يحذف ثم يفك الترميز

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

الهاكر الآن يحذف ../ بشكل متكرر حتى لا يبقى منها شيء لكنه يفك ترميز العنوان (URL decode) بعد الحذف لا قبله فأي ../ مرمزة تمر من الحذف ثم تعود حرفا بعد فك الترميز

ما الذي تراه أمامك

نفس خادم المستندات لكنه يحذف مقاطع الصعود بشكل متكرر ثم يفك ترميز العنوان بعد الحذف الترتيب الخاطئ يعني أن مقطع صعود مرمز ينجو من الحذف ثم يعود بعد فك الترميز

الهدف

اقرأ /etc/passwd رغم الحذف المتكرر مستغلا أن فك الترميز يأتي بعده

متى يعتبر محلولا

استغللت ترتيب الحذف قبل فك الترميز وقرأت /etc/passwd

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

جرب مقطع صعود عاديا ولاحظ أن الحذف المتكرر يزيله
لاحظ أن الخادم يفك الترميز بعد الحذف لا قبله
رمز مقاطع الصعود فتنجو من الحذف
بعد فك الترميز يعود المسار ويقرأ ملف النظام

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

المشكلة في ترتيب العمليات: التنظيف حدث قبل فك الترميز فالمدخل المرمز نجا ثم عاد خطيرا بعد فك الترميز هذي قاعدة عامة: نظف وتحقق دائما على الشكل النهائي بعد كل فك ترميز لا قبله والأصح أصلا عدم التنظيف بل تحليل المسار والتحقق أنه داخل المجلد المسموح بعد التحليل وفك الترميز الكامل

السبب الجذري

التعقيم ثم فك الترميز بترتيب خاطئ يعيد إدخال ما حذف القاعدة أن كل تحويل للمدخل يجب أن يسبق الفحص لا أن يليه

كيف يصلح الكود

تحقق على الشكل النهائي بعد كل فك ترميز ترتيب العمليات هو الثغرة هنا

الكود المصاب

let name = stripAll(req.query.name);  // strips ../ repeatedly
name = decodeURIComponent(name);       // ...then decodes — too late
res.send(fs.readFileSync('/var/www/docs/' + name, 'utf8'));

الكود الآمن

// Decode fully first, then resolve, then check containment. No stripping.
const decoded = decodeURIComponent(req.query.name);
const full = path.resolve('/var/www/docs', path.basename(decoded));
if (!full.startsWith('/var/www/docs/')) return res.status(400).end();
res.send(fs.readFileSync(full, 'utf8'));

الأثر في الواقع

ترتيب الفك والتعقيم الخاطئ أعاد ثغرات اجتياز المسار في أنظمة اعتقدت أنها حمت نفسها

كيف يكتشفها المدافعون

المدافع يفك كل الترميز أولا ثم يحل المسار ويتحقق أنه داخل الأساس ويرصد تسلسلات ترميز مكررة في الطلبات

العودة إلى الدرس