HackHispano.com

Así es como se puede conseguir ejecutar comandos en un servidor a través de una subida de archivos. Hace meses hice una auditoría en un portal de empleados en el que, a través de la subida de una foto de perfil "maliciosa", conseguí ejecución remota de comandos en el servidor. Para conseguirlo no necesité un exploit novedoso ni un ataque sofisticado. El proceso que seguí fue el siguiente: Comencé por darme de alta con una cuenta normal e intenté cambiar la foto de perfil. Intenté subir otro tipo de archivo que no fuese una imagen. Pero cualquier archivo que no fuese una imagen no superaba la validación: «solo se permiten imágenes». El servidor tenía una lista negra de extensiones. Así que tocaba intentar saltársela. En primer lugar, intenté subir un archivo .htaccess con el siguiente contenido: AddType application/x-httpd-php .hacked El servidor Apache lo aceptó sin rechistar mucho. Después, intenté subir la misma shell que estaba intentando subir previamente. Pero con un matiz: en vez de subirla con la extensión .php, la subí con una nueva extensión: shell.hacked Éxito. El archivo se había subido correctamente. Busqué la ruta donde se había subido el archivo y lo abrí en el navegador: /files/avatars/shell.hacked?cmd=id El servidor ejecutó el comando correctamente. Así conseguí ejecutar comandos desde una foto de perfil aparentemente inofensiva. Avisamos al cliente para que bloquease esta extensión también. Realizó modificaciones y la nueva implementación solo permitía subir archivos jpg y png, y añadió comprobación de magic bytes. En el retest, intenté hacer la misma prueba, pero esta vez sin éxito. Aunque descubrí una nueva forma de saltarme la validación. En la nueva prueba, preparé un nuevo fichero que empezaba como un GIF real y seguía con PHP: GIF89a <?php system($_GET['cmd']); ?> En la petición cambié el nombre a: shell.php%00.jpg La imagen se subió pasando la validación. El filtro vio .jpg y los bytes de un GIF. El sistema de archivos truncó el nombre en el null byte y dejó shell.php. Ahora tocaba ver si podía ejecutar comandos de nuevo. Traté de acceder nuevamente mediante la ruta y la shell volvió a responder correctamente. Así es como los atacantes pueden saltarse las validaciones de tu web y servidor. Si tu web tiene una funcionalidad para subir imágenes, logos o archivos adjuntos, conviene que hagas las siguientes comprobaciones: ➡️ Intenta subir un .htaccess con AddType application/x-httpd-php .hacked. Si el servidor lo acepta, cualquier extensión que un atacante se invente puede acabar ejecutándose. ➡️ Si cuentas con un entorno de pruebas, sube un fichero que empiece por GIF89a y lleve debajo <?php echo 'hola'; ?>, con nombre shell.php%00.jpg. Si al acceder a la ruta donde se suve ves "hola", el null byte y el polyglot han pasado tu validación. ➡️ Comprueba que carpeta de subidas no permita ejecutar PHP, que cada fichero se guarde con nombre aleatorio.