WireWalkWithMe

Это GET-запрос к заброшенному хостингу

В очередной раз перечитывая HackTricks в поисках способов пересмотреть процесс пентеста веб-приложения, я наткнулся на необычный концепт эксфильтрации данных через заголовок Etag при использовании сервером заголовка Range.
Заголовок Etag используется CDN для управления версионностью JS и CSS файлов. В Apache модуль включен по умолчанию (этот нюанс можно использовать для фингерпринтинга). При запросе этих ресурсов впервые браузер сохраняет Etag документа и включает его при повторном запросе в заголовке If-None-Match. Если Etag текущей версии документа совпадает, сервер может ответить клиенту кодом 304 и он воспользуется документом из своего кэша. Как правило, Etag представляет собой SHA-1 хэш от размера контента, времени последнего обновления и, иногда, используемой айноды.
Концепт заключается в том, что используя заголовок Range, мы можем указать серверу, что хотим получить в ответ всего один байт, а перебрать значения SHA-1 для одного байта, даже если в нем используется соль, намного проще, чем от целого документа, особенно, если мы ожидаем найти мультимедиа контент с заранее определенным заголовком magic bytes. Таким образом возможно побайтово перебрать значения страниц, доступ к которым был ограничен.
Не смотря на то, что концепт интересен, его реализация in-the-wild мне показалась сомнительной, уж для очень многих неизвестных должны "сойтись звезды". Багбаунти репортов действительно не нашлось, только таска ImageHub c Hackquest 2018. А если поискать райтапы по заголовку Range, то можно найти Less Secure Secrets с ASIS CTF Finals 2020, где Etag не используется, но представлен другой интересный способ получения неавторизованного доступа к страницам, фильтруемым Apache при помощи mod_substitute:

AddOutputFilterByType INFLATE;SUBSTITUTE;DEFLATE text/html
Substitute s|(.*)|Protected|i

В данной конфигурации, если запросить такой Range, что тэг не будет отображаться в ответе, то он не попадет под регулярку и мы сможем прочитать его значение. В любови сисадминов к костылянию логики в конфигах Apache я сомневаюсь уже меньше, чем в переборе SHA-1 хэшей, так что данный метод может быть интересен в реальных проектах.

Я не микроселебрити нижнего телеграма, но итоги года все же хотелось бы подвести. За этот год произошло многое, о чем стоило бы писать, но я либо не находил для этого время, либо не хотел раскрывать лишние детали. За этот год мне написало трое мутных типов с предложением вступить в их команду рансомверистов и киберпатриотов, и были благополучно посланы нахуй; я преисполнился премудростей веб-пентеста и пробил свои первые пять периметров на различных проектах; нашел и сдал несколько серьезных багов в программных продуктах, которыми люди пользуются каждый день, чем, возомжно, сделал их жизнь чуточку спокойнее. Сделал для вас несколько мемов, опробовал себя в роли threat intelligence журналиста, завел себе флиппер и даже какое-то время делал его счастливым. Каждый раз, когда я пишу сюда что-то, я поражаюсь тому, что меня кто-то читает, и счастлив, что могу поделиться с кем-то интересной атакой или вайбовой картинкой. Надеюсь, что в следующем году выпущу несколько уже своих ресерчей, а вам я желаю следить за цифровой гигиеной в эпоху кибервойн. С наступающим! 💃🖤