Bypassing Client-Side Filtering

Empezaremos con la primera (y más débil) linea de defensa: filtrado del lado del cliente.

Como mencionamos previamente, el filtrado del lado del cliente suele ser extremadamente fácil de bypassear. Como ocurre por completo en la máquina que puedes controlar, al tener acceso al código es fácil de modificar.

Hay cuatro maneras fáciles de bypassear los típicos filtros de subida del lado del cliente:

1. Deshabilita JavaScript en tu navegador: Esto funcionará si el sitio web no requiere JavaScript para ofrecer funcionaliddades básicas.
2. Intercepta y modifica la página entrante: Usando Burp Suite, podemos interceptar la página entrante y quitarle el filtro JavaScript antes de que tenga oportunidad de ejecutarse.
3. Intercepta y modifica el archivo subido: Este método permite que la página se cargue de forma normal pero intercepta el archivo subido después de haber pasado los filtros pero cuando todavía no ha llegado al servidor.
4. Manda el archivo directamente al punto de subida: Si puedes mandar el archivo directamente al punto de salida, puedes evitar filtros del navegador. El comando para dicho propósito sería algo así: curl -X POST -F "submit:<value>" -F "<file-parameter>:@<path-to-file>" <site>. Para poder usar este método deberías primero interceptar una petición de subida exitosa para ver parámetros, headers y demás.

Cubriremos los métodos 2 y 3 en profundidad debajo.

Asumamos que hemos encontrado una página de subida.

Como siempre, miraremos el código fuente. Aquí podemos ver una función JavaScript básica que comprueba el tipo MIME de los archivos subidos:

En esta instancia podemos ver que el filtro está usando una whitelist para excluir cualquier tipo MIME que no sea image/jpeg.

El próximo paso es intentar una subida de archivo. Si seleccionamos JPEG, la función lo acepta y cualquier otra la rechaza.

Habiendo establecido esto, arrancamos BurpSuite y recargamos la página. Veremos nuestra propia petición al sitio web pero lo que realmente queremos es ver es la respuesta del servidor, así que hacemos click derecho en la información interceptada, bajamos hasta "Do Intercept" y seleccionamos "Response to this Request".

Cuando hacemos click en "Forward" arriba de la ventana, veremos la respuesta del servidor a nuestra petición. Aquí, podemos borrar, comentar o romper la función JavaScript antes de que tenga oportunidad de cargar.

Habiendo borrado la función, le damos de nuevo a "Forward" hasta que veamos que el sitio web ha terminado de cargarse y ahora ya podemos subir cualquier tipo de archivo a la página.

Ya hemos bypasseado este filtro interceptando y eliminándolo antes de que cargue la página, pero intentémoslo hacer subiendo un archivo con una extensión y tipo MIME legítimos e interceptándolo y corrigiéndolo con BurpSuite.

Habiendo recargado la página web, para poner el filtro en su lugar, tomemos la reverse shell que hemos usado antes y renombrémosla para que se llame "shell.jpg". Como el archivo cumple con la condición del tipo MIME, nuestro filtro del lado del cliente deja pasar nuestro payload sin quejas.

Una vez más, activamos Burp Suite y le damos a "Upload" para interceptar la petición.

Observa que el tipo MIME de nuestra shell PHP es image/jpeg. Cambiaremos esto a text/x-php, y la extensión de .jpg a .php y le daremos a forward.

Ahora, al navegar a http://demo.uploadvulns.thm/uploads/shell.php habiendo activado un listener, recibiremos una conexión de la shell.

Hemos cubierto en detalle dos formas de bypassear un filtro de subida de lado del cliente. Ahora es hora de que lo probemos. Ve a java.uploadvulns.thm y bypassea el filtro para conseguir una reverse shell. Recuerda escanear el sitio web con gobuster.

1. Vamos al sitio web dado.
2. Escanearemos mientras tanto la página con gobuster.
3. Vamos a interceptar una subida de archivo con Burp Suite.
   1. Abrimos Burp Suite y su navegador y vamos al sitio web que nos dan.
   2. Seleccionamos un archivo y activamos la intercepción.
   3. Le damos a "Upload" y esperamos la petición.
4. El content type parece ser image/png.
5. Le damos a "Forward". Parece que se ha subido exitosamente.
6. Vamos ahora a subir una shell.php y a capturar la respuesta.
   1. Editamos la shell.
   2. Nos ponemos en escucha.
   3. Subimos la shell y la interceptamos con Burp Suite. Parece que no nos deja.
   4. Le cambiamos la extensión a .png.
   5. Ahora sí.
   6. Vamos a interceptarlo.
   7. Cambiamos el filename a reverseshell.php y content-type a text/x-php.
   8. Le damos a forward hasta que ponga success.
7. Ahora debemos navegar a la shell, que basándonos en nuestro escaneo con gobuster seguramente esté en /images. La página parece quedarse cargando.
8. Pero si volvemos al listener:
9. Ahora vamos al directorio que nos dan y leemos la flag.