حقن أعمى | Hunt the Flag

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

صفحة "هل نسيت كلمة المرور؟". تكتب بريدا فترد الصفحة بنعم أو لا فقط: هل يوجد حساب بهذا البريد لا تظهر أي بيانات ولا رسائل خطأ لكن البريد يدخل في استعلام SQL. في جدول الحسابات عمود reset_token للمدير وهو ما تريد استخراجه حرفا حرفا

ما الذي تراه أمامك

حسابات الغربان تطبيق من صفحتين صفحة استعادة كلمة المرور تأخذ بريدا وترد بنعم أو لا فقط هل يوجد حساب بهذا البريد ولا تظهر أي بيانات ولا أخطاء ولا الاستعلام لكن البريد يدخل في استعلام SQL وصفحة ثانية لإدخال الرمز الذي تستخرجه جدول الحسابات فيه عمود reset_token للمدير وهو هدفك

الهدف

استخرج رمز إعادة التعيين الخاص بالمدير كاملا ثم أدخله

متى يعتبر محلولا

تدخل رمز إعادة التعيين الصحيح للمدير

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

جرب بريدا موجودا وبريدا غير موجود وتأكد أن الرد نعم أو لا فقط
أغلق النص باقتباس وأضف شرطا دائم الصحة لتتأكد أن مدخلك يدخل الاستعلام
استخدم substr لعزل حرف واحد من reset_token واجعل الرد نعم فقط إذا طابق تخمينك
استعمل أداة الطلبات لإعادة الإرسال بسرعة وأنت تغير التخمين والموضع
اجمع الحروف واحدا واحدا حتى يكتمل الرمز ثم أدخله في صفحة الرمز

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

حتى من دون أن يعرض الخادم أي بيانات فإن تغير رده (نعم/لا) حسب شرط تتحكم فيه يسرب المعلومة بتا واحدا في كل طلب بأسئلة نعم/لا متتابعة تستخرج قيمة كاملة إخفاء الأخطاء ورسائل النتائج لا يغلق الثغرة المشكلة أن المدخل ما زال يتحول إلى شرط في الاستعلام الإصلاح هو نفسه: معاملات تفصل القيمة عن نص الاستعلام

السبب الجذري

إخفاء المخرجات ليس حماية ما دام المدخل يتحكم في منطق الاستعلام تغير الرد نعم أو لا حسب شرط تتحكم فيه يسرب بتا واحدا في كل طلب والجذر نفسه لصق المدخل في نص الاستعلام

كيف يصلح الكود

الحقن الأعمى يثبت أن إخفاء المخرجات ليس حماية ما دام المدخل يغير منطق الاستعلام المعاملات تغلق الثغرة ومن الأفضل أيضا ألا تكشف الصفحة وجود الحساب من عدمه

الكود المصاب

app.post('/reset', (req, res) => {
  const email = req.body.email;
  // Only a yes/no is returned, but the input still shapes the query's logic.
  const sql = "SELECT 1 FROM accounts WHERE email = '" + email + "'";
  res.json({ exists: db.get(sql) !== undefined });
});

الكود الآمن

app.post('/reset', (req, res) => {
  // The email is data: it can only ever be compared as a value, never run as logic.
  const exists = db.get('SELECT 1 FROM accounts WHERE email = ?', [req.body.email]) !== undefined;
  // And do not reveal whether an account exists: answer the same either way.
  res.json({ message: 'If that email has an account, a reset link has been sent.' });
});

الأثر في الواقع

الحقن الأعمى أبطأ من الظاهر لكنه يستخرج قيما كاملة رموز إعادة التعيين كلمات المرور المجزأة أي عمود وأدوات الأتمتة تجعله سريعا جدا في الواقع

كيف يكتشفها المدافعون

المدافع يرصد عددا كبيرا من الطلبات المتشابهة من نفس المصدر في وقت قصير ووجود substr أو and 1=1 في المدخلات ويضع حدا للمعدل كما توحد الردود حتى لا تكشف وجود الحساب

العودة إلى الدرس