ISC BugHunt101 CTF 2020 作問者 Writeup

:page_facing_up: Migrate articles from Hatena Blog.

:recycle: Modify the image's source path.

Revert commits to enable image optimization.

こんにちは、8ayacです🐝
今回は、"ISC BugHunt101 CTF 2020"で作問した3問のWriteupを書きました。
全部Webです。

ISC BugHunt101 CTF 2020とは

ISC BugHunt101 CTF 2020は、筆者が、筆者の通う学校の生徒向けにプライベートで開催したCTFのことです。
最近、筆者の通う学校の生徒を対象に「バグハント入門」というテーマでオンライン講義を行う機会があり、その一環で開催したという経緯です。
講義自体は、合計400分で、CTFには最後の100分で、各々チームを作って挑戦してもらいました。
なお、参加者のレベル感的には、ほ…

document.domainに起因するSame-Origin Policyのバイパス

## はじめに

`document.domain`に関わる面白いSOPバイパスの手法を検証した。

## 概要

`document.domain`は古くからSOPを緩和するために使われてきたようだ。
例えば、同じ親ドメインを持つ2つのオリジン(例: `foo.exapmle.com`と`bar.example.com`)があり、SOPに縛られることなく互いに通信を行いたいとする。このとき、双方で`document.domain`の値に`example.com`を設定することで、2つのドメインは互いのDOMにアクセスすることができるようになる。
今回検証したバイパス手法は、この挙動を利用したものである。

## 条件

以下の条件を満たしているとき、SOPをバイパスできる。

1. 対象のページのdocument.domainが上位ドメインに設定されている
2. 問題のあるページのサブドメインのコンテンツをクライアント側で制御できる

## 検証

まず、被害者のサイトに見立てて、以下のような`victim.example.com`というページを用意する。

```html

<meta charset="utf-8">
<script>
    console.log(document.domain);
    document.domain = "example.com";    // vuln
    console.log("document.domainの値は次のように設定されています。: " + document.domain);
    document.write("このテキストはvictim.example.comに書かれたものです。");
</script>
```

このコードでは、5行目で`document.domain = "example.com"`としている。
そのため、攻撃者の用意する以下のような`attacker.example.com`で同様に`document.domain = "example.com"`とすると、攻撃者のページからも`victim.example.com`のDOMへのアクセスが可能になる。
攻撃の成立にはサブドメインのコンテンツを制御できる必要があるが、一般的な例ではSubdomain Takeoverでそれが可能になる。

```html

<meta charset="utf-8">
<script>
    console.log(document.domain);
    document.domain = "example.com";
    console.log("document.domainの値を次のように設定します。: " + document.domain);
</script>
<iframe src="http://victim.example.com/" onload="alert(contentDocument.body.innerHTML)"></iframe>
```

実際に`attacker.example.com`にChromeでアクセスすると、`victim.example.com`のページの内容を`attacker.example.com`から取得できていることが確認できた。

![attacker.example.comにアクセスした際の画面](img/bypassing-the-same-origin-policy-via-document_domain/the_result_of_accessing_attacker_example_com.png)

## 脅威

検証では、`attacker.example.com`から`victim.example.com`の内容を読み出せた。
もし、FacebookやTwitterなどに同じ問題(バグ)があった場合には、ユーザのメッセージやその他の情報を読み出される可能性がある。
また、`document.domain`に最上位ドメインである`com`や`org`などが設定されている場合には、`victim.example.com`に対して、例えば`evil.com`からの攻撃が可能になる。なお、現在は`document.domain`に最上位ドメインを設定できる主要ブラウザはSafariのみで、その他の主要ブラウザではエラーになる。(詳細: [https://hackerone.com/reports/398163/])

## まとめ

上位ドメインを共有する2つのオリジンのdocument.domainに、共有している上位オリジンを設定すると双方のDOMにアクセスできるようになる。
これを利用して、問題のあるページのサブドメインのコンテンツをクライアント側で制御できるとき、SOPをバイパスしてそのページのコンテンツにアクセスすることが可能になる。また、サブドメインのコンテンツをクライアント側で制御できるようにする方法としてSubdomain Takeoverが挙げられるが、主要ブラウザの中でSafariのみは`document.domain`に`com`や`org`などの最上位ドメインを設定できるため、Subdomain Takeoverが不要なケースがある。

