Sensitive Data Exposure > Disclosure of Secrets and EXIF Geolocation from image.

Assalamualaikum warahmatullah hi wabarakatuh

Sebelumnya perkenalkan nama saya Bagus Lindu Pamungkas mahasiswa semester 3 diUniversitas Teknologi Yogyakarta, nahh pada kesempatan kali ini saya ingin bercerita bagaimana saya menemukan celah pada subdomain website kampus saya.

Exploitation Steps :
Bug ini sebenarnya merupakan kesalahan konfigurasi menaruh file/folder terletak diroot website sehingga data dapat diexpos secara publik. Pada awalnya saya melakukan scanning dengan beberapa tools seperti enumeration subdomain menggunakan ammas & sublist3r. Kemudian saya melakukan scanning dengan nmap untuk melihat port yang terbuka disemua subdomain, namun hasilnya sama hanya port http 80 dan port 443 yang terbuka. Sebelumnya saya melakukan ping host ke webite dan didapatkan IP = 104.27.144.6 namun ternyata itu hanya IP firewall yaitu cloudflare, oleh karena itu saya melakukan bypass IP cloudflare dan didapatkan IP aslinya berupa = 117.20.63.44, Kemudian setelah itu saya melakukan reverse IP dan mendapatkan beberapa subdomain 1 server dengan domain utama.

Pada website https://*.uty.ac.id yang kebetulan website ini baru, saya kemudian melakukan bruteforce path dengan alat dirsearch, saya menemukan respon 200 OK pada dir
/phpinfo dan /backup.zip dengan ukurannya, kemudian saya melakukan download dengan wget pada https://*.uty.ac.id/backup.zip.

Setelah itu saya mengekstrak isi backup file tersebut, didapatkan hasil berikut :

Dapat dilihat bahwa website menggunakan framwork CI ( Codeigniter ) karena seluruh backupannya terdapat disitu. Dari situ dapat dilihat pada folder resource terdapat banyak sekali data mahasiswa.

Letak bug backup.zip

Loginan localhost database diatas :

Bug selanjutnya merupakan terusan dari bug diatas, bug ini dianggap P3 dan critical di program bug hunter seperti bugcrowd dan hackerone. Bug ini disebut EXIF image geolocation dikarenakan sebuah gambar yang tidak melalui compress/filter akan mudah terlacak.

Kurang lebih contohnya seperti ini :

Dari beberapa gambar tersebut kemudian menggunakan exiftool maka akan terlihat seluruh info gambar tersebut. Seperti device ,warna ,bahkan lokasi dan lain – lain.

Pada GPS Position kita dengan dapat akurat mengetahui darimana lokasi gambar itu diambil secara akurat. Cotohnya :

Poc : Sensitive Data Exposure > Disclosure of Secrets & EXIF Geolocation From Image.

Impact : Dengan data lengkap tersebut penyerang dapat mengeploitasi kode lebih lanjut dan dapat melakukan Remote Access bahkan memasukan kode malware berupa backdoor yang selanjutnya akan dieksekusi untuk meremote seluruh server domain. Data user dapat disalah gunakan penyerang.

Nah mungkin itu saja yang bisa saya sampaikan. Besar harapan saya agar pihak kampus dapat segera memperbaiki bug tersebut untuk menghindari hal-hal yang tidak diinginkan. Kurang lebih nya mohon maaf , terima kasih.
Wasalamualaikum warahmatullah hi wabarakatuh.
My Social Media :
- Github :
https://github.com/sultanzio https://sultanzio.github.io
- Medium https://medium.com/@baguslindu.official
- Facebook https://fb.com/www.linux.org