Еще при зарождении канала я обещал рассказать про замечательнейший (вероятно, даже must-have) ресурс от PortSwigger по освоению веб-пентестинга – BurpSuite Web Security Academy. Добро пожаловать на образовательный пост! 🐈‍⬛

Авторы ресурса приняли наиболее правильное решение – сфокусировались на одном, пусть и объемном, но все же очень конкретном направлении – и создали masterpiece на основе своего опыта работы и коммуникации с экспертами.
Академия состоит из топиков – для получения сертификации BurpSuite придется пройти их все, но ресурс также можно использовать в качестве шпаргалки. К каждому из топиков прилагается детальный теоретический конспект и набор лаб (вы можете увидеть все темы и количество практических заданий на скриншотах), и, что самое ценное, разборы для каждой из лаб.
Всего на ресурсе порядка 250 лаб – уровня apprentice, practitioner и expert. И они постоянно пополняются!

Еще одним свежим нововведением стали learning paths, организующую всю имеющуюся в Академии информацию в единый курс, по завершении которого можно овладеть всеми ключевыми концептами веб-пентестинга, жизненно необходимыми, например, для решения этой категории CTF'а. Да и в целом, это good start! :)

А еще на платформе существуют так называемые "mystery labs", которые не привязаны к конкретному топику и могут содержать даже несколько подходов – это пространство для вашего творчества и изобретательности. В таком же формате проходит и экзамен-сертификация BurpSuite, ведь он наиболее приближен к реальной практике пентеста.

#education #web_security #vulnerabilities

Привет! Многие из вас использовали Flask. Более того, многие из вас решали CTFные машинки и научены, что Flask в режиме отладки (debug=True) – дьявол. И, как подобает любому уважающему себя дьяволу, он совершенствует свои навыки искушения. Так, пользователям было предложено защитить свои интерактивные консоли Python 9-ти значным пин-кодом, генерируемым самим приложением. Вот она, безопасность! Или это лишь ловушка, чтобы заманить больше разработчиков в сети уязвимости, которую никто не собирается исправлять? 🐈‍⬛

Сегодня обсудим, как, заполучив уязвимость LFI (Local File Inclusion, когда сервер отдает содержимое своего локального файла в ответ на запрос) на Linux, однозначно восстановить Werkzeug Debugger Pin – и, как следствие, получить RCE (Remote Code Execution)! А еще во вложении вас будет ждать разбор medium-машинки с платформы Hack The Box, в котором используется этот трюк ;D

Но прежде отметем идею брутфорса – ведь миллиард значений для пина могут показаться вполне перебираемыми. Но не для веба. Хваленый Turbo Intruder позволяет организовать эту атаку со скоростью 100 тысяч запросов в минуту – что неплохо, но для наших целей не годится (ETA – неделя). А еще этот показатель может быть уменьшен в несколько порядков добавлением к запросу простенького параметра-подписи, который необходимо было бы пересчитывать перед каждым запросом.

Исследователи обнаружили, что алгоритм генерации пин-кода Werkzeug публичен – он основывается на получении хеша из публичного (имя пользователя, имя модуля, имя приложения и путь до исполняемого файла Flask) и приватного (MAC-адрес интерфейса, уникальный ID ПК и имя внутреннего сервиса) блоков информации. Таким образом, многие поля публичного блока угадываются из опыта (вернемся к этому позже), а приватный блок целиком достается из интересных (и не требующих суперправ для доступа) файлов Linux'а – в частности, /sys/class/net/eth0/address, /etc/machine-id и /proc/self/cgroup – при помощи вышеупомянутого LFI.
В Windows и macOS, справедливости ради, ситуация значительно лучше – там подобные приватные данные хранятся в реестрах, доступ к которым уже требует возможности исполнять команды (формально, пресловутого RCE, ради которого и затевалась вся сегодняшняя игра). Однако не стоит забывать, что в искусственных условиях (например, созданных авторами-инфобезниками машинках для взлома) может быть дан доступ исключительно к определенным фрагментам реестров в рамках Flask-приложения – и тогда игра снова стоит свеч! 🐈‍⬛

И мы наконец переходим к самому интересному – эксплоиту! Полный скрипт можно достать в прикрепленном исследовании Бена Грюэлла или pdf'ке со статьей из Хакера – я же покажу, как может выглядеть конфигурация для ОС Windows и Linux:

usernames = ['John']
modnames = ['flask.app', 'werkzeug.debug']
appnames = ['wsgi_app', 'DebuggedApplication', 'Flask']
flaskpaths = ['C:\\Users\\John\\AppData\\Local\\Programs\\Python\\Python311\\Lib\\site-packages\\flask\\app.py']
nodeuuids = ['345...176']
machineids = ['faf02cd3-...-9da454b0373b']

Разумеется, имя пользователя и используемую версию Python'а придется подправить. Чем еще интересен предоставленный скрипт, так это возможностью указывать несколько опций для каждого из полей – в конечном итоге будут выведены все варианты кодов с использованием itertools.product – таким образом, вручную придется перебрать не больше 6 кодов (appnames даны, кстати, в принципе все возможные в реальном продакшен-использовании Flask'а).

usernames = ['kali']
modnames = ['flask.app', 'werkzeug.debug']
appnames = ['wsgi_app', 'DebuggedApplication', 'Flask']
flaskpaths = ['/usr/lib/python3/dist-packages/flask/app.py']
nodeuuids = ['522...924']
machineids = ['5519...c0d9session-3.scope']

Надеюсь, вам понравился трюк, который я вам сегодня принес =)
Не забудьте заглянуть в статью Хакера – там правда интересная машина!
До скорых встреч ;D