## 感想

このネタはTwitterで見かけたもので、検証が簡単だったので記事にしました。
(HackerOneで公開されたレポートは追うようにしているけど、今回の記事に関連するfiledescriptor氏の[レポート](https://hackerone.com/reports/398163)は見落としてしまっていたなあ...。)
書き終わってから思ったのですが、2つのオリジンで`document.domain`の値を変更して同一オリジンにしてるのを、SOPのバイパスと呼んで良いものか微妙ですね。

あと、Safariでは`document.domain`に最上位ドメインを設定できるってところ、実はMacを持っていないのでWindows版Safari(バージョン5.1.7)でしか検証できていません。
もし、最新版のMacで検証した人がいたら、結果を教えていただけたら幸いです。
Mac買いたいなあ...。

## 参考資料

- [Bypassing Same-Origin-Policy - document.domain](https://www.aa7ifs.com/bypassing-same-origin-policy-using-document-domain/)
- [https://hackerone.com/reports/398163](https://hackerone.com/reports/398163)
- [クロスドメイン制約 を document.domain の 変更 で 回避 - galife](https://garafu.blogspot.com/2013/09/documentdomain.html)

はじめに

document.domainに関わる面白いSOPバイパスの手法を検証した。

概要

document.domainは古くからSOPを緩和するために使われてきたようだ。
例えば、同じ親ドメインを持つ2つのオリジン(例: foo.exapmle.comとbar.example.com)があり、SOPに縛られることなく互いに通信を行いたいとする。このとき、双方でdocument.domainの値にexample.comを設定することで、2つのドメインは互いのDOMにアクセスすることができるようになる。
今回検証したバイパス手法は、この挙動を利用したものである。

条件

以下の条件を…

JavaScriptのPrototypeオブジェクトについて

> この記事は、[dharani jayakanthan](https://dev.to/danny)氏の[Intro To Prototype - JS](https://dev.to/danny/intro-to-prototype---js-35a)の翻訳記事です。

## Prototype

JavaScriptで関数を作ると、JavaScriptエンジンが2つのオブジェクトを作ります。

JSエンジンが関数を処理するときに作られる2つのオブジェクトは、

- その関数自体を呼び出す`Function`オブジェクト
- `Prototype`オブジェクト

## `prototype`とは

JSの`prototype`とは、主に継承のために利用され、関数の`prototype`プロパティにメソッドやプロパティを追加して、それらのメソッドとプロパティをその関数のインスタンスで利用できるようにします。

```js
function foo() {
    console.log("Hello!!");
}
// foo.prototype
```

JSエンジンが`prototype`オブジェクトを作ると、プロパティも同時に作られます。関数内のこの`prototype`プロパティを使用して、その関数用に作られた`prototype`オブジェクトにアクセスできます。

例えば、`prototype`オブジェクトを指す`prototype`という呼ばれるプロパティを持つ`foo`関数を見てきました。`prototype`オブジェクトを使用するには、`new`というキーワードを使用してオブジェクトを作成します。

```js
var myObj = new foo();
// myObj
```

`myObj`オブジェクトを作ると、JSエンジンはデフォルトで"`__proto__`"というオブジェクトを持つオブジェクトを作ります。これは、関数によって作られた最初の`prototype`オブジェクトを指します。

## `__proto__`を使ってみる

オブジェクトを生成すると、JSエンジンが`__proto__`オブジェクトを作ることがわかったので、それがどのように機能するかを見るために、`myObj`オブジェクト内に`Hi from myObj itself`という値を持つ`say`プロパティを作ってみましょう。

```js
function foo() {}
var myObj = new foo();
myObj.say = "Hi from myObj itself";
```

`myObj.say`にアクセスすると`"Hi from myObj itself"`という値が返されることがわかります。値の異なる同じ名前のプロパティを`__proto__`オブジェクトに作ります。

```js
function foo() {}
var myObj = new foo();
myObj.__proto__.say = "Hi from proto object";
```

> `myObj.__proto__.say`にアクセスすると、`"Hi from proto object"`が返されます。

```js
function foo(){}
var myObj = new foo();
myObj.say = "Hi from myObj itself";
// Hi from myObj itself
myObj.__proto__.say = "Hi from proto object";
// Hi from proto object
delete myObj.say;
// true
myObj.say
// Hi from proto object
```

