🤯 Каждый багхантер хотя бы раз сталкивался с проверками при загрузке файлов: расширения, MIME-тип, структура файла, магические байты. Но задумывались ли вы, как можно обойти ограничения на загрузку файлов для эксплуатации Client-Side Path Traversal (CSPT)?

Команда Doyensec поделилась исследованием, раскрывающим кейсы эксплуатации слабых мест проверок для выполнения сложных атак, включая CSPT, CSRF и XSS.

1⃣ JSON как инструмент для обхода

JSON — популярный формат передачи данных, который можно использовать для обхода проверок загрузки. Многие приложения проверяют загружаемые файлы, используя библиотеки и инструменты для проверки MIME-типа и структуры. Однако правильно сформированный JSON может пройти эти проверки и быть обработан на стороне клиента.

2⃣ Обход проверок PDF

Исследование показывает, как создать файл, который будет распознаваться как PDF, но при этом оставаться валидным JSON для клиента:
• mmmagic (обычно используется в приложениях Node.js для определения типов файлов): достаточно поместить заголовок %PDF в первые 1024 байта.
• pdflib: Использование допустимой структуры PDF с минимальными корректировками (например, замена %0A на %20).

3⃣ Проблемы с командой file

Команда file ограничивает количество байтов для анализа. Это ограничение можно использовать, добавив в файл большое количество пробелов. Проверка файла завершится ошибкой, и файл классифицируется как PDF.

4⃣ Обход проверки изображений (WEBP)

Создание JSON-файла с магическими байтами WEBP в нужном месте позволяет пройти проверку формата изображения:

{"aaa": "WEBP", "_id": "../../../../CSPT?"}

🎯 Ключевые методы обхода

Что использовать:
• Создание файлов, которые валидны сразу для нескольких форматов.
• Анализ исходного кода библиотек проверки (например, mmmagic, pdflib, file-type).
• Эксплуатация технических ограничений, таких как лимиты чтения данных.

Где применимо:
• CSPT → обход путей на стороне клиента.
• CSRF → выполнение межсайтовых запросов.
• XSS → внедрение вредоносного JavaScript.