Introducing DreamDocs: a platform for browsing docs!

flag를 내뱉는 조건을 아무리 살펴봐도 X-user 가 admin인 거랑 랜덤한 게시글 id 찾기 인 것 같아서 브루트포스 돌려보았더니 정답이였던 문제였다.

문제 파일 부터 빠르게 확인해보자

app.py는 다음과 같다.

from flask import Flask, render_template, request, jsonify, abort
import os
import random


app = Flask(__name__)
app.secret_key = os.urandom(32)

FLAG =  "flag"

flag_doc_id = random.randint(100, 999)

documents = {
    flag_doc_id: {
        'title': 'Confidential Report - Access Restricted',
        'content': f'This is a confidential internal document.\n\nDocument ID: {flag_doc_id}\nClassification: TOP SECRET\n\n<!-- FLAG: {FLAG} -->\n\nThis document contains sensitive information and should only be accessed by authorized personnel.',
        'classification': 'confidential',
        'author': 'System Administrator'
    }
}

for i in range(1000):
    if i not in documents:
        uid = random.randint(0, 9)
        documents[i] = {
            'title': f'Document #{i:03d}',
            'content': f'This is document number {i}.\n\nContent: Lorem ipsum dolor sit amet, consectetur adipiscing elit. Sed do eiusmod tempor incididunt ut labore et dolore magna aliqua. Ut enim ad minim veniam, quis nostrud exercitation ullamco laboris nisi ut aliquip ex ea commodo consequat.\n\nDocument ID: {i}\nCreated: 2025-01-{(i % 28) + 1:02d}\nAuthor: User{uid}',
            'classification': 'public' if random.randint(0, 2) == 0 else 'internal',
            'author': f'User{uid}'
        }

@app.route('/')
def index():
    return render_template('index.html')

@app.route('/share')
def share():
    return render_template('share.html')

@app.route('/doc/<int:doc_id>')
def view_document(doc_id):
    referer = request.headers.get('Referer', '')
    user_level = request.headers.get('X-User', 'guest')

    if doc_id < 0 or doc_id >= 1000:
        abort(404)

    if doc_id not in documents:
        abort(404)

    document = documents[doc_id]

    if '/share' not in referer:
        return render_template('error.html', 
            message="Access denied. Documents can only be accessed from the share page."), 403

    if document['classification'] == 'confidential':
        if user_level != 'admin':
            return render_template('error.html', 
                message="Insufficient privileges. Administrator access required."), 403

    elif document['classification'] == 'internal':
        if user_level == 'guest':
            return render_template('error.html', 
                message="Internal documents require user authentication."), 401

    return render_template('document.html', doc=document, doc_id=doc_id)

@app.route('/api/docs')
def list_docs():
    SHOW_COUNT = 15
    user_level = request.headers.get('X-User', 'guest')
    visible_docs = []

    for doc_id, doc in documents.items():
        if doc['classification'] == 'public':
            visible_docs.append({'id': doc_id, 'title': doc['title'], 'classification': doc['classification']})
        elif doc['classification'] == 'internal' and user_level != 'guest':
            visible_docs.append({'id': doc_id, 'title': doc['title'], 'classification': doc['classification']})
        elif doc['classification'] == 'confidential' and user_level == 'admin':
            visible_docs.append({'id': doc_id, 'title': doc['title'], 'classification': doc['classification']})
        if len(visible_docs) >= SHOW_COUNT:
            break

    return jsonify(visible_docs)

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=8000, debug=False)

docunents 라는 변수에 FLAG가 담겨있는 게시글이 있음을 알 수 있다.

FLAG 가 담긴 게시글을 찾아내면 된다!

