(web) Curlove

안녕 오늘은 드림핵 ‘curl’ + ‘ove’ 문제를 풀어보자. 난이도가 5로 상당히 높게 책정되었는데, 난이도에 걸맞게 크게 두가지 파트로 나누어진 문제였다.

이 문제에서 주는 인사이트는 정규식 우회와 curl의 메타기호와 url의 구조이다.

먼저 문제에서 다운로드 받은 app.py의 코드를 살펴보면,

try:
    FLAG = open("./flag.txt", "r").read()
except:
    FLAG = "DH{{This_is_flag}}"

플래그의 위치는 현재 디렉터리인 것을 알 수 있다.

@app.route("/admin", methods=["GET", "POST"])
def admin():
    if not session:
        return redirect("/login")
    
    if session["isAdmin"] == False:
        return redirect("/guest")

    if request.method == "GET":
        return render_template("admin.html")

    if request.method == "POST":
        url = request.form["url"].strip()

        if (url[0:4] != "http") or (url[7:20] != "dreamhack.io/"):
            return render_template("admin.html", msg="Not allowed URL")

        if (".." in url) or ("%" in url):
            return render_template("admin.html", msg="Not allowed path traversal")
        
        if url.endswith("flag") or ("," in url):
            return render_template("admin.html", msg="Not allowed string or character")
        try:
            response = subprocess.run(
                ["curl", f"{url}"], capture_output=True, text=True, timeout=1
            )
            return render_template("admin.html", response=response.stdout)

        except subprocess.TimeoutExpired:
            return render_template("admin.html", msg="Timeout !!!")

위의 코드를 보면, admin 권한이 있어야, 들어갈 수 있는 관리자 페이지가 존재한다.

일단 admin 권한을 얻을 수 있는 방법을 보면,

@app.route("/login", methods=["GET", "POST"])
def login():
    if request.method == "GET":
        return render_template("login.html")

    if request.method == "POST":
        username = request.form.get("username")
        password = request.form.get("password")

        if username == "" or password == "":
            return render_template("login.html", msg="Enter username and password")

        sha256_password = sha256((password).encode()).hexdigest()
        try:
            user = get_user(username, sha256_password)

            if user:
                if user[1].startswith("admin"):
                    session["username"] = user[1]
                    session["isAdmin"] = True
                    session["login"] = True
                    return redirect("/admin")
                else:
                    session["username"] = user[1]
                    session["isAdmin"] = False
                    session["login"] = True
                    return redirect("/guest")
            else:
                return render_template("login.html", msg="Login Failed..."), 401
        except Exception as e:
            abort(500)


@app.route("/signup", methods=["GET", "POST"])
def signup():
    if request.method == "GET":
        return render_template("signup.html")

    if request.method == "POST":
        username = request.form.get("username")
        password = request.form.get("password")

        if username == "" or password == "":
            return render_template("login.html", msg="Enter username and password")

        m = search(r".*", username)

        if username or m:
            if m.group().strip().find("admin") != 0:
                return render_template("signup.html", msg="Not allowed username"), 403
            else:
                username = username.strip()
                sha256_password = sha256((password).encode()).hexdigest()
                register_user(username, sha256_password)
                return redirect("/login")

코드처럼 admin으로 시작하는 아이디의 경우 자동으로 관리자 권한을 할당 받게 되는데, sign up 시에, admin이 포함된 단어를 필터링하는 정규식이 존재한다.

하지만, 정규식에 “.”은 개행 문자를 제외한 문자를 타겟으로하는데 취약점이 있다.

그렇다면 아이디의 처음을 개행 문자로 하는 아이디를 만든다면 필터링을 우회할 수 있다!

URL 인코딩으로 특수 문자를 변환하므로, Burp Suite를 이용해서 직접 개행 문자를 넣어준다.

이 방법으로 Admin page에 접근할 수 있었다.

접근한 Admin page에서는 url을 입력할 수 있는데, 이때 입력 값을 체크하는 기능이 있다.

@app.route("/admin", methods=["GET", "POST"])
def admin():
    if not session:
        return redirect("/login")
    
    if session["isAdmin"] == False:
        return redirect("/guest")

    if request.method == "GET":
        return render_template("admin.html")

    if request.method == "POST":
        url = request.form["url"].strip()

        if (url[0:4] != "http") or (url[7:20] != "dreamhack.io/"):
            return render_template("admin.html", msg="Not allowed URL")

        if (".." in url) or ("%" in url):
            return render_template("admin.html", msg="Not allowed path traversal")
        
        if url.endswith("flag") or ("," in url):
            return render_template("admin.html", msg="Not allowed string or character")
        try:
            response = subprocess.run(
                ["curl", f"{url}"], capture_output=True, text=True, timeout=1
            )
            return render_template("admin.html", response=response.stdout)

        except subprocess.TimeoutExpired:
            return render_template("admin.html", msg="Timeout !!!")

Url 입력 값을 체크하는 부분을 정리하면 다음과 같다.