[Dreamhack] Level 1: baby-Case

1. 문제

https://dreamhack.io/wargame/challenges/1401 

baby-Case

 

2. 해결 과정

(1) 코드 확인 

app.js와 ag.js 두가지 파일을 확인할 수 있었다. 

 
 
먼저 search() 함수에서는 leg값을 받아와 대문자로 변환한 뒤 words 배열에서 변환된 leg값과 일치하는 name을 가진 객체를 찾아 리턴해준다. 
/shop 경로에는 post 요청을 받아 body값에서 leg 값의 내용을 가져오고 FLAG 값과 비교한다. 

• leg의 값이 FLAG 인 경우, 403 + access denied
• FLAG가 아니라면 search함수를 통해서 words 배열에서 leg와 같은 객체를 찾아 리턴한다. 
• 이 모든 경우에 해당하지 않는다면 404 에러를 발생시킨다. 

const express = require("express")
const words = require("./ag")

const app = express()
const PORT = 3000
app.use(express.urlencoded({ extended: true }))

function search(words, leg) {
    return words.find(word => word.name === leg.toUpperCase())
}

app.get("/",(req, res)=>{
    return res.send("hi guest")
})

app.post("/shop",(req, res)=>{
    const leg = req.body.leg

    if (leg == 'FLAG'){
        return res.status(403).send("Access Denied")
    }

    const obj = search(words,leg)

    if (obj){
        return res.send(JSON.stringify(obj))
    }
    
    return res.status(404).send("Nothing")
})

app.listen(PORT,()=>{
    console.log(`[+] Started on ${PORT}`)
})

 
 
ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ
킹받는 단어 목록이 나온다. 
여기에 name값들을 보면 FLAG, DRAG 등이 존재한다. 

module.exports = [
    {
        "id": 1,
        "name": "FLAG",
        "description": "DH{fake_flag}"
    },
    {
        "id": 2,
        "name": "DRAG",
        "description": "To pull something along forcefully, often on the ground or another surface, causing friction or resistance. It also refers to the delay in performance or response time."
    },
    {
        "id": 3,
        "name": "SLAG",
        "description": "The waste material produced by the smelting process, which involves separating metal from its ore. Slag is typically a mixture of metal oxides and silicon dioxide."
    },
    {
        "id": 4,
        "name": "SWAG",
        "description": "Refers to stylish confidence in one's appearance or demeanor. It can also mean promotional goods or items given away for free as a form of advertising."
    }
]

 

(2) 익스플로잇

postman을 통해 leg값이 flag인 post 요청을 보내보았다. 
내 예상과 달리 403 forbidden이 뜨는 것을 확인할 수 있었다. 

 
그 이유는 nginx.conf 파일을 확인해보면 /shop, /shop/ 에 대한 모든 요청이 deny되도록 설정되어있기 때문이다.
따라서 이를 우회해서 post 요청을 보내야 한다. 

events {
    worker_connections  1024;
}

http {
    server {
        listen 80;
        listen [::]:80;
        server_name  _;
        
        location = /shop {
            deny all;
        }

        location = /shop/ {
            deny all;
        }

        location / {
            proxy_pass http://app:3000/;
        }

    }

}

 
403 forbidden 우회를 구글링하여 대소문자를 이용해서 우회하는 방법을 알게 되었다. 

대소문자를 이용해 우회할 수도 있습니다. 보통 Application 서버와 WAS 간의 처리 방식 차이로 발생하며 WAS에서 정규식 기반으로 차단하는 경우 이 케이스가 발생할 가능성이 높습니다.
[출처] https://www.hahwul.com/2021/10/08/bypass-403/

 
따라서 post 요청을 /shop이 아닌 /SHOP으로 요청을 보내보았더니 플래그를 확인할 수 있었다.