[Dreamhack] Level 2: youth-Case

1. 문제 

https://dreamhack.io/wargame/challenges/1402

youth-Case

2. 해결 과정 

(1) 코드 분석 

전에 푼 baby-case 문제의 업그레이드 버전이다.

2024.08.19 - [CTF, War game] - [Dreamhack] Level 1: baby-Case

 

코드는 전체적인 기능은 동일하고 , app.set('case sensitive routing', true) 설정을 통해 대소문자를 구분하여 처리하게 된다. (대소문자를 이용한 우회 불가능)

또한 요청에서 leg의 값을 받아올 때 소문자로 반환하여 받아오고 이 값이 flag라면 access denied를 띄운다.

words에서 문자열을 찾을 때 name의 값은 leg를 모두 대문자로 바꾼 것과 비교한다. 

즉, 이전 baby-case 문제에서는 대소문자를 통한 우회(SHOP / flag)가 가능했지만 이 문제에서는 이 방법이 먹히지 않는다. 

const words = require("./ag")
const express = require("express")

const PORT = 3000
const app = express()
app.set('case sensitive routing', true)
app.use(express.urlencoded({ extended: true }))

function search(words, leg) {
    return words.find(word => word.name === leg.toUpperCase())
}

app.get("/",(req, res)=>{
    return res.send("hi guest")
})

app.post("/shop",(req, res)=>{
    const leg = req.body.leg.toLowerCase()

    if (leg == 'flag'){
        return res.status(403).send("Access Denied")
    }

    const obj = search(words,leg)

    if (obj){
        return res.send(JSON.stringify(obj))
    }

    return res.status(404).send("Nothing")
})

app.listen(PORT,()=>{
    console.log(`[+] Started on ${PORT}`)
})

 

하지만 POST 요청 자체는 다른 우회 방법이 많다. 

오류메시지와 도커 파일에서 NGINX 버전이 1.22.0이라는 것을 알 수 있으므로 적절한 우회법을 찾아 요청을 보내줄 것이다. 

우회를 방지하기 위해 Nginx는 경로를 확인하기 전에 경로 정규화를 수행합니다. 그러나 백엔드 서버가 다른 정규화(nginx가 제거하지 않는 문자 제거)를 수행하는 경우 이 방어를 우회할 수 있습니다.

[참고] https://book.hacktricks.xyz/pentesting-web/proxy-waf-protections-bypass

\xA0는 postman을 통해서 요청을 보내면 삭제되지 않고 그대로 요청이 가서  다른 방법을 찾아보았다. (왜일까요아는 분이 있다면 제발 저에게 이유를 알려주세요..)

 

따라서 burp suite를 통해서 /shop\xa0으로 post 요청을 보낼 것이다. 

flag에 대한 우회는 toLowerCase()에 대한 결과와 flag를 비교하고 toUpperCase()의 결과와 FLAG를 비교한다.

이때, 튀르키에어를 이용하면 대소문자에 대한 비교 우회를 진행할 수 있다는 것을 알게 되었다. 

[참고] https://lovflag.tistory.com/58

 

i에 대한 내용만 알고 있었는데, flag에 대한 우회 또한 fl을 통해서 가능하다. 

https://dev.to/jagracey/hacking-github-s-auth-with-unicode-s-turkish-dotless-i-460n

 

(2) 익스플로잇

따라서 아래와 같이 요청을 보내주면 플래그가 출력된다.