그럼 특정한 id의 docs를 읽는 라우터를 확인해보자

@app.route('/doc/<int:doc_id>')
def view_document(doc_id):
    referer = request.headers.get('Referer', '')
    user_level = request.headers.get('X-User', 'guest')

    if doc_id < 0 or doc_id >= 1000:
        abort(404)

    if doc_id not in documents:
        abort(404)

    document = documents[doc_id]

    if '/share' not in referer:
        return render_template('error.html', 
            message="Access denied. Documents can only be accessed from the share page."), 403

    if document['classification'] == 'confidential':
        if user_level != 'admin':
            return render_template('error.html', 
                message="Insufficient privileges. Administrator access required."), 403

    elif document['classification'] == 'internal':
        if user_level == 'guest':
            return render_template('error.html', 
                message="Internal documents require user authentication."), 401

    return render_template('document.html', doc=document, doc_id=doc_id)

확인해보면 id가 0 보다 크고 1000 이하여야 하고

document['classification'] == 'confidential' 이면

user_level이 admin이 아니면 안보여준다.

우리 FLAG가 담겨있는 게시글은 'classification' 단계이기 때문에 user_level을 admin으로 맞춰주면 되겠다.

그리고 우리 FLAG가 담겨있는 게시글은 100부터 999 사이의 랜덤한 id 를 찾아내면 되겠다.

100부터 999사이라는 값은 매우 브루트 포스를 넣기에 좋은 상황을 의도적으로 연출 해주었기에 브루트 포스를 해주지 않는다면 상도덕에 어긋나는 것일 것이다. 아마도

Burp Suite로 브루트 포스 요청 넣는법

이번엔 새로운 도구인 Cadio로 Automate를 해보았다.

Burp Suite보다 빨라서 더 좋은듯, ( 물론 설정을 할 수 있었겠지만 )

서로 있을 건 다 있기 때문에 더 직관적인 Cadio를 쓸 것 같다.

어쨌든 FLAG가 담긴 id 번호도 알아냈으니 FLAG도 Response 에서 찾으면

성공

node와 mongodb로 구성된 게시판입니다. 비밀 게시글을 읽어 FLAG를 획득하세요.

• MongoDB < 4.0.0

이런걸 해본적이 없던 초심자의 입장에선 감이 안잡히는 문제였다. 모르면 풀기 어려운 문제이다.

빠르게 알아보자

문제파일 구조는 다음과 같다.

그런데 이번엔 코드에 FLAG가 적혀있지 않다.

FLAG를 어떻게 주는 정도 까지는 원래 다 알려주는거 아니였나

그럼 로컬에서 돌려봐서 어떻게 생겼는지 확인해보고자 실행해보았다

Index.html 파일이 없어서 불러오기가 실패했다. 이런 메인 html 파일 조차 주지 않았다.

사이트가 어떻게 생겼는지는 봐야하니 서버를 실행하고 들어가보자

FLAG 게시글은 클릭하니 들어갈 수 없고, 다른 게시글은 제대로 작동하니 Proxy로 게시판을 클릭할때 요청이 어떻게 들어가는지 알아보자.

Proxy 사용법 게시글 | Burp Suite

GET 요청으로 api/board/id Hex 문자열 형태로 보드가 열리는 것 같다.

이거 그럼 FLAG 보드의 id를 알면 내용 확인할 수 있는 것 아닐까?

목표를 정했으니 우리가 볼 수 있는 핵심 내용인 index.js를 살펴보자

module.exports = function(app, MongoBoard){
    app.get('/api/board', function(req,res){
        MongoBoard.find(function(err, board){
            if(err) return res.status(500).send({error: 'database failure'});
            res.json(board.map(data => {
                return {
                    _id: data.secret?null:data._id,
                    title: data.title,
                    author: data.author,
                    secret: data.secret,
                    publish_date: data.publish_date
                }
            }));
        })
    });

    app.get('/api/board/:board_id', function(req, res){
        MongoBoard.findOne({_id: req.params.board_id}, function(err, board){
            if(err) return res.status(500).json({error: err});
            if(!board) return res.status(404).json({error: 'board not found'});
            res.json(board);
        })
    });

    app.put('/api/board', function(req, res){
        var board = new MongoBoard();
        board.title = req.body.title;
        board.author = req.body.author;
        board.body = req.body.body;
        board.secret = req.body.secret || false;

        board.save(function(err){
            if(err){
                console.error(err);
                res.json({result: false});
                return;
            }
            res.json({result: true});

        });
    });
}

보드를 불러오는 라우터들이 보인다.

