[Article] Khai thác và phòng chống Path Traversal Attack |
01/10/2008 05:47:50 (+0700) | #1 | 153462 |
seamoun
Advisor
|
Joined: 04/01/2002 14:05:10
Messages: 357
Offline
|
|
I. GIỚI THIỆU
Path Traversal hay còn được biết với một số tên khác như “dot-dot-slash”, “directory traversal”,”directory clumbing” và “backtracking” là hình thức tấn công truy cập đến những file và thư mục mà được lưu bên ngoài thư mục webroot. Hình thức tấn công này không cần sử dụng một công cụ nào mà chỉ đơn thuần thao tác các biến với ../ (dot-dot-slash) để truy cập đến file, thư mục, bao gồm cả source code, những file hệ thống, …
Để nhận biết khả năng khai thác lỗi này, các kẻ tấn công thường quan sát kết quả có được từ spider hoặc crawler mang lại. Quan sát khả năng khai thác Path Traversal ở đây là gì ?
Ví dụ kết quả trả về từ Spider hay Crawler có dạng sau:
Code:
http://seamoun.com/getUserProfile.jsp?page=main.html
http://seamoun.com/index.php?file=help
http://seamoun.com/main.cgi?home=index.htm
Ngoài ra các bạn còn thấy nhiều dạng URL khác mà có “mùi” Path Traversal, các bạn tự hỏi làm sao biết được ? Trả lời: thông qua kinh nghiệm khi phân tích URL mà có được.
II. KHAI THÁC
Khi có được kết quả từ việc spider Website với các URL có dạng như trên, kẻ tấn công có thể sử dụng “../” để thử liệu có truy cập file và thư mục khác được không ? Ví dụ
Code:
http://seamoun.com/getUserProfile.jsp?page=../../../etc/passwd
Dựa vào thông báo lỗi từ Website kẻ tấn công biết được đường dẫn thực sự trên WebServer, từ đó có thể kết hợp với ../ (dot-dot-slash) để truy cập đến những file quan trong của Website như database, file cấu hình, …
Lưu ý rằng Path Traversal không chỉ xảy ra đối với các biến trong phương thức GET mà còn có thể xuất hiện trong các phương thức POST hoặc biến COOKIE.
Ví dụ: Một số website có thể sử dụng COOKIE để lưu template động cho Website như sau:
Cookie: ID= 2ddd73ef3620afc62cd6942c31bb6003:TEMPLATE=xpstyle
Cookie: USER=member1234: PSTYLE=Green
Như vậy kẻ tấn công có thể thay đổi COOKIE để thực hiện Path Traversal Attack như sau
Cookie: ID= 2ddd73ef3620afc62cd6942c31bb6003:TEMPLATE=xpstyle
Cookie: USER=member1234: PSTYLE=../../etc/passwd
Trong quá trình khai thác kẻ tấn công có thể encode hoặc double encode, sử dụng %00(null) để bypass filter mà Website đó áp dụng.
Ví dụ:
%2e%2e%2f mô tả cho ../
%2e%2e/ mô tả cho ../
..%2f mô tả cho ../
%2e%2e%5c mô tả cho ..\
%2e%2e\ mô tả cho ..\
..%5c mô tả cho ..\
%252e%252e%255c mô tả cho ..\
..%255c mô tả cho ..\
…
Đối với UTF-8
..%c0%af mô tả cho ../
..%c1%9c mô tả cho ..\
Khi tiếp cận với một ứng dụng Web, việc kiểm tra nó có khả năng bị lỗi Path Traversal có thể được thực hiện bằng hai loại:
+ Nếu kẻ tấn công không thể có source thì chúng sẽ dùng spider, crawler để thực hiện kiểm tra Website và từ những kết quả mà spider mang lại chúng sẽ lần lượt kiểm tra các biến đối với các phương thức GET, POST hoặc COOKIE mà có khả năng bị lỗi.
