Path traversal es una vulnerabilidad donde un atacante manipula una ruta de archivo para salir del directorio permitido y acceder a archivos que no debería.

Lab: File path traversal, simple case

  • Vamos a capturar la petición en la cual abramos una imagen cualquiera en otra ventana.

En path traversal, un atacante usa muchos ../ para salirse de la carpeta permitida y llegar a archivos sensibles.

  • Abusamos de la falta de validación para escalar directorios utilizando secuencias ‘../‘.

Lab: File path traversal, traversal sequences blocked with absolute path bypass

  • Volvemos a capturar la petición en la cual abramos una imagen cualquiera en otra ventana.

  • Al modificar el parámetro filename e indicar directamente /etc/passwd, logramos leer el contenido del archivo, demostrando que el filtrado es insuficiente y que no hay validación sobre rutas absolutas.

Lab: File path traversal, traversal sequences stripped non-recursively

  • Volvemos a capturar la petición en la cual abramos una imagen cualquiera en otra ventana.

  • La aplicación intenta mitigar el path traversal eliminando las secuencias ‘../‘, pero lo hace de forma no recursiva. Esto permite evadir el filtro usando variantes como ‘….//‘, que tras la normalización del sistema de archivos siguen interpretándose como una subida de directorio. Usando ‘….//….//etc/passwd‘, logramos acceder a archivos sensibles como ‘/etc/passwd‘.

  • El filtro valida texto, el sistema operativo interpreta rutas, // → Linux lo interpreta igual que /).

Lab: File path traversal, traversal sequences stripped with superfluous URL-decode

La aplicación bloquea de forma directa las secuencias ../, sin embargo, comete el fallo de decodificar la entrada una vez adicional después del filtrado. Aprovechando este comportamiento, se utiliza ..%252f, que tras ser decodificado en dos ocasiones termina convirtiéndose en ../, lo que permite ejecutar un path traversal con éxito. Mediante esta técnica fue posible acceder al archivo /etc/passwd, demostrando cómo una decodificación extra puede dar lugar a vulnerabilidades críticas.

  • Volvemos a capturar la petición en la cual abramos una imagen cualquiera en otra ventana.

  • Vamos aplicar un URL-ENCODE a los / para que quede algo asi:

GET /image?filename=..%2f..%2f..%2f..%2f..%2f..%2f..%2fetc/passwd HTTP/2
  • URL ENCODE a los %: (Una vez url decodea el % se queda con un %2f lo cual significa una / y asi hacemos un bypass y podemos apuntar directo al archivo).
GET /image?filename=..%252f..%252f..%252f..%252f..%252f..%252f..%252fetc/passwd

Lab: File path traversal, validation of start of path

  • Volvemos a capturar la petición en la cual abramos una imagen cualquiera en otra ventana.

  • En este caso, la aplicación verifica únicamente que la ruta comience con /var/www/images/, pero no controla correctamente el contenido posterior. Esto permite enviar una ruta como /var/www/images/https://miguelonches/../etc/passwd, que al resolverse finalmente termina accediendo a un archivo sensible fuera del directorio autorizado. Este ejemplo muestra cómo una validación superficial del inicio del path puede ser fácilmente eludida mediante el uso de secuencias de retroceso (../).

GET /image?filename=/var/www/images/../../../../../../etc/passwd HTTP/2

Lab: File path traversal, validation of file extension with null byte bypass

  • Volvemos a capturar la petición en la cual abramos una imagen cualquiera en otra ventana.

  • La aplicación intenta garantizar que los archivos solicitados terminen en .png, pero no tiene en cuenta el uso del byte nulo (%00). Este carácter indica el final de una cadena para muchas funciones en lenguajes como C, por lo que al enviar una ruta como https://miguelonches/../etc/passwd%00.png, el servidor interpreta únicamente la parte anterior al %00 y accede al archivo /etc/passwd, aun cuando la validación de la extensión parece cumplirse.