이런게 있다면 우선 api를 호출해보는걸 참을 수 없다

주소창에 그대로 적어보자

게시판 정보들 json을 뱉어냈다.

우린 FLAG 게시판의 id를 알아낸다면 되니 FLAG 게시글의 id를 찾아보면...

이런 FLAG 게시글의 id가 null 값이다.

이정도 수준에서 보드 id를 순순히 내주었다면 B4 문제였겠지만. 쉽게 주지 않는다.

여기서 막혀서 검색해보았다.

https://www.mongodb.com/ko-kr/docs/manual/reference/method/ObjectId/

몽고DB는 ObjectID를 이렇게 생성한다고 한다.

구글번역 이슈로 알아듣기가 어려운데, 포인트는

• 4바이트는 타임스탬프
• 5바이트는 임의 값, 고유한 값이 들어감
• 3바이트는 카운터

라고 한다..

그니깐 이문제는 다른 보드 id 값을 보고 FLAG 게시글의 id를 유추하라는 문제였던 것이다.

바로 id 탐색 해보자

대충 메모장에 id 붙여넣어서 4바이트, 5바이트, 3바이트 단위로 끊어주니 패턴이 보인다.

중간 4바이트는 모두 똑같이 d35045223a 임을 알 수 있다.

3바이트는 1단위씩 늘어나고 있으니 중간에 낀 FLAG 게시글은 a9eaba이겠다.

앞에는 타임스태프에 의해서 바뀌고 있다는데,, 6a6c38부분은 똑같을테고 그 다음 한바이트만 바뀌고 있는데. 그냥 보면 83 ~ 88중 하나의 값임을 알 수 있었다.

그럼 83 ~ 88중 하나씩 요청을 보내면서 FLAG를 찾아보자

위 사진처럼 하나씩 요청 보내는 방법은 여기에 자세히

DH키워드 GREP이 잡혔다.

정답 요청을 찾아낼 수 있었고. FLAG도 찾아냈다.

*교훈: id의 규칙성을 유추해낼 수 있다. *

웹해킹의 매우 기초적인 문제인데, 나는 이제껏 쉬운 문제들만 풀어왔음을 깨닫게 해주는 문제였다.

우선 문제 파일 열어서 코드 빠르게 확인해보았다.

#!/usr/bin/python3
from flask import Flask, request, render_template
import string
import random

app = Flask(__name__)

try:
    FLAG = open("./flag.txt", "r").read()       # flag is here!
except:
    FLAG = "[**FLAG**]"


rand_str = ""
alphanumeric = string.ascii_lowercase + string.digits
for i in range(4):
    rand_str += str(random.choice(alphanumeric))

rand_num = random.randint(100, 200)


@app.route("/", methods = ["GET", "POST"])
def index():
    if request.method == "GET":
        return render_template("index.html")
    else:
        locker_num = request.form.get("locker_num", "")
        password = request.form.get("password", "")

        if locker_num != "" and rand_str[0:len(locker_num)] == locker_num:
            if locker_num == rand_str and password == str(rand_num):
                return render_template("index.html", result = "FLAG:" + FLAG)
            return render_template("index.html", result = "Good")
        else: 
            return render_template("index.html", result = "Wrong!")


app.run(host="0.0.0.0", port=8000)

지금까지의 웹과는 조금 다르다.

문제를 처음 봤을때, 이전 처럼 FLAG가 나타나는 취약점이 있지 않을까, 숨겨진 FLAG의 암호 힌트가 코드 내에 숨겨져 있는게 아닌가 하며 폴더 전체 검색으로 키워드를 찾아다녔다. 내가 놓친 FLAG의 힌트가 있는지 찾으며 돌아다녀보았다...

