Napisał: Patryk Krawaczyński
11/12/2022 w Pen Test Możliwość komentowania Alternatywne otwieranie plików pod radarem XDR i SIEM została wyłączona
root@darkstar:~# debugfs debugfs 1.44.1 (24-Mar-2018) debugfs: open /dev/vda1 debugfs: cd /etc debugfs: cat shadow root:$6$HeeGzA.awU7P35OuN6GbBHl7yAwIDmelemelekIiaGLVYA8/hNKI1:19290:0:99999:7:::
Więcej informacji: 0xm1rch
Napisał: Patryk Krawaczyński
30/06/2021 w Bezpieczeństwo Możliwość komentowania Strzał w stopę z Dockera została wyłączona
S
erwis NewsBlur 3 godziny po zakończeniu migracji swojej infrastruktury MongoDB na kontenery Docker doświadczył usunięcia danych. Otóż sam serwer miał włączoną zaporę sieciową UFW (ang. Uncomplicated Firewall) z ścisłą listą dozwolonych adresów IP. Co takiego się stało? Otóż okazało się, że decydując się na publikację portu MongoDB na kontenerze – Docker w standardzie robi swoją sztuczkę (znaną od 2014 roku) pod postacią dziury w zaporze otwierając dany port (tutaj: 27017) na świat. Proces ten jest opisany w dokumentacji:
This creates a firewall rule which maps a container port to a port on the Docker host to the outside world.
Wielu użytkowników jest zdziwiona takim zachowaniem – spodziewając się raczej odwrotnej polityki: świadomego włączenia funkcji otwierania portów niż konieczności ich wyłączenia (--iptables=false), czy potrzebę definiowania reguł iptables na poziomie łańcucha mangle, a nie filter. Oczywiście cała ta sytuacja nie tłumaczy uruchomienia niezabezpieczonej bazy NoSQL w kontenerze.
Więcej informacji: How a Docker footgun led to a vandal deleting NewsBlur’s MongoDB database, Docker Network bypasses Firewall, no option to disable
Napisał: Patryk Krawaczyński
07/01/2021 w Pen Test Możliwość komentowania NordVPN – zabawy z API i Cloudflare X-Forwarder-For została wyłączona
S
erwery API serwisu NordVPN stoją za Cloudflare. Jeśli wejdziemy na jeden z adresów API otrzymamy w formacie JSON geo informację o swoim adresie IP z zaznaczeniem czy jest on chroniony przez wspomnianą usługę, czy nie: "protected": false. Jeśli z ciekawości do metody insights dodamy parametr ?ip=$IP okazuje się, że możemy taką informację otrzymać o dowolnym (poprawnym) adresie IP w internecie. Na przykład: 1.1.1.1. W praktyce oznacza to, że oprócz VPN możemy gratis dostać usługę GeoIP znaną z Maxmind. W celach testowych zebrałem sobie 1000 adresów IP, dla których chciałbym sprawdzić informacje geo. Skoro północny serwis mi to oferuje za darmo to wystarczy uruchomić prosty skrypt:
[ czytaj całość… ]
Napisał: Patryk Krawaczyński
23/11/2020 w Bezpieczeństwo Możliwość komentowania Zaufana Trzecia Strona w SSL została wyłączona
L
et’s Encrypt to organizacja non-profit oraz projekt open-source zapewniający dostęp do bezpłatnych certyfikatów SSL. Pozwala na automatyczne przedłużanie ważności certyfikatów, które domyślnie wystawiane są na okres 3 miesięcy i są zgodne z najpopularniejszymi przeglądarkami internetowymi. Od ponad roku oprócz CA Let’s Encrypt istnieje możliwość uzyskania darmowych certyfikatów od firmy Bypass. Firma ta jest europejskim CA (ang. Certificate Authority) oferującym darmowe certyfikaty, których ważność wynosi 180 dni. Teraz do grona darmowych dostawców dołącza trzeci CA – ZeroSSL (również 90 dni). Każdy z tych dostawców jest kompatybilny z narzędziami ułatwiającymi zarządzanie certyfikatami, jak CertBot oraz ACME. Osoby zainteresowane napisaniem własnych rozwiązań mogą również wykorzystać REST API. W przypadku problemów technicznych z jednym dostawcą istnieje teraz alternatywa pozwalająca na szybkie przełączenie się na inne CA.
