June 30, 2023 4:45 PM (GMT+2) - Damien Cauquil - Virtualabs

Les serveurs et applications web reposent sur des technologies qui peuvent dans certains cas être détournées et utilisées à des fins non-prévues. Il est ainsi possible de parasiter un serveur ou une application en y stockant des données sans que ces derniers ne s’en rendent compte tout en permettant leur récupération dans un délai plus ou moins court, et ce sans nécessité d’authentification ou que cela soit facilement détectable !

Nous détaillerons dans cette présentation différentes manières de parasiter un serveur web ainsi que les conditions dans lesquelles ce parasitage est possible, et démontrerons quelques exemples concrets sur des applications web existantes. Nous rappellerons bien sûr les bonnes pratiques permettant d’éviter ce dernier.

https://github.com/virtualabs/lehack23-parasite

Abuse temporary storage Imgur->PNG Bin file to PNG flea.py PNG/pdf polyglot Tweetable ZIP File

Parasiting web session If server store data in session (input data) you Can share files by encoding them in b64 (if the input has no limitations)

Sharing the session cookie allows to share the uploaded file