- tiktak_vtt_path_traversal.py: ../ в ?id=, подбирает рабочий шаблон
один раз и переиспользует на остальных ID.
- tiktak_vtt_auth_bypass.py: рассинхрон SQL/FS ('./7' => MySQL 0, файл
public/vtt/7.vtt), работает даже если запатчат только traversal.
- tiktak_private_preview_leak.py: резкое превью приватного видео,
OCR опционален, без pytesseract молча не печатает мусор в stdout.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
- handleVtt: id валидируется как положительное целое, ошибка GetVideo
больше не игнорируется. Закрывает сразу два вектора: обход ACL через
нулевой db.Video (Private=false => haveAccess пропускал анонима) и
path traversal в path.Join(VttFolder, vid+".vtt").
- handleCreate: резкое превью приватного видео удаляется после блюра,
иначе оно оставалось доступным в public/static через echo.Static.
- main.go: DSN приведён к паролю из compose (5935004 поменял только
compose, из-за чего сервис не достучался бы до базы).
- db: пароли хешируются sha256 с pepper, сверка в Go constant-time,
плейнтекст принимается как legacy => старые юзеры не теряют доступ.
- cookies: HttpOnly + Path=/ + SameSite=Lax.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
V4/V5: docker-compose публиковал наружу все пять узлов. database на :38002 —
это key-value store вообще без аутентификации: GET /users/<кто угодно>/msg
отдаёт флаг, GET .../password отдаёт пароль, POST перезаписывает любое поле.
content на :38004 рендерит файл юзера уже без требования .html в пути.
Имена жертв берутся из комментариев к картинкам там же.
38001-38004 привязаны к 127.0.0.1: наружу торчит только proxy на 38000.
Между собой контейнеры ходят по docker-сети (database:5002), публикация портов
на это не влияет — функциональность сохраняется полностью. Проверено с внешнего
IP: весь флоу чекера проходит через один 38000, сплойт собирает 0 флагов и не
может даже перечислить пользователей.
ДОПУЩЕНИЕ: чекер ходит только в proxy. Из исходников это не доказать —
свериться с Pacmate/Firegex на vulnbox и последить за первым раундом проверок.
Коммит отдельный именно поэтому: откат этого изменения не тронет патчи кода,
которые безопасны наверняка. Откат — вернуть "38002:5002" нужному узлу.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01NN8sHQuGbTBLGGkJyfxzXr
Разбор сервиса и все PoC — в services/rusgram/WRITEUP.md и VULNS.md.
Каждая находка воспроизведена на живом стенде до патча и перепроверена после.
content.py — V1 (RCE, крит) и V5:
template_folder='files' совпадает с каталогом БД, поэтому render_template(path)
с путём из URL рендерил файл пользователя как исходник Jinja-шаблона. Имя юзера
выбирает атакующий: регистрируем `pwn.html`, кладём payload себе в first_name,
дёргаем /db/users/pwn.html через публичный :38000 — RCE от root в контейнере,
где смонтирован весь website/. Теперь рендерим только 4 реальные страницы.
logic.py — V2 (захват аккаунта) и V3/V6 (SSRF/открытый редирект):
register не проверял существование юзера, а database делал read-modify-write,
так что повторная регистрация ПЕРЕЗАПИСЫВАЛА пароль, сохраняя msg и профиль:
чужой аккаунт вместе с флагом и сломанный логин у чекера. Теперь 409.
Location строился из заголовка Origin, а proxy ходил по нему серверсайд —
чтение внутренней сети. Редирект стал фиксированным /login.html.
database.py — снижает ущерб от V4:
валидация имени юзера как имени файла, белый список полей, пароль можно только
создать, но не перезаписать (смены пароля в сервисе нет), 400/404 вместо 500.
proxy.py — defense in depth к V3: allow_redirects=False на ветке api/.
V8: единая безопасная проверка сессии вместо 4 копий — кривая кука, отсутствие
куки, несуществующий юзер и нечисловой img больше не роняют воркер в 500.
Формат куки login||password и плейнтекстовые пароли осознанно НЕ трогали:
чекер почти наверняка на них завязан.
Тесты: services/rusgram/test_rusgram.py — SLA 16/16, SEC 21/21 на патче;
на services_vulnerable та же секция SEC падает 12 раз. Сплойт собирает 0 флагов.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01NN8sHQuGbTBLGGkJyfxzXr
Комбинированный сплойт: V1 SSTI->RCE через имя юзера *.html, V3 SSRF через
Origin, V4 прямой database :38002, V5 прямой content :38004, V2 захват
аккаунта перерегистрацией. Векторы независимы — патч одного не глушит остальные.
Энумерация жертв: комментарии к картинкам + `ls` через RCE.
V1 использует свежее имя юзера на каждый раунд: Flask вне debug не перечитывает
шаблоны, и после первого рендера Jinja отдаёт закэшированную версию.
Проверено на стенде: собирает все посаженные флаги.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01NN8sHQuGbTBLGGkJyfxzXr
frogolonso
h1z3
bobiqqandClaude Opus 5
dmeetrogonandClaude Opus 5