Napisał: Patryk Krawaczyński
21/06/2020 w Techblog Możliwość komentowania Obchodzenie wymogu logowania serwisu instagram.com została wyłączona
S
erwis instagram jakiś czas temu wprowadził wymóg logowania po przeglądnięciu kilku zdjęć. Znajomy poprosił mnie o zbadanie, czy istnieją istnieją alternatywne metody, aby ominąć tą restrykcję. Najszybszym i najprostszym sposobem jest wykorzystanie serwisu ImgInn, który wykorzystuje API serwisu instagram. Wystarczy adres w postaci: https://instagram/mike.wazowski zamienić na: https://imginn.com/mike.wazowski, co daje nam pełen dostęp do obrazów z danego profilu z możliwością ich ściągnięcia. Serwis ten umożliwia również usuwanie danych wybranych kont – dlatego jeśli nie możemy wykonać podglądu z tej pozycji pozostaje nam dodanie własnego filtru do dodatku uBlock Origin:
instagram.com##._Yhr4.RnEpo instagram.com##body:style(overflow:visible !important;)
lub ręcznie za pomocą „Narzędzi programistycznych” (F12 w przeglądarce) zmieniamy kod HTML z:
<body class style="overflow: hidden;">
na:
<body class style="overflow: visible;">
oraz wyszukujemy element HTML div z frazą "_Yhr4" w nazwie klasy i go cały usuwamy. Od tej chwili możemy swobodnie przewijać stronę, ale niestety nie możemy powiększać obrazów poprzez klikanie na nie. Dla rozwiązania tego problemu użyjemy stałego skrótu URL. Wystarczy skopiować adres dowolnego obrazka np.:
https://www.instagram.com/p/wWwNfseCwPl/
i dodać do niego frazę: /media/?size=l, czyli:
https://www.instagram.com/p/wWwNfseCwPl/media/?size=l
Więcej informacji: Wątek na Twitterze
Napisał: Patryk Krawaczyński
12/02/2020 w Pen Test Możliwość komentowania Jak anonimowo wyświetlać profile na LinkedIn? została wyłączona
O
prócz masowego ściągania profili istnieje również możliwość anonimowego przeglądania profili na portalu LinkedIn. Jak wyświetlić anonimowo profil LinkedIn bez konieczności logowania się lub posiadania profilu LinkedIn?
TESTOWY URL,HTML,RUN,Więcej informacji: 10 Minute Tip: Viewing LinkedIn Profiles Anonymously
Napisał: Patryk Krawaczyński
15/12/2019 w Pen Test Możliwość komentowania Obchodzenie zapór pośrednicząco-filtrujących strony web #4 została wyłączona
J
eśli posiadamy podatność, która bazuje na adresie IP, ale zapora pośrednicząco-filtrująca utrudnia nam zadanie eksploatacji pamiętajmy, że adres IP od strony klienta można zapisać na wiele sposobów. Na przykład:
$ ping 192.168.0.1 PING 192.168.0.1 (192.168.0.1): 56 data bytes $ ping 3232235521 PING 3232235521 (192.168.0.1): 56 data bytes $ ping 0xC0A80001 PING 0xC0A80001 (192.168.0.1): 56 data bytes $ ping 192.168.1 PING 192.168.1 (192.168.0.1): 56 data bytes $ ping 192.168.257 PING 192.168.257 (192.168.1.1): 56 data bytes $ ping ::ffff:c0a8:0001 PING ::ffff:c0a8:0001(::ffff:192.168.0.1) 56 data bytes $ ping 0000:0000:0000:0000:0000:ffff:c0a8:0001 PING 0000:0000:0000:0000:0000:ffff:c0a8:0001(::ffff:192.168.0.1) 56 data bytes
Więcej informacji: IPv4 Converter, inet_aton(3), IPv6 address formats,
Napisał: Patryk Krawaczyński
07/12/2019 w Bezpieczeństwo Możliwość komentowania Obchodzenie flagi montowania: noexec została wyłączona
W