몇분 동안 찾아본 결과 접근법이 잘못되었다는 것을 깨닫고 제대로 문제를 파악해보기로 하였다.

일단 FLAG를 뱉어내는 조건을 먼저 확인해보자

  if locker_num != "" and rand_str[0:len(locker_num)] == locker_num:
            if locker_num == rand_str and password == str(rand_num):
                return render_template("index.html", result = "FLAG:" + FLAG)
            return render_template("index.html", result = "Good")
        else: 
            return render_template("index.html", result = "Wrong!")

이 코드에 FLAG를 주는 조건이 적혀있다. 해석해보자면 첫번째 if 문은 다음과 같다.

정답 문자열rand_str의 맨 앞부분을 내가 입력한 글자 수len(locker_num)만큼만 잘라서 내가 입력한 값과 똑같은지 비교해라

True라면 두번째 조건문으로 간다.

너가 입력한 사물함 번호랑 자물쇠 번호가 맞으면 FLAG를 줄거다. False라면 "Good" 이라는 문자열을 출력하겠다고 한다.

그 무엇도 아니면 "Wrong!"을 출력한다고 한다.

오키, 그럼 정답문자열 rand_str은 어떻게 만들어지지?

rand_str = ""
alphanumeric = string.ascii_lowercase + string.digits
for i in range(4):
    rand_str += str(random.choice(alphanumeric))

rand_num = random.randint(100, 200)

여기서 확인할 수 있다.

일단 rand_str은 4글자이고, string.ascii_lowercase 랑 string.digits 을 더한 alphanumeric중에서 랜덤하게 하나씩 골라 만들어진 4글자 문자열임을 알 수 있었다.

rand_num은 100이상 200이하 정수임을 알 수 있었다. 다만

string.ascii_lowercase 랑 string.digits 가 뭐지?

이렇다고 한다. 즉 alphanumeric은 abcdefghijklmnopqrstuvwxyz0123456789라는 문자열이였음을 알 수 있었다.

즉. 사물함 번호는 영어 소문자 + 숫자가 포함된 랜덤문자열 4글자, 자물쇠 번호는 100에서 200사이의 번호 임을 알 수 있었다.

근데. 사실 문제 설명에서도 알려주고 있던 내용이었다.,

자 이제 그럼 이 문제를 어떻게 풀 수 있을까? 처음부터 범위가 좁은 조건이 있으면 의심을 해봐야 하는 것이 있었다.

그렇다. 풀이법은 브루트 포스였다.

하지만 이제껏 툴이라고는 Vscode 랑 브라우저에서 마우스 클릭만 해오던 내가 어떻게 해야할지 감도 잡히지 않았다.

검색해보니, Proxy 툴로 입력을 찾고 brute force 공격을 해줄 수 있는 툴이 있다고 하여서 다운로드 받았다.

https://portswigger.net/burp/downloads

바로 Burp Suite

Community Edition으로 다운로드 받아도 충분히 할만한건 다 할 수 있다고 해서 다운로드 받고 실행해보았다.

진짜 하나도 모르겠었지만, 간단하게 요약하면 프록시라고 해서 내가 사이트로 보낸 입력을 Proxy가 대신 보내주고, 그 응답을 Proxy가 가로채서 그 응답이 나한테 바로 전달되지 않고 Proxy를 통해서 볼 수 있었다.

그냥 중간 대행자 역할을 해준다고 보면 된다.

그렇다면 이제 이 Burp Suite를 통해서 문제를 풀어보자.

여기 Open Browser를 열어 크롬창을 열어주자

그럼 이런 창이 하나 뜨는데, 여기에 우리가 드림핵에서 서버를 실행하면 주는 링크를 여기에 넣고 접속하면 된다.

그럼 이제부터 Proxy가 대행자의 역할로 사이트에 대신 접속해주고 우린 그걸 전달받아 확인할 수 있다.

잘 접속 했다. 이제 Proxy를 통해 신호를 가로채보자.

