[Dreamhack] Level 2: Dream Gallery

1. 문제 

https://dreamhack.io/wargame/challenges/552

Dream Gallery

 

2. 해결 과정

/ -> /view로 리다이렉트 된다. 

/view에서는 mini_database 리스트에 포함되어 있는 이미지를 보여준다. 

@app.route('/')
def index():
    return redirect(url_for('view'))


@app.route('/view')
def view():
    return render_template('view.html', img_list=mini_database)

 

/request 페이지에서는 url을 입력받아 GET요청을 보내고 응답을 받는다. 

이때 이미지의 url에 공백이 있거나 (''), "file://"로 시작하거나  flag라는 문자열이 포함될 경우 해당 요청을 처리하지 않는다.  즉, 서버의 파일 시스템에 접근하려는 시도를 필터링한다. 

file:// — Accessing local filesystem
https://mnzy.tistory.com/128

정상적으로 처리될 경우 url을 읽어와 이미지를 data에 저장한 뒤 base64로 인코딩하여 mini_database라는 리스트에 title을 키로, 인코딩된 데이터를 값으로 저장한다. (title: 인코딩 데이터)

문제에서 '외부로 요청하는 기능이 안전한 건지 모르겠다고 하네요...' 라고 하였다.

즉, 필터링을 우회하여 LFI 공격을 수행할 수 있을 것이라고 예상할 수 있다. 

@app.route('/request')
def url_request():
    url = request.args.get('url', '').lower()
    title = request.args.get('title', '')
    if url == '' or url.startswith("file://") or "flag" in url or title == '':
        return render_template('request.html')

    try:
        data = urlopen(url).read()
        mini_database.append({title: base64.b64encode(data).decode('utf-8')})
        return redirect(url_for('view'))
    except:
        return render_template("request.html")

 

/upload 페이지에서는 파일을 POST 요청으로 입력하여 업로드하는 함수를 실행한다. 

폼 데이터에서 file 필드를 가져와 변수 f에 저장하고 title 필드를 가져와 변수 title에 저장한다.

만약 title이 공백이거나 file이 존재하지 않으면 요청을 처리하지 않는다. 

정상적인 업로드 일 경우, 파일 내용을 읽어 base64로 인코딩하고, 이를 문자열로 변환하여 제목을 키로, 인코딩된 파일 데이터를 값으로 하는 사전을 mini_database 리스트에 추가한다. 

@app.route('/upload', methods=['GET', 'POST'])
def upload():
    if request.method == 'POST':
        f = request.files['file']
        title = request.form.get('title', '')
        if not f or title == '':
            return render_template('upload.html')

        en_data = base64.b64encode(f.read()).decode('utf-8')
        mini_database.append({title: en_data})
        return redirect(url_for('view'))
    else:
        return render_template('upload.html')

 

 

먼저 url로 get 요청을 보내고 응답 값으로 이미지를 저장하는 request 페이지를 익스플로잇해볼 것이다. 

따라서 아래와 같은 요청을 보낼 수 있다. 

file:// 이 통째로 필터링을 하고 있으므로, /을 하나만 입력하고, flag 문자열에 대해서는 url 인코딩을 통해 (f = %66) 필터링을 우회한다. 

 

이후 hi라는 이름의 이미지가 삽입된 것을 확인할 수 있다. 

 

개발자 도구에서 html 코드를 보면 base64로 인코딩된 값을 확인할 수 있다. 

 

디코딩하면 플래그 획득 성공