Du gâteau (Web) - 404CTF 2022

Principe:
Forger un cookie permettant d'usurper le compte de l'administrateur, et bypasser la blacklist avec un padding

J'oublie souvent ce fichier, mais les situations réelles reviennent régulièrement me rappeler qu'il contient plein d'informations utiles (dont, par exemple, des valeurs par défaut trahissant le framework ou le CMS utilisé).

On essaie alors le formulaire de connexion, avec quelques caractères classiques et "innocents": *Le "Grand"*, *O'Rilley* etc mais rien ne trahis une éventuelle SQLi

Ce n'est pas un JWT, puisqu'il ne démarre pas par eyJ

Cookie

J'essaie souvent d'avoir, dans la moitié droite, la partie "locale" (ou test) et dans la moitié gauche la partie "distante" (ou "prod"). Ca permet de limiter les risques de se mélanger.

Touche "Windows" + une flèche (gauche/droite) permet de mettre la fenêtre sur la moitié correspondante de l'écran

J'essaie alors de générer un cookie dont le username serait "admin", puisqu'il s'agit souvent du username le plus critique

La deuxième commande supprime les retours à la ligne du base64, via tr -d "\n"

Et ça fail, mais avec un message d'erreur quand on veut accéder à l'espace d'administration: "mauvais mot de passe". On a donc un chemin intéressant et le bon username, donc on continue

Forgot password

Le mot de passe de l'admin n'est pas le bon, alors, essayons de le récupérer… mais le site refuse!

Quand un challenge dit qu'un truc est "infaillible", c'est qu'il y a très certainement une faille!

Je vadrouille alors, et la page "connect" me renvoie un autre message

Injection de connexion

Comme un ; est utilisé comme séparateur dans le cookie, je vide ceux-ci et je tente un login avec un ;

Paf, une nouvelle erreur (une *HTTP 500*)

Casser le hash?

En reprenant mon cookie d'avant (dont je connais le mot de passe simpliste *123456*), j'essaie de voir ce qu'est le hash du password via John: c'est un SHA512

J'avais en tête d'essayer de "casser" le hash du mot de passe admin… et je me suis aperçu que je n'avais pas ce hash! Donc, la piste n'a pas de sens

Tamper cookie

J'essaie alors de voir si je peux bricoler le cookie pour que le système me "connecte" avec *legrand* et *123456* puis qu'ensuite, il interprète mon user comme *admin*

Il est courant, dans les systèmes réels, d'avoir ce genre de mauvaise interprétation. Le cas classique concerne les headers HTTP: deux systèmes chaînés peuvent ne pas lire les headers dans le même ordre, et en cas de header présent en double, le premier système ne lira que le premier header, alors que l'autre utilisera le second header. Cela offre des possibilités de bypass