Proxy 탭에서 Intercept on 버튼을 눌러 인터셉트를 활성화 하자.

이제 서버에서 우리 한테 보내는 신호를 Proxy가 가로채갈 것이다.

그럼 우리가 보고있는 브라우저 창은 렉이 걸린 것처럼 신호를 대기하는 상태가 될 것이다.

아무런 값만 먼저 넣어보고 제출 해보자.

좋다. 우리가 제출 버튼을 눌러 사이트에게 보낸 Request가 잡혔다.

저기 HTTP 프로토콜의 마지막줄 content 내용에 우리가 적은 abcd와 132가 적혀있는 것을 볼 수 있다.

그럼 우린 저 칸에 처음부터 끝까지 내용을 적어서 제출해, FLAG를 얻어낼 수 있을 것이다.

Proxy 옆에 있는 Intruder에 들어가보자.

그리고 이렇게 locker_num에 커서를 놓고 Add 버튼을 눌러 저 문양을 저 칸에 추가해준다. (이 공간에다 순차적 대입을 할 것이다. 라는 포지션을 잡는 것이다.)

그리고 오른쪽 탭에서 Payload type: 을 Brute forcer 로 변경해주고,

아래 Min length, Max length를 1로 해주자.

한글자씩 적어넣어서 Good의 표시를 매개로 하여 암호를 알아낼 것이다.

그리고 여기 오른쪽 탭에 있는 Settings 버튼을 누르고 Grep - Match 탭에 들어간다.

Enter a new Item 칸에 Good 이라고 적고 Add를 누른다. Good 이 잘 들어갔음을 확인할 수 있다.

이제 주황색의 Start Attack 버튼을 클릭해 한글자씩 요청을 넣어보자.

이렇게 쭉 요청이 들어가는 것을 볼 수 있다.

이중에서 딱 한가지

Grep에서 우리가 지정한 Good을 인식한 글자가 무엇인지 확인해보자.

r 이였다, 이제 r이 번호의 첫글자임을 알아냈다.

이제 찾아낸 한글자는 고정으로 넣어두고 그 뒤의 두번째 글자도 대입해서 찾아보자.

이 과정을 3번만 반복하면 된다.

Min length , Max length를 3으로 해서 나머지를 찾는다면 한번에 찾을 수 있겠지만, 오래걸릴 것이다.

rjuq임을 알아냈다.

Password는 100번만 숫자로 대입해보면 되니, 한번에 해보자.

이젠 password에 Add를 통해 포지션을 추가하고

Payload 타입을 Numbers 로 변경해주자.

From: 에는 100을 To: 에는 200을 적어주자.

마지막으로 Settings 탭에서 Add를 누르고 DH를 입력해 Flag를 잡아낼 수 있도록 하자

이제 시행해보자

여러 대입중 한곳에서 DH를 인식했다는 표시를 발견했다.

그 숫자는 바로 107!

모든 비밀번호를 알아내는데에 성공했다.

사물함 번호 제대로 적었는데, 제출 버튼을 눌러도 응답이 없다면 Intercept 가 On 되어있는지 확인해보자.

이렇게 직접 툴을 통해서 Brute Force를 실행해보는 방법을 알아보았다.

예전의 Cookie 문제에서 세션이 추가된 업그레이드 버전이다.

app.py가 하나있으니 열어보자

#!/usr/bin/python3
from flask import Flask, request, render_template, make_response, redirect, url_for

app = Flask(__name__)

try:
    FLAG = open('./flag.txt', 'r').read()
except:
    FLAG = '[**FLAG**]'

users = {
    'guest': 'guest',
    'user': 'user1234',
    'admin': FLAG
}


# this is our session storage
session_storage = {
}


@app.route('/')
def index():
    session_id = request.cookies.get('sessionid', None)
    try:
        # get username from session_storage
        username = session_storage[session_id]
    except KeyError:
        return render_template('index.html')

    return render_template('index.html', text=f'Hello {username}, {"flag is " + FLAG if username == "admin" else "you are not admin"}')