しかし、`myObj.say`を削除してから、それにアクセスしたとき、JSエンジンは`say`というプロパティが存在するかを確認するために、`__proto__`オブジェクトを調べます。そして、`"Hi from proto object"`という値を持つプロパティ`myObj.__proto__.say`が発見され、その値が返されます。

> オブジェクトを作ると、JSエンジンは必ず`prototype`と呼ばれる別のオブジェクトを作ります。その`prototype`には、`.prototype`というキーワードを使用することでアクセスできます。しかし、`new`というキーワードを使ってオブジェクトを使ってオブジェクトを作った場合には、JSは`prototype`オブジェクトを指す`__proto__`を作ります。
>
> オブジェクト内のプロパティを探すと、JSエンジンがオブジェクト自体の中にそれを発見した場合、それが返されます。もし、そのようなプロパティが存在しない場合は、JSエンジンは`prototype`オブジェクトを調べます。


この記事は、dharani jayakanthan氏のIntro To Prototype - JSの翻訳記事です。

Prototype

JavaScriptで関数を作ると、JavaScriptエンジンが2つのオブジェクトを作ります。

JSエンジンが関数を処理するときに作られる2つのオブジェクトは、

その関数自体を呼び出すFunctionオブジェクト

Prototypeオブジェクト

prototypeとは

JSのprototypeとは、主に継承のために利用され、関数のprototypeプロパティにメソッドやプロパティを追加して、それらのメソッドとプロパティをその関数のインスタンス…

Ubuntu16.04で脆弱性スキャナOpenVASを使った

今回は、OSSの脆弱スキャナであるOpenVASをUbuntu16.04LTSでいい感じに使えたので、まとめた。  
脆弱性スキャナという単語に対し、「ムズカシイ」というイメージを持っていたが、意外と簡単に使えて驚いた。  

> **OpenVASとは**
>
> > OpenVASとは、システムの脆弱性診断を行うためのソフトウェアです。
> > オープンソースソフトウェアとして公開されています。
> > そのため、OpenVASを使うと、脆弱性診断サービスなどを使わなくても、自分でシステムの脆弱性診断を行うことができます。
>
> 引用: <https://www.designet.co.jp/faq/term/?id=T3BlblZBUw> より

## 1.環境

使用する環境は、以下の通り。

```shell-session
$ lsb_release -a
No LSB modules are available.
Distributor ID: Ubuntu
Description:    Ubuntu 16.04.3 LTS
Release:    16.04
Codename:   xenial

$ uname -r
4.8.0-36-generic
```

## 2.インストール

インストールは、[ここ](http://blog.amedama.jp/entry/2017/08/09/004706)を参考にした。  

以下のコマンドを上から順に実行していけば、インストールが完了する。  
まるごと貼り付けても動くが、心配であればひとつずつ実行していくと良いだろう。  

**(注意) tcpの873ポートで通信ができるようにしておくこと。[^1]**

```sh
# 必要なリポジトリを追加する
yes | sudo add-apt-repository ppa:mrazavi/openvas

# リポジトリの状態を更新する
sudo apt-get update

# oepnvas9をインストールする
sudo apt -y install openvas9
```

インストール中に、下の画像のような画面が出てきた場合は、「Yes」と答える。

![インストール中の画面](img/try-openvas-in-ubuntu16_04/installing.png)  

次に、脆弱性のテスト時に使用するデータを更新する。  
この処理は、30分～1時間ほど時間がかかる。

```sh
sudo apt -y install sqlite3
sudo greenbone-nvt-sync
sudo greenbone-scapdata-sync
sudo greenbone-certdata-sync 
```

## 3.実際に脆弱性スキャンしてみる

インストールが完了したら、実際に脆弱性スキャンをしてみる。  

### 1.事前準備

まずは、サービスを起動する。

```sh
sudo systemctl restart openvas-scanner
sudo systemctl restart openvas-manager
```