+ Nếu kẻ tấn công có source code thì có thể tìm kiếm những hàm của những ngôn ngữ lập trình Web mà có khả năng gây ra lỗi Path Traversal như sau:
Code:
PHP: include(), include_once(), require(), require_once(), fopen(), readfile(), ...
JSP/Servlet: java.io.File(), java.io.FileReader(), ...
ASP: include file, include virtual, ...
Demo khai thác Path Traversal (X7 Chat). Trong đoạn demo sau đây giả sử kẻ tấn công không biết source code của ứng dụng Web X7 Chat và thực hiện spider để kiểm tra nội dung Website.
(Download file demo bên dưới, chỉ có login mới thấy file download)
III. PHÒNG CHỐNG
Việc phòng chống Path Traversal Attack phải thực hiện kiểm tra biến cẩn thận (có thể áp dụng filter) khi sử dụng các hàm đã giới thiệu ở trên mà có khả năng gây ra lỗi cho phép kẻ tấn công thực hiện Path Traversal. Tuy nhiên một số filter như
Code:
str_replace("../","",$_GET['help_file'])
thì vẫn bị lỗi bởi lẽ kẻ tấn công có thể sử dụng “….//” như thế sau khi qua code lọc ở trên nó sẽ trở thành “../”. Rõ ràng việc lọc như vậy vẫn không triệt để. Thay vào đó các bạn nên sử dụng các biểu thức chính để lọc tốt hơn.
Ví dụ
Code:
eregi("[\\/]","{$_GET['help_file']}")
Công cụ sử dụng Website Crawler: Acunetix
|
|
--vickigroup.com-- |
|
|
|
[Question] Re: Khai thác và phòng chống Path Traversal Attack |
10/10/2008 03:51:12 (+0700) | #2 | 154642 |
|
ThíchHắcKinh
Member
|
0 |
|
|
Joined: 05/11/2007 21:56:23
Messages: 85
Location: Thiếu Lâm Tự
Offline
|
|
This post is set hidden by a moderator because it may be violating forum's guideline or it needs modification before setting visible to members. |
|
|
|
|
[Question] Re: Khai thác và phòng chống Path Traversal Attack |
10/10/2008 05:21:31 (+0700) | #3 | 154658 |
|
hacnho
HVA Friend
|
Joined: 28/01/2003 12:07:45
Messages: 199
Location: OEP
Offline
|
|
Nếu tôi đoán không lầm cậu từng có nick là l0ng gì đấy phải không? Lần sau mà còn post link kiểu đó là tạo nick mới nhá. Đây là thread để trình bày về kỹ thuật và cách phòng chống này. Không phải để cho các cậu vào đây show |
|
Mọi câu hỏi vui lòng gửi lên diễn đàn! |
|
|
|
[Question] Re: Khai thác và phòng chống Path Traversal Attack |
11/10/2008 19:20:02 (+0700) | #4 | 154830 |
PXMMRF
Administrator
|
Joined: 26/09/2002 07:17:55
Messages: 946
Offline
|
|
Hoan nghênh bài viết của seamoun.
Trong phần thí dụ
http://seamoun.com/getUserProfile.jsp?page=main.html
http://seamoun.com/index.php?file=help
http://seamoun.com/main.cgi?home=index.htm
thì seamoun nên thay bằng một domain đang active, hoặc chỉ viết là:
http://example.com hay http://yourname.com .....
Vì domaim "seamoun. com" tuy đã đựoc đăng ký, nhưng hiên ở status : deleted and available again. Do vây, tai thời điểm này, không tỉm thấy IP cùa domain-website "seamoun. com" và dĩ nhiên không có bất cứ một URL nào liên quan đến domain "seamoun. com".
Như vậy sẽ tránh những hiểu lầm và reaction đáng tiếc đã xảy ra |
|
The absence of disagreement is not harmony, it's apathy.
(Socrates)
Honest disagreement is often a good sign of progress.
(Mahatma Gandhi)
|
|
|