KENRO Web脆弱性基礎編コース 【Writeup編】

はじめに

セキュリティ学習のサービスを探していたところ、一部無料になった「KENRO」を見つけました。
そこで、このサービスで脆弱性の基礎を学びたいと思います。
引用：KENRO https://flatt.tech/kenro/

KENROとは

「KENRO」はWebエンジニアのセキュアコーディング習得を支援するSaaS型eラーニングサービスです。
「資料に目を通して三択問題のテストを受けるだけ」という一般的なeラーニングとは異なり、攻撃者が用いる手法を体験する「ハッキング演習」や、脆弱なソースコードを修正する「堅牢化演習」を通じて、より実践的なトレーニングを一元的に受講できます。
https://flatt.tech/kenro

Web脆弱性基礎編コース（トライアル版）

Web アプリケーションにまつわる基礎的な脆弱性を一通り学ぶことができるコースです。

ハッキング演習

Q1)基礎的な OS Command Injection 攻撃

演習環境には OS Command Injection 脆弱性が含まれています。
その脆弱性を利用し ls . コマンドを実行すると、flatt{...} 形式の文字列が見つかるはずです。

A1)
ping コマンドを実行できるアプリっぽい。他のコマンドも実行できる可能性がある。

入力欄にexample.comを指定すると、ping example.comの結果が返ってきた。
&&を使えば、他のコマンドとか使えそうだと予測。
入力欄にexample.com && ls .と入力。
フラッグを発見。
flatt{you_found_a_secret_url_with_os_command_injection}

Q2)XML External Entity 脆弱性を経由したファイルの読み出し

演習環境には XML External Entity 脆弱性が含まれています。
その脆弱性を利用し、サーバ中のファイル /flag.txt を読み出し、
その中に書かれた flatt{...} 形式の文字列を解答してください。

A2)
XML ドキュメントの中の <name> タグの中身を表示します。と記載されているので、
正常系のファイルをアップロードしてみます。
ソースコード-正常系

<?xml version="1.0" encoding="utf-8" ?>
<top>
<name>TEST</name>
</top>

<name>タグの中身が表示されました。では、次にアップロードするファイルを以下の様に改変します。

ソースコード-異常系

<?xml version="1.0" encoding="utf-8" ?>
<!DOCTYPE top [
 <!ENTITY trap SYSTEM "file:///flag.txt">
]>
<top><name>&trap;</name></top>

trapが呼び出されました。（これはSYSTEM "file:///flag.txtを呼び出す）
フラッグ発見。
flatt{arbitrary_file_read_by_xxe}

Q3)iframe の透明化

演習環境に書かれた指示に従って、透明化された iframe タグを探し、
flatt{演習環境中で透明化されている iframe タグの class 属性の値} を解答してください。
詳しい指示は演習環境を確認してください。

A3)
F12キーにより開発者ページを開きます。
<style>タグで囲まれている中身を確認します。

opacityプロパティを用いることで要素の透明度を指定できるので、次の箇所が怪しそうです。

 .sample-dgsgr4og {
    opacity: 0%;
  }

これに該当する<iframe>タグの箇所を確認します。

フラッグ発見
flatt{sample-dgsgr4og}

Q4)Insecure Deserialization 脆弱性によるロジックの破壊

演習環境は入力として文字列を与えると、Hello, （与えた文字列） を画面に表示してくれる Web アプリケーションです。
また、途中の入力値の検査により、admin という値は入力値として与えられないようになっています。
しかし、このアプリケーションには Insecure Deserialization 脆弱性があります。
そのため、直接 Cookie 中のキー instance の値を直接変更することで、本来禁止されている入力値も与えられるようになっています。
例えば、Cookie を直接以下の値に改ざんすることで、入力値 admin を検査を回避しつつアプリケーションに与えることができます。

O%3A6%3A%22Sample%22%3A1%3A%7Bs%3A12%3A%22%00Sample%00name%22%3Bs%3A5%3A%22admin%22%3B%7D

実際に上記の値に Cookie 中のキー instance の値を改ざんしてみてください。
うまくいくと画面に flatt{...} 形式の文字列が表示されますから、それを解答してください。