次に、OpenVASのデーモンの設定を初期化しておく。

```sh
sudo openvasmd --rebuild --progress
```

### 2.WebUIにアクセスする

事前準備が完了したら、localhostの4000番ポートでWebUIが利用できるようになる。  
実際に利用するには、任意のブラウザで「<https://localhost:4000>」にアクセスする。  
今回は、Firefoxを利用する。  

実際にアクセスすると、下の画像のように、安全な接続ではないという旨の画面が出てくることがある。  
その場合、次の手順で進む。  
(出てこない場合は、次の手順は飛ばして良い。)  

!['Your connection is not secure'と表示されている](img/try-openvas-in-ubuntu16_04/access_the_web_ui_01.png)

①「Advanced」の箇所をクリック  

!['Your connection is not secure'と表示されている](img/try-openvas-in-ubuntu16_04/access_the_web_ui_02.png)

②「Add Exception...」の箇所をクリック  

!['Your connection is not secure'と表示されている](img/try-openvas-in-ubuntu16_04/access_the_web_ui_03.png)

③「Confirm Security Option」の箇所をクリック

![Add Security Exceptionのダイアログが出現している](img/try-openvas-in-ubuntu16_04/access_the_web_ui_04.png)

すると、ログイン画面が出てくるので、デフォルトのIDとパスワードでログインする。  
デフォルトのIDとパスワードは、それぞれ`admin`。[^2]

![ログインページ](img/try-openvas-in-ubuntu16_04/login_page.png)  

ログインすると、このような画面になる。

![トップページ](img/try-openvas-in-ubuntu16_04/toppage.png)

### 3.脆弱性スキャンを実行する

WebUIにアクセスすることができ、ログインが済んだら、実際に脆弱性スキャンを実行する。  

> [注意]  
> **脆弱性スキャンは、自身の管理下にないコンピュータやネットワークに対して、決して実行しないこと。実行した場合には、罪に問われる可能性もある。**

今回は、自身(localhost)に対してスキャンを実行する。  
手順は以下の通り。  

①上のメニューから`Scans`を選び、その中の`Tasks`をクリックする。

![Scans > Tasks](img/try-openvas-in-ubuntu16_04/execute_scanning_step_01.png)

②以下のような画面が出てきたら、10秒間待つか、ダイアログの[x]を押して閉じてしまう。  
出てこなければ、この手順は飛ばす。  

![Scans > Tasks](img/try-openvas-in-ubuntu16_04/execute_scanning_step_02.png)

③左上の方の紫色のボタンを押し、`Task Wizard`をクリックする。[^3]  
紫のボタンの位置はは少しわかりづらいので、画像を参考にすると良い。  

![Scans > Tasks](img/try-openvas-in-ubuntu16_04/execute_scanning_step_03_01.png)

![Task Wizardボタン](img/try-openvas-in-ubuntu16_04/execute_scanning_step_03_02.png)

⑤すると、下の画像のような画面が出てくるので、`IP address or hostname`のフォームに`localhost`または`127.0.0.1`と入力する。  
入力したら、`Start Scan`をクリックすることで脆弱性スキャンが実行される。  

![対象ホストを設定するためのダイアログ](img/try-openvas-in-ubuntu16_04/execute_scanning_step_05.png)

⑥下の画像のような画面になるので、`Status`の欄が`Done`になるまで待つ。  
`Done`になったらスキャン終了。  

![StatusがRequestedになっている様子](img/try-openvas-in-ubuntu16_04/execute_scanning_step_06.png)

## 4.スキャン結果を確認する

脆弱性のスキャンが終わったので、その結果を確認する。  
手順は、以下の通り。  

①上のメニューから`Scans`を選び、その中の`Reports`をクリックする。  

![Scans > Tasks](img/try-openvas-in-ubuntu16_04/check_the_result_step_01.png)

②下の画像のような画面になるので先ほどスキャンした日付のものを選択する。  

![Scans > Reports](img/try-openvas-in-ubuntu16_04/check_the_result_step_02.png)

以上の手順で、下の画像のようにスキャンの結果のレポートが閲覧できる。

![Scans > Reports > Results](img/try-openvas-in-ubuntu16_04/result_page.png)

また、スキャン結果は分類されており、その各項目別の閲覧ができる。  

レーダーのようなマークの横にある小さな▼にカーソルを合わせると、分類されたスキャン結果の各項目が選択できる。  
例によって、少しわかりづらいので図示する。

![▼の場所を図示した画像](img/try-openvas-in-ubuntu16_04/sort_the_results_01.png)

