{"id":1136,"date":"2023-08-30T12:27:34","date_gmt":"2023-08-30T10:27:34","guid":{"rendered":"https:\/\/www.fabriziogiancola.eu\/?p=1136"},"modified":"2023-09-01T15:05:36","modified_gmt":"2023-09-01T13:05:36","slug":"directory-traversal","status":"publish","type":"post","link":"https:\/\/www.fabriziogiancola.eu\/index.php\/2023\/08\/30\/directory-traversal\/","title":{"rendered":"Directory traversal"},"content":{"rendered":"\n

PortSwigger Academy \u2013 Directory traversal<\/p>\n\n\n\n

Continua il percorso di apprendimento suggerito da \u201cPortSwigger Academy<\/a><\/strong>\u201d. Consiglio di iscriversi alla piattaforma, seguire le lezioni e soprattutto svolgere e completare i lab \ud83d\ude42<\/p>\n\n\n\n

Directory traversal<\/strong><\/p>\n\n\n\n

In questa sezione spiegheremo cos\u2019\u00e8 il \u201cdirectory traversal<\/em>\u201d o \u201cpath traversal<\/em>\u201d, descriveremo come eseguire attacchi di directory traversal e aggirare gli ostacoli comuni e spiegheremo come prevenire tali vulnerabilit\u00e0.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Cos\u2019\u00e8 il directory traversal?<\/strong><\/p>\n\n\n\n

L\u2019attraversamento delle directory \u201cdirectory traversal<\/em>\u201d (noto anche come attraversamento del percorso dei file \u201cpath traversal<\/em>\u201d) \u00e8 una vulnerabilit\u00e0 della sicurezza Web che consente a un utente malintenzionato di leggere file arbitrari sul server su cui \u00e8 in esecuzione un\u2019applicazione. Ci\u00f2 potrebbe includere codice e dati dell\u2019applicazione, credenziali per sistemi back-end e file sensibili del sistema operativo. In alcuni casi, un utente malintenzionato potrebbe essere in grado di scrivere su file arbitrari sul server, consentendogli di modificare i dati o il comportamento dell\u2019applicazione e, infine, di assumere il pieno controllo del server.<\/p>\n\n\n\n

Lettura di file arbitrari tramite directory traversal<\/strong><\/p>\n\n\n\n

Considera un\u2019applicazione per lo shopping che visualizza immagini di articoli in vendita. Le immagini vengono caricate tramite codice HTML come il seguente:<\/p>\n\n\n\n

