[Dreamhack] CTF Season 5 Round #4

🛎️ Access

Admin의 KEY가 필요합니다! 알맞은 KEY값을 입력하여 플래그를 획득하세요.
플래그 형식은 DH{...} 입니다.

👾 Exploit Algorithm & Payload

> ./app.py

#!/usr/bin/env python3
import subprocess
from flask import Flask, request, render_template, redirect, url_for
import string
import os
import hashlib

app = Flask(__name__)

try:
    FLAG = open("./flag.txt", "r").read()
except:
    FLAG = "[**FLAG**]"

KEY = hashlib.md5(FLAG.encode()).hexdigest()
guest_key = hashlib.md5(b"guest").hexdigest()

# filtering
def filter_cmd(cmd):
    alphabet = list(string.ascii_lowercase)
    alphabet.extend([' '])
    num = '0123456789'
    alphabet.extend(num)
    command_list = ['flag','cat','chmod','head','tail','less','awk','more','grep']

    for c in command_list:
        if c in cmd:
            return True
    for c in cmd:
        if c not in alphabet:
            return True

@app.route('/', methods=['GET', 'POST'])
def index():
    # GET request
    return render_template('index.html')



@app.route('/flag', methods=['POST'])
def flag():
     # POST request
    if request.method == 'POST':
        key = request.form.get('key', '')
        cmd = request.form.get('cmd_input', '')
        if cmd == '' and key == KEY:
            return render_template('flag.html', txt=FLAG)
        elif cmd == '' and key == guest_key:
            return render_template('guest.html', txt=f"guest key: {guest_key}")
        if cmd != '' or key == KEY:
            if not filter_cmd(cmd):
                try:
                    output = subprocess.check_output(['/bin/sh', '-c', cmd], timeout=5)
                    return render_template('flag.html', txt=output.decode('utf-8'))
                except subprocess.TimeoutExpired:
                    return render_template('flag.html', txt=f'Timeout! Your key: {KEY}')
                except subprocess.CalledProcessError:
                    return render_template('flag.html', txt="Error!")
            return render_template('flag.html')
        else:
            return redirect('/')
    else: 
        return render_template('flag.html')


if __name__ == '__main__':
    app.run(host='0.0.0.0', port=8000, debug=True)

> ./templates/base.html

<!doctype html>
<html>
  <head>
    <link rel="stylesheet" href="{{ url_for('static', filename='css/bootstrap.min.css') }}">
    <link rel="stylesheet" href="{{ url_for('static', filename='css/bootstrap-theme.min.css') }}">
    <link rel="stylesheet" href="{{ url_for('static', filename='css/non-responsive.css') }}">
    <title>{% block title %}{% endblock %} | Dreamhack </title>
    {% block head %}{% endblock %}
  </head>
<body>
      <!-- Fixed navbar -->
      <nav class="navbar navbar-default navbar-fixed-top">
        <div class="container">
          <div class="navbar-header">
            <a class="navbar-brand" href="/">BypassIF</a>
          </div>
          <div id="navbar">
            <ul class="nav navbar-nav">
              <li><a href="/">index page</a></li>
            </ul>
          </div><!--/.nav-collapse -->
        </div>
      </nav><br/><br/><br/>
    <div class="container">
      {% block content %}{% endblock %}
    </div> <!-- /container -->

    <!-- Bootstrap core JavaScript -->
    <script src="{{ url_for('static', filename='js/jquery.min.js')}}"></script>
    <script src="{{ url_for('static', filename='js/bootstrap.min.js') }}"></script> 
</body>
</html>

> ./templates/index.html

{% extends "base.html" %}
{% block title %}Index{% endblock %}

{% block head %}
  {{ super() }}
{% endblock %}

{% block content %}
<h1>hello dream</h1>
<form action="/flag" method="POST">
  <div class="row">
    <div class="col-md-6 form-group">
      <br/><input type="text" class="form-control" placeholder="your key" name="key" pattern="[A-Za-z0-9\s]{2,35}" required>
    </div>
  </div>
  <button type="submit" class="btn btn-default">Submit</button>
</form>
<br/><br/>
{% if txt %}
  <pre>{{ txt }}</pre>
{% endif %}
{% endblock %}

> ./templates/flag.html

{% extends "base.html" %}
{% block title %}Flag{% endblock %}

{% block head %}
  {{ super() }}
{% endblock %}

{% block content %}
<h1>hello admin</h1>
<form action="/flag" method="POST">
  <div class="row">
    <div class="col-md-6 form-group">
      <br/><input type="text" class="form-control" placeholder="ls" name="cmd_input" required>
    </div>
  </div>
  <button type="submit" class="btn btn-default">Submit</button>
</form>
<br/><br/>
{% if txt %}
  <pre>{{ txt }}</pre>
{% endif %}
{% endblock %}

> ./templates/guest.html

{% extends "base.html" %}
{% block title %}Index{% endblock %}

{% block head %}
  {{ super() }}
{% endblock %}

{% block content %}
<h1>hello guest</h1>
<br/><br/>
{% if txt %}
  <pre>{{ txt }}</pre>
{% endif %}
{% endblock %}

...

