{"id":199,"date":"2020-05-06T11:25:27","date_gmt":"2020-05-06T09:25:27","guid":{"rendered":"https:\/\/blog.caturday-lovers.fr.nf\/?p=199"},"modified":"2020-05-06T17:30:55","modified_gmt":"2020-05-06T15:30:55","slug":"les-chatons-ont-la-reponse-fcsc-2020-enterthedungeon","status":"publish","type":"post","link":"https:\/\/blog.caturday-lovers.fr.nf\/?p=199","title":{"rendered":"Les chatons ont la r\u00e9ponse \u2013 FCSC 2020 \/\/ EnterTheDungeon"},"content":{"rendered":"\n
\"\"
petit dragon valide ce message !<\/figcaption><\/figure><\/div>\n\n\n\n\n\n\n\n

Intro<\/h2>\n\n\n\n

Une page verte, un chateau en ASCII, une invitation a revenir en \u00e9tant le dungeon_master, et surtout un message qui nous pr\u00e9vient d’une vuln\u00e9rabilit\u00e9 dans le formulaire ! On va s’amuser mes chatons !<\/p>\n\n\n\n

Your Princess is in another castle !<\/h2>\n\n\n\n

On commence par regarder la source de la page, pour plusieurs raisons, la premi\u00e8re, le fond vert est VRAIMENT <\/strong>atroce, et la seconde nous allons avoir plus d’informations dedans \u00e0 mon avis.<\/p>\n\n\n\n

\"\"
la source de la page, c’est mieux en blanc non ?<\/figcaption><\/figure><\/div>\n\n\n\n

Regardons un peu plus s\u00e9rieusement, si l’on met le ch\u00e2teau de c\u00f4t\u00e9, je vois un commentaire qui est super int\u00e9ressant (n.b : NE JAMAIS LAISSER DE COMMENTAIRE COMME CELA SUR UN SITE!<\/strong>): <\/p>\n\n\n\n

\"\"
merci pour les informations<\/figcaption><\/figure><\/div>\n\n\n\n

Nous savons d\u00e9sormais que nous avons deux autres documents sur la racine, check_secret.php et check_secret.txt.
Ma curiosit\u00e9 me pousse d’abord \u00e0 ouvrir le texte pour voir si un mot de passe admin ou une autre page se cache dedans le temps de la r\u00e9paration de l’authentification, mais j’ai ENCORE MIEUX, j’ai la m\u00e9thode d’authentification !<\/p>\n\n\n\n

\"\"
test impossible ? si cela \u00e9tait bien impl\u00e9ment\u00e9 en effet<\/figcaption><\/figure>\n\n\n\n

Nous allons mettre \u00e0 mal cette affirmation de test impossible, dans ce bloc, il y a un probl\u00e8me, je vais vous montrer :
if(md5($_GET[‘secret’]) == $_GET[‘secret’])<\/strong>
devrait \u00eatre en fait :
if(md5($_GET[‘secret’]) === $_GET[‘secret’])<\/strong>

Vous avez vu la diff\u00e9rence ? Nous avons rajout\u00e9 un \u00ab\u00a0=\u00a0\u00bb, qui rend la comparaison STRICTEMENT <\/strong>\u00e9quivalente. Mais pourquoi cela est-il important ? Lors de la comp\u00e9tition, j’ai appris que PHP interpr\u00e9terait notre code comme un nombre flottant, la notation scientifique d’un nombre flottant c’est 0e…., nous allons donc chercher une collision de Hash MD5. <\/p>\n\n\n\n

Mais dis-moi Jamy, c’est quoi une collision de Hash ?<\/h2>\n\n\n\n

Une tr\u00e8s bonne source sur la collision de Hash se trouve ici<\/a>, c’est en anglais, mais cela explique tr\u00e8s bien ce que nous allons chercher.<\/p>\n\n\n\n

Exploit.py<\/h2>\n\n\n\n
#!\/usr\/bin\/env python\nimport hashlib\nimport re\n\nprefix = '0e'\n\n\ndef breakit():\n    iters = 0\n    while 1:\n        s = prefix + str(iters)\n        hashed_s = hashlib.md5(s).hexdigest()\n        iters = iters + 1\n        r = re.match('^0e[0-9]{30}', hashed_s)\n        if r:\n            print \"[+] found! md5( {} ) ---> {}\".format(s, hashed_s)\n            print \"[+] in {} iterations\".format(iters)\n            exit(0)\n\n        if iters % 1000000 == 0:\n            print \"[+] current value: {}       {} iterations, continue...\".format(s, iters)\n\nbreakit()\n<\/code><\/pre>\n\n\n\n
Exploitation<\/h2>\n\n\n\n
Une fois le code remplissant la fonction trouv\u00e9, nous allons pouvoir l’utiliser sur la page :<\/p>\n\n\n\n
\"\"<\/figure><\/div>\n\n\n\n
Puis retourner sur la page d’accueil et r\u00e9cup\u00e9rer le joli flag :<\/p>\n\n\n\n
\"\"
ce fond vert \u2026<\/figcaption><\/figure><\/div>\n\n\n\n
FCSC{f67aaeb3b15152b216cb1addbf0236c66f9d81c4487c4db813c1de8603bb2b5b}<\/strong><\/pre>\n","protected":false},"excerpt":{"rendered":"","protected":false},"author":1,"featured_media":13,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[19],"tags":[60,63,123,61,125,124],"class_list":["post-199","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-kitensgotanswer","tag-ctf","tag-ecsc","tag-enter-the-dungeon","tag-fcsc","tag-hash-collision","tag-md5"],"_links":{"self":[{"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/posts\/199","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=199"}],"version-history":[{"count":4,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/posts\/199\/revisions"}],"predecessor-version":[{"id":245,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/posts\/199\/revisions\/245"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/media\/13"}],"wp:attachment":[{"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=199"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=199"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=199"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}