Event: Code Mania 10

1. From Web Vulnerability
to Exploit in 15 minutes
Pichaya Morimoto a.k.a. longcat
Code Mania 10
June 27, 2015

2. ★ Impact of a Hacking Incident
★ PHP Object Serialization
★ PHP Magic Method
★ DEMO: Teleport Portal
★ CodeIgniter’s Session Cookie
★ Secure Code Review: POP Gadgets
★ Inspect Requests by BurpSuite
★ Write Exploit Code
○ Python
○ Metasploit
Overview
2 นาที
5 นาที
3 นาที
5 นาที
รวม: 15 นาที

3. เว็บโดนแฮกแลว?
จะทํายังไงดี
ทุกวันนี้ยังเห็นมีคนใช
AppServ อยู

4. ★ A1 Injection
★ A2 Broken Authentication and Session Management
★ A3 Cross-Site Scripting (XSS)
★ A4 Insecure Direct Object References
...
★ A10 Unvalidated Redirects and Forwards
OWASP Top 10 - 2013
SQL queries, LDAP
queries, XPath queries,
OS commands,
program arguments,
etc.

5. unserialize(
[User Input Data ]
);
+
Classes: POP Gadgets
POI: PHP Object Injection

6. PHP Object Serialization
Serialization:
serialize()
Deserialization:
unserialize()

7. ★ $number = 1234;
★ $text = 'codemania';
★ $fruits = array('apple',
'banana',
'orange');
class FooController {
public $foo='bar';
function doX() { ... } }
★ $a = new FooController;
PHP Object Serialization
serialize
([<คา]);
unserialize
([คา>]);

8. ★ $fruits = array('apple',
'banana',
'orange');
PHP Object Serialization
a:3:{i:0;s:5:"apple";i:1;
s:6:"banana";i:2;s:6:"
orange";}
O:13:"FooController":
1:{s:3:"foo";s:3:"
bar";}
class FooController {
public $foo = 'bar';
}
★ $a = new FooController;
serialize
([<คา]);

9. PHP Object DeSerialization
User Input
$_POST
$_GET
$_COOKIE
$_SERVER
...
class FooController {
public $foo = 'bar';
}
$a = unserialize($_GET['a']);
unserialize
([คา>]);
***?

10. __construct() __destruct()
__sleep() __wakeup()
__toString()
__call(), __callStatic()
__get(), __set()
...
PHP Magic Method
POP
Gadget

11. PHP Magic Method
__sleep:
เวลา serialize แลวเอา
ตัวแปรบางตัวออก
__wakeup:
เวลา unserialize แลวเอา
ตัวแปรอื่นมาใสแทน
__destruct:
ถามีขอความเออเรอเก็บไวใ
หแสดงกอนจบการทํางาน

12. unserialize(
[User Input Data ]
);
+
Classes: POP Gadgets
POI: PHP Object Injection

13. DEMO: Teleport Portal

14. Fingerprint WebApp
ci_session
CodeIgniter

15. ci_session ?
Session Data
(serialized format)

16. unserialize(
[User Input Data ]
);
+
Classes: POP Gadgets
POI: PHP Object Injection
***?

17. ci_session ?
Session Data
(serialized format)
MAC / Signature
(MD5)

18. Create a new session
system/libraries/Session.php
1
2
3

19. Write the session cookie
4
5
6
system/libraries/Session.php
encryption_key

20. Encryption Key

21. ★ บางแอพพัฒนาจาก CI แลวคนเอาไปใชไมเปลี่ยน
★ Offline Bruteforce
★ รีวิวโคด / ขโมยโคด
★ ชองโหวอื่นๆ
ไมรู Encryption Key ทําไง

22. Fetch the current session data
system/libraries/Session.php1
2
3
4
5

23. unserialize(
[User Input Data ]
);
+
Classes: POP Gadgets
POI: PHP Object Injection

24. POP Gadgets
__destruct

25. unserialize(
[User Input Data ]
);
+
Classes: POP Gadgets
POI: PHP Object Injection

26. PoC
สราง
Object
serialize
แลวก็ตอ key มา
md5 หาคา MAC
URL
Encoding
MAC

27. PoC

28. Write an Exploit
1
2
3
4

29. Write an Exploit
สราง
ci_session
สราง HTTP
Request
ยิง Req
1
2
3

30. Exploit

31. Backdoor
WebShell

32. Beyond: POP Chain
http://syssec.rub.
de/media/emma/veroeffentlichungen/2014/09/10/POPChainGenerati
on-CCS14.pdf

33. ★ อยารับ User Input เขา unserilize() โดยตรง
ใช json_encode(), json_decode() แทน
★ ใช Web Framework ก็ตองอัพเดทเวอรชั่นใหม
★ Encryption Key สําคัญมาก สุมกอนใช
★ คอยอัพเดทเทคนิคการแฮกใหม ๆ
สรุป
เพจ: สอนแฮกเว็บแบบแมวๆ
https://www.facebook.com/longhackz