[PHÂN TÍCH + SERI ÁP DỤNG CTF] Funny - SQL injection - authentication

Tiếp tục Seri Áp dụng CTF, hôm nay sẽ là một ví dụ rất cơ bản về SQL injection.
Link CTF: http://challenge01.root-me.org/web-serveur/ch9/
Ebook: http://repository.root-me.org/Exploitation%20-%20Web/EN%20-%20Blackhat%20Europe%202009%20-%20Advanced%20SQL%20injection%20whitepaper.pdf
Link thực tế:
vcnc.co/login.php
Với login page này ta thử với:
User: '=' 'or'
Pass: '=' 'or'
Ta được:

Thực sự thì hiện tại lỗi này rất hiếm gặp do các dev-er đã fix hết đa số những ký tự đầu vào nhưng với nhiều câu lệnh truy vấn khác phức tạp hơn thì vẫn có thể bypass được.

[PHÂN TÍCH + SERI ÁP DỤNG CTF] Google Hacking, Structure FrameWork

Laravel hiện là một trong số những FrameWork php rất được ưa chuộng.
https://quickadminpanel.com/blog/how-to-use-laravel-env-example-files/
http://challenge01.root-me.org/web-serveur/ch6/
Qua bài viết trên + cái tittle thì có lẽ các bạn cũng đã hình dung được một phần bài viết hôm nay rồi phải không? Tiếp tục nào.
Thử trên site của "ISAMCO".
Google Hacking với nội dung: inurl:"isamco.com.vn" ext:env
Ra đúng như chúng ta dự kiến.

Khi có DB_HOST, DB_USER, DB_PASSWORD thì việc còn lại dành có sự sáng tạo của các bạn. Như mình nghịch chút chút:

Update: Mới phát hiện thêm là hệ thống này ảnh hưởng tới toàn bộ hệ thống Website của Mitsubishi Việt Nam, hệ thống vẫn chưa được fix.
Timeline:
10:00:00 02/05/2017 - Thực hành và báo lỗi cho ISAMCO, MITSUBISHI-MOTOR
16:00:00 09/05/2017 - Viết bài cảnh báo.
14:00:00 31/05/2017 - Liên hệ được bạn IT, fixed.

Lại một vấn đề bảo mật cơ bản phải không?

[PHÂN TÍCH + SERI ÁP DỤNG CTF] HTTP directory indexing và việc đăng ký tài khoản trên các Website/ Ứng dụng Thương mại điện tử.

Bạn nào đã từng chơi root-me.org thì chắc cũng sẽ biết đến một trong số những bài đầu của Web Server : "HTTP directory indexing" hôm nay mình sẽ phân tích về vấn đề đó theo cách diễn tả của mình.
Bắt đầu nào, directory là thư mục vậy http directory indexing nói nôm na sẽ là thông qua http để truy cập vào thư mục thường được hiển thị ở site index.
Cũng như bài tập trên root-me, đầu tiên chúng ta tấn công dictionary để xem các directory thông qua các wordlist.
Các bạn có thể tự viết tools bằng nhiều ngôn ngữ, ví dụ như Python hoặc lên github cũng sẽ có rất nhiều tools cho các bạn. Ở đây tôi dùng luôn công cụ "dirb" trên Kali Linux.
Sau khi chạy "dirb" ta thu được.

Tiếp tục nào, thử nhập những link đó vào Brower xem sao:

Không bị hạn chế 403. :D :D :D
Lòng vòng bên trong cfco.com.vn và 1 số site do cfco tạo ra mình thu được một số thứ như, bộ tools với file manager, danh sách khách hàng, danh sách mạng lưới và một điều rất là thú vị nữa đó chính là "email" và "password" của một email quản lý.

Tiếp tục truy cập vào trong email nào.

Không gặp phải bất kỳ vấn đề xác thực nào. Cái này người dùng cần xác thực 2 lớp nhé.
Trong email thì mình phát hiện ra email này không chỉ quản lý mỗi một trang mà là rất nhiều trang :((
Mọi thông tin như số điện thoại khách hàng, tên tuổi, địa chỉ, hóa đơn đều trong này cả.
Thậm chí một số người dùng đăng ký tài khoản trên này lại trùng với tài khoản mạng xã hội như facebook, gmail...
Rất nhiều trang dịch vụ thương mại điện tử lớn đang sử dụng dịch vụ của A như: Zenda, Sevenam, goceva, senslim, ...

Timeline:
14:00:00 24/04/2017 - Thử nghiệm trên các site do cfco.com.vn thiết kế.
14:00:00 25/04/2017 - Gọi điện báo cho bên kỹ thuật của cfco.com.vn và nhận được sự phản hồi và sẽ thực hiện fix sau 30/04/2017, nghỉ lễ cái đã nhỉ. :D
14:00:00 26/04/2017 - Phát hiện có đối tượng khác truy cập vào mail của bên cfco.com.vn, tiếp tục thông báo để fix.
11:00:00 05/05/2017 - cfco.com.vn fixed.
12:00:00 05/05/2017 - Public để cảnh báo cho mọi người.