@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'GET':
        return render_template('login.html')
    elif request.method == 'POST':
        username = request.form.get('username')
        password = request.form.get('password')
        try:
            # you cannot know admin's pw
            pw = users[username]
        except:
            return '<script>alert("not found user");history.go(-1);</script>'
        if pw == password:
            resp = make_response(redirect(url_for('index')) )
            session_id = os.urandom(32).hex()
            session_storage[session_id] = username
            resp.set_cookie('sessionid', session_id)
            return resp
        return '<script>alert("wrong password");history.go(-1);</script>'


@app.route('/admin')
def admin():
    # developer's note: review below commented code and uncomment it (TODO)

    #session_id = request.cookies.get('sessionid', None)
    #username = session_storage[session_id]
    #if username != 'admin':
    #    return render_template('index.html')

    return session_storage


if __name__ == '__main__':
    import os
    # create admin sessionid and save it to our storage
    # and also you cannot reveal admin's sesseionid by brute forcing!!! haha
    session_storage[os.urandom(32).hex()] = 'admin'
    print(session_storage)
    app.run(host='0.0.0.0', port=8000)

뭐가 많다.

우선 Cookie 때와 비슷하게 users딕셔너리에서 유저 아이디랑 패스워드를 이미알려주고 있기 때문에 우리가 모르는 admin말고 다른 계정으로 아무거나 하나 골라서 로그인 해보자

users = {
    'guest': 'guest',
    'user': 'user1234',
    'admin': FLAG
}

users 에서 user 비밀번호 볼 수 있기 때문에 로그인을 빠르게 해보자

안녕 하지만 우린 어드민이 아니라고 한다.

F12로 개발자 도구를 열어 Application 탭의 Storage로 들어가 현 사이트의 쿠키 값들을 확인해보자

sessionid가 눈에 띈다. 코드를 읽어보자

@app.route('/')
def index():
    session_id = request.cookies.get('sessionid', None)
    try:
        # get username from session_storage
        username = session_storage[session_id]
    except KeyError:
        return render_template('index.html')

    return render_template('index.html', text=f'Hello {username}, {"flag is " + FLAG if username == "admin" else "you are not admin"}')

username을 단순히 admin으로 바꾼다고 FLAG를 보여주지 않는다.

session_id까지 admin으로 저장된 id랑 일치해야 보여주는 것 같다. 현재 내 id는 user의 세션 id 여서 FLAG를 못보고있다.

admin의 id는 어디에 저장되어있을까.

if __name__ == '__main__':
    import os
    # create admin sessionid and save it to our storage
    # and also you cannot reveal admin's sesseionid by brute forcing!!! haha
    session_storage[os.urandom(32).hex()] = 'admin'
    print(session_storage)
    app.run(host='0.0.0.0', port=8000)

서버가 실행될 때 실행되는 코드이다. 내가 알 수 없는 랜덤한 세션 id를 admin으로 지정해 저장하고 있다.

print하여 session_storage를 보여주는데, 서버 관리자는 이걸 볼 수 있겠지만 우리로써는 이걸 볼 수 있는 방법은 없어 보인다,,

session_storage를 어떻게 알 수 있을까

@app.route('/admin')
def admin():
    # developer's note: review below commented code and uncomment it (TODO)

    #session_id = request.cookies.get('sessionid', None)
    #username = session_storage[session_id]
    #if username != 'admin':
    #    return render_template('index.html')

    return session_storage

아하 /admin 라우터에서session_storage를 순순히 return해주고 있다. # developer's note의 TODO를 제대로 해놓지 않고주석처리 해두어서 제대로 작동하지 않는 컨셉인듯 하다

주소창에 현재 사이트 뒤에 /admin 을 붙이고 작동해 /admin라우터를 작동시켜보면

admin의 세션 id를 얻어낼 수 있다. 이제 이걸 복사하고 다시 index 페이지에서 세션 id를 admin의 id로 바꿔준다면?