<img src=\"\/loadImage?filename=218.png\"><\/em><\/code><\/pre>\n\n\n\n
L\u2019URL loadImage<\/em> accetta un parametro filename<\/em> e restituisce il contenuto del file specificato. I file immagine stessi sono archiviati su disco nella posizione \/var\/www\/images\/<\/em>. Per restituire un\u2019immagine, l\u2019applicazione aggiunge il filename<\/em> richiesto a questa directory di base e utilizza un\u2019API del file system per leggere il contenuto del file. Nel caso precedente, l\u2019applicazione legge dal seguente percorso:<\/p>\n\n\n\n
\/var\/www\/images\/218.png<\/em><\/code><\/pre>\n\n\n\n
L\u2019applicazione non implementa difese contro gli attacchi di directory traversal, quindi un utente malintenzionato pu\u00f2 richiedere il seguente URL per recuperare un file arbitrario dal file system del server:<\/p>\n\n\n\n
https:\/\/insecure-website.com\/loadImage?filename=..\/..\/..\/etc\/passwd<\/em><\/code><\/pre>\n\n\n\n
Ci\u00f2 fa s\u00ec che l\u2019applicazione legga dal seguente percorso di file:<\/p>\n\n\n\n
\/var\/www\/images\/..\/..\/..\/etc\/passwd<\/em><\/code><\/pre>\n\n\n\n
La sequenza ..\/<\/em> \u00e8 valida all\u2019interno di un percorso di file e significa salire di un livello nella struttura delle directory. Le tre sequenze ..\/<\/em> consecutive salgono da \/var\/www\/images\/<\/em> alla root del filesystem, e quindi il file che viene effettivamente letto \u00e8:<\/p>\n\n\n\n
\/etc\/passwd<\/em><\/code><\/pre>\n\n\n\n
Sui sistemi operativi basati su Unix, questo \u00e8 un file standard contenente i dettagli degli utenti registrati sul server.<\/p>\n\n\n\n
Su Windows, sia ..\/<\/em> che ..\\<\/em> sono sequenze di directory traversal valide e un attacco equivalente per recuperare un file del sistema operativo standard sarebbe:<\/p>\n\n\n\n
https:\/\/insecure-website.com\/loadImage?filename=..\\..\\..\\windows\\win.ini<\/em><\/code><\/pre>\n\n\n\n
Lab: File path traversal, simple case<\/a><\/p>\n\n\n\n
Ostacoli comuni allo sfruttamento delle vulnerabilit\u00e0 del file path traversal<\/strong><\/p>\n\n\n\n
Molte applicazioni che inseriscono l\u2019input dell\u2019utente nei percorsi dei file implementano una sorta di difesa contro gli attacchi di path traversal e questi possono spesso essere aggirati.<\/p>\n\n\n\n
Se un\u2019applicazione rimuove o blocca le sequenze di directory traversal dal nome file fornito dall\u2019utente, potrebbe essere possibile aggirare la difesa utilizzando una variet\u00e0 di tecniche.<\/p>\n\n\n\n
Potresti essere in grado di utilizzare un percorso assoluto dalla radice del filesystem, come filename=\/etc\/passwd<\/em>, per fare riferimento direttamente a un file senza utilizzare alcuna sequenza trasversale.<\/p>\n\n\n\n
Lab: File path traversal, traversal sequences blocked with absolute path bypass<\/a><\/p>\n\n\n\n
Potresti essere in grado di utilizzare sequenze di attraversamento nidificate, come ….\/\/<\/em> o ….\\\/<\/em>, che torneranno a sequenze di attraversamento semplici quando la sequenza interna viene rimossa.<\/p>\n\n\n\n
Lab: File path traversal, traversal sequences stripped non-recursively<\/a><\/p>\n\n\n\n
In alcuni contesti, ad esempio in un percorso URL o nel parametro del filename<\/em> di una richiesta multipart\/form-data<\/em>, i server Web potrebbero eliminare qualsiasi sequenza di attraversamento della directory prima di passare l\u2019input all\u2019applicazione. A volte \u00e8 possibile ignorare questo tipo di sanificazione mediante la codifica dell\u2019URL, o anche la doppia codifica dell\u2019URL, i caratteri ..\/<\/em>, risultando rispettivamente in %2e%2e%2f<\/em> o %252e%252e%252f<\/em>. Anche varie codifiche non standard, come ..%c0%af<\/em> o ..%ef%bc%8f<\/em>, possono funzionare allo stesso modo.<\/p>\n\n\n\n
Per gli utenti di Burp Suite Professional<\/a>, Burp Intruder fornisce un elenco di payload predefinito (Fuzzing – path traversal<\/strong>), che contiene una variet\u00e0 di sequenze di percorso trasversale codificate che puoi provare.<\/p>\n\n\n\n
Lab: File path traversal, traversal sequences stripped with superfluous URL-decode<\/a><\/p>\n\n\n\n
Se un\u2019applicazione richiede che il nome file fornito dall\u2019utente inizi con la cartella di base prevista, ad esempio \/var\/www\/images<\/em>, potrebbe essere possibile includere la cartella di base richiesta seguita da sequenze di attraversamento adeguate. Per esempio:<\/p>\n\n\n\n
filename=\/var\/www\/images\/..\/..\/..\/etc\/passwd<\/em><\/code><\/pre>\n\n\n\n
Lab: File path traversal, validation of start of path<\/a><\/p>\n\n\n\n
Se un\u2019applicazione richiede che il nome file fornito dall\u2019utente termini con un\u2019estensione di file prevista, ad esempio .png<\/em>, potrebbe essere possibile utilizzare un byte null per terminare in modo efficace il percorso del file prima dell\u2019estensione richiesta. Per esempio:<\/p>\n\n\n\n
filename=..\/..\/..\/etc\/passwd%00.png<\/em><\/code><\/pre>\n\n\n\n
Lab: File path traversal, validation of file extension with null byte bypass<\/a><\/p>\n\n\n\n
Come prevenire un attacco directory traversal<\/strong><\/p>\n\n\n\n
Il modo pi\u00f9 efficace per prevenire le vulnerabilit\u00e0 legate al file path traversal \u00e8 evitare del tutto di passare l\u2019input fornito dall\u2019utente alle API del filesystem. Molte funzioni dell\u2019applicazione che eseguono questa operazione possono essere riscritte per fornire lo stesso comportamento in modo pi\u00f9 sicuro.<\/p>\n\n\n\n
Se si ritiene inevitabile passare l\u2019input fornito dall\u2019utente alle API del filesystem, \u00e8 necessario utilizzare insieme due livelli di difesa per prevenire gli attacchi:<\/p>\n\n\n\n