historii rozwoju Linuksa znalazło się kilka sposobów na obejście ograniczeń montowania przez atakującego. Najprostszy był możliwy w Linuksie przed 2.4.25 / 2.6.0, gdzie opcję noexec można było ominąć używając /lib/ld-linux.so do wykonywania plików binarnych znajdujących się w ścieżkach takich systemów plików:
[ czytaj całość… ]
Napisał: Patryk Krawaczyński
15/10/2019 w Bezpieczeństwo Możliwość komentowania Obejście ograniczeń w sudo została wyłączona
G
dy sudo jest skonfigurowane tak, aby umożliwić użytkownikowi uruchamianie poleceń jako dowolny użytkownik za pomocą słowa kluczowego ALL w sekcji „uruchom jako” (ang. Runas) możliwe jest uruchomienie poleceń jako administrator systemu (root) podając ID użytkownika jako wartość -1 lub 4294967295. Może to być użyte przez użytkownika z wystarczającymi uprawnieniami sudo do uruchamiania poleceń jako root, nawet jeśli w sekcji „uruchom jako” jest wyraźny zakaz dostępu do uprawnień tego użytkownika. Jest to tylko możliwe, o ile słowo kluczowe ALL jest wymienione jako pierwsze w specyfikacji Runas. Wpisy dziennika dla uruchomionych w ten sposób poleceń będą wyświetlać docelowego użytkownika jako 4294967295 zamiast root. Ponadto moduły PAM nie będą uruchamiane dla polecenia.
[ czytaj całość… ]
Napisał: Patryk Krawaczyński
30/08/2017 w Bezpieczeństwo Możliwość komentowania Podstawy skryptów shell #4 została wyłączona
W
kolejnej części naszej serii [ 1 ] [ 2 ] [ 3 ] zajmiemy się atakami związanymi z uwierzytelnianiem. Zaczniemy od tezy, że nie należy polegać na skryptach, aby ustalać, czy użytkownik ma lub nie ma uprawnień do danej czynności. Jest to możliwe, jednak istnieją dobre i złe strony takiego rozwiązania. Za przykład posłuży nam skrypt:
#!/bin/bash
if [ $UID = 0 -a $USER = "root" ] ; then
echo "Jesteś administratorem zapraszam do domu."
echo $HOME
fi
Kod ten zawiera trzy błędy bezpieczeństwa i wszystkie są spowodowane używaniem zmiennych. Mimo, że bash chroni przed modyfikacją zmienną $UID to już $USER jest niezabezpieczona. No i kto powiedział, że inne powłoki chronią zmienną $UID?
root@darkstar:/home/agresor# ./test.sh Jesteś administratorem zapraszam do domu. /root root@darkstar:~#
Skrypt działa poprawnie dla konta administratora. Przeprowadźmy teraz atak za pomocą zwykłego użytkownika:
agresor@darkstar:~$ ./test.sh agresor@darkstar:~$ # Niestety nic z tego, ale... agresor@darkstar:~$ tcsh darkstar:~> setenv UID 0 darkstar:~> setenv USER root darkstar:~> setenv HOME /tmp darkstar:/home/agresor> /bin/bash test.sh Jesteś administratorem zapraszam do domu. /tmp
Jeśli ewentualnie chcemy pozyskać informacje o użytkowniku powinniśmy wykorzystać polecenie id:
# Prawdziwy UID USRUID="$(/usr/bin/id -u -r)" # Efektywny UID USEUID="$(/usr/bin/id -u)" # Nazwa użytkownika USNUID="$(/usr/bin/id -u -n)"
Na szczęście powyższy skrypt operował tylko wyświetlaniem komunikatów za pomocą echo. W połączeniu z innym możliwym atakiem (wstrzykiwania) można te błędy wykorzystać w bardziej zły sposób.
Więcej informacji: TCSH / CSH Shell Set PATH Variable, Shell Script Security
Copyright © 2023 NF·sec. All rights reserved. Grid Focus by Derek Punsalan 5thirtyone.com.
Ostatni komentarz :