#1

: '/' 페이지에서 key를 입력하고 전송하면 반응할 것으로 보인다.

#2

https://tophix.com/ko/development-tools/encrypt-text

온라인 텍스트 암호화 도구 | MD5, SHA, AES 암호화, AES 복호화

MD5, SHA, AES 복호화 및 AES 암호화 기능을 제공하는 온라인 텍스트 암호화 도구입니다.

tophix.com

: app.py에서 guest_key가 'hashlib.md5(b"guest").hexdigest()'다음과 같이 동작함을 확인했기 때문에 md5 복호화 해서 guest의 key 값을 확인할 수 있다.

: 코드를 추가로 해석하다보면 파라미터가 두개임을 알 수 있다. (key, cmd_input)

#3

: /index 페이지에서 /flag 페이지로 넘어갈 때, 전달하는 값이 key 뿐이었지 BurpSuite 도구를 활용하여 패킷을 가로채서 cmd_input도 전달할 수 있게 작성하였다.

: 다음과 같이 명령어가 잘 동작함을 확인할 수 있다.

: 그러나 파일을 확인할 수 있는 우회 방법은 찾기 쉽지 않았다.(있을지 없을지는 확실하지 않다.)

- 필터링: 'flag','cat','chmod','head','tail','less','awk','more','grep'

- 기본적으로 알파벳 소문자, 공백 또는 숫자만 가능. 즉, 문자도 사용 불가.

- 다른 우회 방법을 활용해봤으나 먹히지 않았음.

ex) fold, tac, nl, rev, sort, diff, /b?n/c?t, ...

#4

...
        if cmd != '' or key == KEY:
            if not filter_cmd(cmd):
                try:
                    output = subprocess.check_output(['/bin/sh', '-c', cmd], timeout=5)
                    return render_template('flag.html', txt=output.decode('utf-8'))
                except subprocess.TimeoutExpired:
                    return render_template('flag.html', txt=f'Timeout! Your key: {KEY}')
                except subprocess.CalledProcessError:
                    return render_template('flag.html', txt="Error!")
            return render_template('flag.html')
...

: 코드를 자세히 확인하니 다음과 같다.

: cmd가 필터링 함수에 해당하는 것이 있는지 확인하게 된다. 통과된다면 try문으로 이동한다.

: try문에서 cmd에서 작성했던 쉘 명령어가 실행되고 출력 결과를 가져오게 된다. 이때, 명령어 실행에 5초 이상 지연이 발생하면 에러문을 발생하는 것을 확인할 수 있다.

: except subprocess.TimeoutExpired는 timeout 에러가 발생하면 flag.html 페이지를 렌더링하고 KEY(Admin의 KEY)를 전달함을 알 수 있다.

: 따라서 지연시키면 Admin의 KEY를 얻을 수 있을 것이다.

🔑Analysis and results for obtaining the Flag DH{…}

'[Dreamhack]WebHacking > Wargame&CTF' 카테고리의 다른 글

[Dreamhack] Level1: [wargame.kr] strcmp (1)	2024.02.25
[Dreamhack] Level2: login-1 (2)	2024.02.25
[Dreamhack] Level2: baby-sqlite (0)	2024.02.23
[Dreamhack] Level4: KeyCat (0)	2024.02.23
[Dreamhack] Level1:Beginner blue-whale (1)	2024.02.07

Yun2

[Dreamhack] CTF Season 5 Round #4 - BypassIF

🛎️ Access

👾 Exploit Algorithm & Payload

#1

#2

#3

#4

🔑Analysis and results for obtaining the Flag DH{…}

'[Dreamhack]WebHacking > Wargame&CTF' 카테고리의 다른 글

티스토리툴바

[Dreamhack] CTF Season 5 Round #4 - BypassIF

🛎️ Access

👾 Exploit Algorithm & Payload

#1

#2

#3

#4

🔑Analysis and results for obtaining the Flag DH{…}

'[Dreamhack]WebHacking > Wargame&CTF' 카테고리의 다른 글

관련글

티스토리툴바