새로고침 해보니 flag가 떠있다. 성공

문제파일을 받아보면 app.py가 존재한다. 파일을 열어보자

#!/usr/bin/python3
from flask import Flask, request, render_template, make_response, redirect, url_for

app = Flask(__name__)

try:
    FLAG = open('./flag.txt', 'r').read()
except:
    FLAG = '[**FLAG**]'

users = {
    'guest': 'guest',
    'admin': FLAG
}

@app.route('/')
def index():
    username = request.cookies.get('username', None)
    if username:
        return render_template('index.html', text=f'Hello {username}, {"flag is " + FLAG if username == "admin" else "you are not admin"}')
    return render_template('index.html')

@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'GET':
        return render_template('login.html')
    elif request.method == 'POST':
        username = request.form.get('username')
        password = request.form.get('password')
        try:
            pw = users[username]
        except:
            return '<script>alert("not found user");history.go(-1);</script>'
        if pw == password:
            resp = make_response(redirect(url_for('index')) )
            resp.set_cookie('username', username)
            return resp 
        return '<script>alert("wrong password");history.go(-1);</script>'

app.run(host='0.0.0.0', port=8000)

우선 하나씩 해석해보자

try:
    FLAG = open('./flag.txt', 'r').read()
except:
    FLAG = '[**FLAG**]'

users = {
    'guest': 'guest',
    'admin': FLAG
}

FLAG 라는변수에 flag 텍스트 파일을 읽어서 저장해놓았다.

FLAG 변수가 어딨는지 찾으면 되는 문제이다.

users라는 딕셔너리에 게스트는 게스트이고 admin은 FLAG 값을 가지고 있다.

다음을 알아보자

@app.route('/')
def index():
    username = request.cookies.get('username', None)
    if username:
        return render_template('index.html', text=f'Hello {username}, {"flag is " + FLAG if username == "admin" else "you are not admin"}')
    return render_template('index.html')

메인 페이지 라우터이다.

username이라는 변수에 cookie 값을 읽어와서 담아 놓는다.

그리고 아래 조건문을 읽어보면 username 변수값을 읽어오는 것을 성공하면 텍스트를 보여준다.

그 텍스트는 if username == "admin" 이면 FLAG 값을 보여준다.

cookie 값을 admin으로 바꿔서 FLAG를 얻어낼 수 있을 것이다. .

아래 코드도 읽어보자

조건문 여러개가 있는데 빠르게 보면

    elif request.method == 'POST':
        username = request.form.get('username')
        password = request.form.get('password')
        try:
            pw = users[username]
        except:
            return '<script>alert("not found user");history.go(-1);</script>'

우리가 username 필드에 입력한 값이 아까 보았던 users 딕셔너리에 존재하지 않으면 not found user을 출력한다.

users에는 guest랑 admin밖에 없었으니

guset나 admin 을 입력해서 로그인 완료 창으로 갈 수 있다.

그다음 조건문도 보자

        if pw == password:
            resp = make_response(redirect(url_for('index')) )
            resp.set_cookie('username', username)
            return resp 
        return '<script>alert("wrong password");history.go(-1);</script>'

pw가 password 이면 쿠키를 설정하고 return 하는데

pw = users[username] 이므로 guest 는 guest가 pw이고 admin은 FLAG가 pw이겠다.

로그인창에 guest guest를 입력하고 로그인을 해보자

로그인 완료, 하지만 아까 봤다시피 username 쿠키 값이 admin이 아니기 때문에 FLAG를 안보여준다.

cookie값을 직접 바꿔보자.

크롬 브라우저에서 F12를 통해 cookie 값을 볼 수 있다. + 수정도 할 수 있다.

Application 에 들어가니 Storage 탭에 Cookies가 있다.

클릭해보니 username 테이블에 guset값이 들어가있다.

야무지게 클릭해서 Value를 admin으로 수정해보면

짠 FLAG가 나왔다