Dreamhack - 워게임, pathtraversal

https://dreamhack.io/wargame/challenges/12/

pathtraversal

 

 

 

문제에서 제공하는 소스코드를 먼저 분석

 

 

사용자는 /get_info 페이지에서 입력란에다 유저의 이름을 넣으면, 

서버가 /api/user/{userid}로 GET 요청을 하여, 사용자 정보를 JSON 형식으로 가져오는 것임.

 

 

이때 userid는 위에 전역 변수로 정의된 users 딕셔너리를 참조한다. 

0을 넣으면 guest에 대한 정보 출력

1을 넣으면 admin에 대한 정보 출력

 

 

노려야할 부분은 바로 아래에 /api/flag 부분

저부분은 서버가 직접 로컬에서만 접속을 하도록 설정이 되어있어서(@internal_api)

내 브라우저로 접속을 하면 권한이 없다고 경고가 나온다.

 

즉 서버 자기 자신이 저 경로로 요청을 하도록 만들어야 하는 것이 이 문제의 핵심

 

 

 

그래서 방금 전 /get_info 부분에 서버가 requests를 하는 곳의 파라미터로

"../flag"를 줘보았다. 

 

 

하지만 요청을 하면 빈 값만 출력이 된다. 

 

이는 클라이언트 영역에 자바스크립트가 미리 정의된 사용자의 이름을 입력받아

그 유저의 고유번호로 치환을 시켜 서버에게 전달을 하기 때문이다. 

 

 

이는 개발자 도구를 통해 확인이 가능하다. 

보시다시피 users의 딕셔너리를 참조해서 guest를 넣을 경우엔 0을 반환하고,

admin을 넣으면 1을 반환한다. 

 

저부분을 수정하면 우리가 원하는 flag 값을 손에 넣을 수 있다. 

 

 

수정 방법은 개발자 도구에서 Console 탭으로 가서 

users['guest'] = "../flag"를 입력하는 것이다. 

귀찮게 프록시를 켜줄 필요는 없다. 

 

 

 

 

 

이제 수정을 해주고 다시 guest를 입력해보면? 

 

 

 

flag 값이 잘 나온다.