Insecure Permissions

Hoy les voy a enseñar de esta técnica...

Bueno, esta técnica consiste en que gracias a un cojunto de errores podemos acceder a directorios de la administración sin previo chequeo de identidad... digamos la siguiente situación...


el htaccess de la web que tenemos que entrar dice:

# no hackers admited jajaja


Ahora eso está en /protected-files/

Ahora comenzamos con los errores del programador ¬¬


vamos a darle una apariencia al panel digamos que tendrá estas opciones:


- Agregar usuario
- Ver usuarios
- Eliminar Usuario
- Perfil Administrador


Ahora vamos a ves la segunda opción que por ahora es la que nos va a interesar...

Ver usuarios (nos dejará ver los usuarios de una DB) y pues el nombre del archivo al que nos lleva es see_users.php y el codigo es el siguiente:





<?php

readfile('protected-files/users.txt');

?>


como vemos el codigo llama a un archivo de un directorio con htaccess :( estamos perdidos... no! si hay esperanza como ven el archivo no pide verificación de cookie ni user ni nada entonces que creen que pasaría si nosotros fuesemos a:


www.web.com/admin/

lógico nos pide autentificacion pero como sabemos que existe see_users.php vamos a ver que pasa si agregamos...


www.web.com/admin/see_users.php

¡Mi dios! hemos conseguido ver los usuarios que se encuentran en users.txt

Ahora asi como hemos conseguido ver los users los datos del administrador sale userinf.txt en user y pass... que es esto? mm bueno entonces nosotros como somos mas pilas que el programador veremos si se trata de algo que nos ocultan...


Vamos a www.web.com/admin/userinf.txt


lamentablemente dice que no existe un 404... ahora mm veremos quizas está en el directorio prohibido y si está ahí significa que puede haber un PHP que nos lleve ;)

buscando y pensando llegamos a la 4ta opcion del menú que nos lleva a panel_info.php que tiene el code:




<?php

readfile('protected-files/userinf.txt');

?>


entonces ya tenemos el user y pass de la administracion y ya podremos entrar con todos los privilegios y dumpearnos la DB si hay la opcion y si se pueden subir imagenes subir una shell en php...

Les recomiendo no siempre fijarse en directorios como /Admin/ para este bug por que hay veces que la info la guardan en archivos .inc que inclusive uno puede hayar en google:

Dork: mysql filetype:inc

con eso hayariamos buena info...


Bueno y como fixean esto?

pues muy fácil necesitamos saber antes de dar acceso si está logueado... como lo sabemos?

mm debemos usar una bandera que si esta logueado sea true y sino sea false pero como hacemos eso?

pues miren el tuto de Argumente Injection y fijense no poner un codigo tan simple como ese sino agregar verificacion de cookie como se muestra en esa entrada o algo por el estilo depende de la imaginacion del programador...


Espero les sirva esta información...


Saludos
Dr.White