[Dreamhack] Level 2: file-csp-1

1. 문제

https://dreamhack.io/wargame/challenges/36

file-csp-1

2. 해결 과정

코드를 확인해보면, verify 부분의 코드가 중요해보인다.

@APP.route('/verify', methods=['GET', 'POST'])
def verify_csp():
    global CSP
    if request.method == 'POST':
        csp = request.form.get('csp')
        try:
            options = webdriver.ChromeOptions()
            for _ in ['headless', 'window-size=1920x1080', 'disable-gpu', 'no-sandbox', 'disable-dev-shm-usage']:
                options.add_argument(_)
            driver = webdriver.Chrome('/chromedriver', options=options)
            driver.implicitly_wait(3)
            driver.set_page_load_timeout(3)
            driver.get(f'http://localhost:8000/live?csp={quote(csp)}')
            try:
                a = driver.execute_script('return a()');
            except:
                a = 'error'
            try:
                b = driver.execute_script('return b()');
            except:
                b = 'error'
            try:
                c = driver.execute_script('return c()');
            except Exception as e:
                c = 'error'
                c = e
            try:
                d = driver.execute_script('return $(document)');
            except:
                d = 'error'

            if a == 'error' and b == 'error' and c == 'c' and d != 'error':
                return FLAG

            return f'Try again!, {a}, {b}, {c}, {d}'
        except Exception as e:
            return f'An error occured!, {e}'

    return render_template('verify.html')

 

csp 정책은 form에 입력된 그대로 정해진다. 

if문을 보면, a와 b에서는 에러(block)가 발생해야 하고, c는 'c'가 리턴되어야 하고, d는 에러가 발생하면 안된다(= document 허용). 

 

a,b,c,d는 코드상에서 확인했을 때에는 아래와 같다. 

a = driver.execute_script('return a()');
b = driver.execute_script('return b()');
c = driver.execute_script('return c()');
d = driver.execute_script('return $(document)');

 

문제 페이지에 접속해 Test CSP 페이지를 들어가보니, CSP 정책을 입력하라는 form이 보였다. 

 

미리보기로 보이는 내용과 동일하게 입력했더니 c를 제외하고 block되었다. d는 보이지 않는다. 

script-src 'unsafe-inline' 는 자바스크립트 코드(e.g. <script>...</script> 태그 내의 코드)의 실행을 허용하는 것이다. 

1) script-src '' (적절한 csp 입력 X)

f12로 개발자모드를 켜서 콘솔과 코드를 확인해보면 아래와 같다. 

 

콘솔창을 보면 순서대로, a, b, d, c 의 에러 메시지인 것을 알 수 있다. 

 

우리는 a와 b에서는 에러(block)가 발생해야 하고, c는 'c'가 리턴되어야 하고, d는 에러가 발생하면 안된다. 

이때, b와 c가 동일하게 nonce값으로 설정이 되어 있으므로 c와 d가 같이 있는 스크립트 해시값을 이용할 수 있다. 

script-src 'sha256-<해시값> 형태로 입력해주면 된다. 

script-src 'sha256-l1OSKODPRVBa1/91J7WfPisrJ6WCxCRnKFzXaOkpsY4='

 

이제 document만 allow하면 된다. 콘솔창에 보이는 jqeury의 url을 허용하도록 지정해줄 것이다. 

뒤에 추가하기만 하면 된다. 

 

script-src 'sha256-l1OSKODPRVBa1/91J7WfPisrJ6WCxCRnKFzXaOkpsY4=' 'https://code.jquery.com/jquery-3.4.1.slim.min.js' 

 -> url에 '' 붙이면 안됨 (실패)

 

script-src 'sha256-l1OSKODPRVBa1/91J7WfPisrJ6WCxCRnKFzXaOkpsY4=' https://code.jquery.com/jquery-3.4.1.slim.min.js

 

성공