[Dreamhack] Level1: [wargame.kr] strcmp

🛎️ Access

if you can bypass the strcmp function, you get the flag.

 

 

👾 Exploit Algorithm & Payload

 > view-source

<?php
    require("./lib.php"); // for FLA

    $password = sha1(md5(rand().rand().rand()).rand());

    if (isset($_GET['view-source'])) {
        show_source(__FILE__);
        exit();
    }else if(isset($_POST['password'])){
        sleep(1); // do not brute force!
        if (strcmp($_POST['password'], $password) == 0) {
            echo "Congratulations! Flag is <b>" . $FLAG ."</b>";
            exit();
        } else {
            echo "Wrong password..";
        }
    }

?>
<br />
<br />
<form method="POST">
    password : <input type="text" name="password" /> <input type="submit" value="chk">
</form>
<br />
<a href="?view-source">view-source</a>

 

 

#1

---

: '/' 페이지에서 password를 입력할 수 있는 폼이 있고 'chk' 버튼을 누르면 패스워드가 틀린지 확인할 수 있다.

 

: '/?view-sourc' 페이지에서는 PHP 웹 페이지의 일부를 확인할 수 있다.

: strcmp 취약점을 이용하면 풀릴 것이라는 것을 유추할 수 있다.

 

#2

---

strcmp(): 두 문자열이 같으면 0을, 같지 않으면 0이 아닌 값을 반환
strncmp(): 두 문자열의 원하는 길이만큼 같으면 0을 같지 않으면 0이 아닌 값을 반환

: strcmp($a, $b)를 실행 할 때, $a가 작으면 음수, $b가 작으면 양수, $a와 $b가 같으면 0이 반환된다. 하지만 PHP 특정 버전에서 입력 값으로 배열을 넣으면 strcmp 함수가 0을 리턴하는 취약점이 존재한다.

: 예로 $a = Array("a")고 $b = '0ab12..'여도 strcmp($a, $b)==0은 True다.

 

: 게다가 현재 "==" 느슨한 비교를 하고 있기 때문에 NULL == 0(True)가 되어버린다.

("===" 으로 엄격한 비교를 한 결과 NULL == 0 (False))

 

 

🔑Analysis and results for obtaining the Flag DH{…}

---