep. Они постоянно ломаются. Они зависят от целевой ОС, доступного PATH, того, какой shell интерпретирует команду, и того, имеет ли процесс разрешение порождать подпроцессы. OOB-полезная нагрузка на основе curl, работающая на Ubuntu, не работает на Alpine (нет curl), не работает на Windows (нет curl) и не работает внутри ограниченного контейнера (нет выполнения исходящих процессов).