うつろい EC の運用画面に「外部在庫サーバ疎通確認」機能。サプライヤごとの在庫サーバ(supplier1.example 等)へ ping を打って、応答時間を表示する。実装は素朴に exec("ping -c 1 $host")。
舞台
Mission
シェルメタ文字を使って ping コマンドにコマンドを追加し、サーバ内のファイルや認証情報を盗み出してください。
疎通確認フォーム
クイック試行:
サーバが実行するシェルコマンド
exec("ping -c 1 $host")
$
何が起きているか — シミュレーター解説
脆弱な実装
// PHP - exec() でシェルを呼び、文字列連結
$host = $_GET['host'];
exec("ping -c 1 " . $host, $output);
return implode("\n", $output);
// シェルが文字列を解釈するので、; や | や && が「コマンドの区切り」として機能してしまう
ヒント
ヒント — シェルメタ文字
; でコマンドを区切れる。例:supplier1.example; cat /etc/passwd は、ping -c 1 supplier1.example の後に cat /etc/passwd が実行される。
正解(ネタバレ)
例:supplier1.example; cat /etc/passwd または supplier1.example; cat /var/www/utsuroi/config/secrets.yml
シェルが ; を見て2つのコマンドに分けて実行。ping のあとに任意コマンドが走ります。これは事実上の RCE — サーバ上で何でもできる状態。
必要な前提知識
サイト側の対策