A4)
adminを指定すると、エラーになる。

そこで、Cookie のキー instance の値を書き換える。
フラッグを発見。
flatt{insecure_deserialization_induces_unexpected_vulnerabilities}

問題は解けたが、あんまり理解できてない。。。
シリアライズ・デシリアライズに関して、別途勉強する必要がありそうだ

Q5)基礎的なディレクトリトラバーサル攻撃

演習環境のサーバには /secret/flag1 という名前の、flatt{...} 形式のデータが書かれたファイルが存在します。
このファイルを、演習環境中に存在するディレクトリトラバーサル脆弱性を利用することで読み出し、ファイルの中身を解答してください。

A5)
閲覧したいファイルにはa.txtb.txtc.txtが格納されています。
その時のURLはhttps://basic-dirtrav-attack.flatt.training/?filename=a.txtです。
演習環境サーバには、/secret/flag1というファイルがあるらしいので上記のURLに対してDirectory Traversal 攻撃を実施します。

アクセスするURL
https://basic-dirtrav-attack.flatt.training/?filename=../../../../../secret/flag1

フラッグを発見。
flatt{directory_traversal_is_so_dangerous}

Q6)ディレクトリトラバーサルによるサーバ設定ファイルのリーク

演習環境のサーバは nginx を利用しており、その設定ファイルは /etc/nginx/conf.d/default.conf に格納されています。
このファイルを演習環境中に存在するディレクトリトラバーサル脆弱性を利用することで読み出すと、
開発者しか知らないはずの URL 定義が見つかるはずです。

A6)
Directory Traversal 攻撃によりディレクトリの情報を読み出せないか確認します。
アクセスするURL
https://basic-dirtrav-attack.flatt.training/?filename=../../../../../../etc/nginx/conf.d/default.conf

ファイルの中身の読み出しに成功しました。

コメントアウトされた箇所に次の文がありました。

# /secret_path_only_developer_can_know にアクセスすると答え（flatt{...} 形式のデータ）が得られます。
location = /secret_path_only_developer_can_know {
 default_type text/html;
 alias /secret/flag2_2a46993a50cbe5a6b14f76e5ac4d8514;
}

指示されたURLへアクセス。
https://basic-dirtrav-attack.flatt.training/secret_path_only_developer_can_know

フラッグを発見。
flatt{server_configurations_include_a_lot_of_useful_information}

Q7)Reflected XSS 脆弱性

この演習環境には Reflected XSS 脆弱性が存在しています。
そのReflected XSS脆弱性を利用して、このWebページ中に<script>alert(1)</script>を挿入してください。

A7)
<script>alert(1)</script>を挿入する。

フラッグを発見。
flatt{this_is_reflected_xss}

Q8)DOM-based XSS 脆弱性

この演習環境には DOM-based XSS 脆弱性が存在しています。
そのDOM-based XSS脆弱性を利用して、このWebページ中に<img src=x onerror=alert(1)>を挿入してください。

A8)
<img src=x onerror=alert(1)>を挿入する。

フラッグを発見。
flatt{dom_based_xss_is_different_from_other_types}

Q9) SQL Playground

演習環境には以下のようなテーブルが定義されています。このテーブルには flatt{...} という形式のデータが保存されています。
このデータを SELECT 文で取得し、flatt{...}という形式の文字列を解答してください。

CREATE TABLE `members` (`username` TEXT NOT NULL,`profile` TEXT NOT NULL) ENGINE=InnoDB DEFAULT CHARSET=utf8;

A9)
分かっているのはテーブル名（profile）、カラム名（sername、profile）。
この情報からDBに保存されているレコードを取得できるか実行。

select * from members;

実行結果

フラッグを発見。
flatt{just_a_select_query}

Q10)ログイン機能に存在する SQL Injection

演習環境はログイン機能を持った Web アプリケーションです。
SQL Injection 攻撃によりユーザー名 admin としてログインしてください。

A10)
問題文から、ユーザー名はadminである。パスワードは分からないのでSQLiができるか試してみる。
'をパスワード欄に入れるとエラーが出てきた。ここから、SQLiの可能性が浮上。

実行結果

pass ' OR '1' = '1

フラッグを発見
flatt{login_bypass_by_sql_injection}

---

Good luck