各項目を選択することで、その項目のスキャン結果が閲覧できる。

![スキャン結果の項目](img/try-openvas-in-ubuntu16_04/sort_the_results_02.png)

## 5.スキャン結果をエクスポートする

スキャン結果は、htmlやpdf等の様々なファイル形式でエクスポートすることができる。  
今回は全体のスキャン結果をHTML形式でエクスポートする。  

手順は以下の通り。

①まずは、レーダーのようなマークの横にある小さな▼にカーソルを合わせ、`Report: Summary and Download`を選択する。

![ドロップダウンメニューが出てきている画面](img/try-openvas-in-ubuntu16_04/export_the_result_step_01.png)

②次に`Full report`の行にあるプルダウン形式のメニューでエクスポートしたいファイル形式を選択する。  

![ファイル形式がドロップメニューで表示されている様子](img/try-openvas-in-ubuntu16_04/export_the_result_step_02.png)

③そして、プルダウン式のメニューの横にある緑色の[↓]ボタンをクリックする。これにより、指定したファイル形式でスキャン結果がエクスポートされる。  

![画面上の緑色の矢印のボタンが矢印で指されている](img/try-openvas-in-ubuntu16_04/export_the_result_step_03.png)

④この後は、普段何かをダウンロードするときと同じように`Save File`を選択し`OK`と進めば、エクスポートされたスキャン結果をダウンロードすることができる。  

![画面の処理方法を選択させるダイアログ](img/try-openvas-in-ubuntu16_04/export_the_result_step_04.png)

今回はHTML形式でエクスポートしたものをダウンロードしているので、ダウンロードしてきたファイルを任意のブラウザで開けば、実際のスキャン結果が確認できる。  

## 6.まとめ(感想)

実際に脆弱性をスキャンしてみると、いくつかの脆弱性が見つかった。  
スキャン結果には、攻撃者がその脆弱性を利用すると、どのようなことができてしまうのかということや、それに対する解決策などが書かれていた。  

スキャン結果に、一通り目を通してみたが、おそらくメジャーであろう脆弱性についても自分では発見することはできないなと感じた。  
Webの脆弱性について(もちろんそれ以外の分野も)、まだまだ基礎の勉強が足りてないなと痛感した。  

今回はUbuntu16.04でOpenVASを使ったが、どうやらKali Linuxには最初からインストールされているようで、Ubuntuを使うよりもっと簡単に使えそう。  
今回Ubuntuを使ったのは、普段使い慣れたOSだからだ、「Kaliでやれよ」という声は/dev/nullに捨てることにしている。  

他の脆弱性スキャナでは、Nessusなども一応使うことができたが、Vulsは環境構築でハマってしまっている。  

がんばる

## 参考ページ

- <http://blog.amedama.jp/entry/2017/08/09/004706>
- <https://www.designet.co.jp/faq/term/?id=T3BlblZBUw>  
- <http://olivermarshall.net/how-to-install-openvas-9-on-ubuntu-16>  
- <https://www.itseclab.jp/security_info/security_intro/openvas_verification>

## 注釈

[^1]: インストールの過程で、脆弱性をテストするための情報を更新する。その処理のために、rsyncプロトコルを使用するため。
[^2]: 変更する際は、`sudo openvasmd --user=admin --new-password=admin_new_password`をターミナルで実行する。
[^3]: ここで「Advanced Task Wizard」を選ぶと、より詳細な脆弱性スキャンができる


今回は、OSSの脆弱スキャナであるOpenVASをUbuntu16.04LTSでいい感じに使えたので、まとめた。
脆弱性スキャナという単語に対し、「ムズカシイ」というイメージを持っていたが、意外と簡単に使えて驚いた。

OpenVASとは

OpenVASとは、システムの脆弱性診断を行うためのソフトウェアです。
オープンソースソフトウェアとして公開されています。
そのため、OpenVASを使うと、脆弱性診断サービスなどを使わなくても、自分でシステムの脆弱性診断を行うことができます。

引用: https://www.designet.co.jp/faq/term/?id=T3BlblZBUw …