[Dreamhack] csrf-2 문제 풀이

 

여러 기능과 입력받은 URL을 확인하는 서비스를 제공해주므로 웹 해킹 문제로 접근한다.

 

• vuln(csrf) page

@app.route("/vuln")
def vuln():
    param = request.args.get("param", "").lower()
    xss_filter = ["frame", "script", "on"]
    for _ in xss_filter:
        param = param.replace(_, "*")
    return param

 

xss 공격을 방지하기 위해 frame, script, on 태그를 *로 필터링한 param를 return해주는 페이지이다.

 

• flag

 

@app.route("/flag", methods=["GET", "POST"])
def flag():
    if request.method == "GET":
        return render_template("flag.html")
    elif request.method == "POST":
        param = request.form.get("param", "")
        session_id = os.urandom(16).hex()
        session_storage[session_id] = 'admin'
        if not check_csrf(param, {"name":"sessionid", "value": session_id}):
            return '<script>alert("wrong??");history.go(-1);</script>'

        return '<script>alert("good");history.go(-1);</script>'

 

GET, POST 방식의 HTTP request가 있고, 사용자가 입력한 param값을 check_csrf 메소드에 넘겨준다.

추가적으로, session_id의 값을 랜덤 16진수로 저장하고 이 값을 seesion_storage 배열에서 찾으면 값이 admin임을 알 수 있다. check_csrf 값이 존재하면 good이라는 alert가 출력된다.

def check_csrf(param, cookie={"name": "name", "value": "value"}):
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    return read_url(url, cookie)

 

앞서 전달받은 param을 url 인코딩으로 변환하여 cookie와 함께 read_url을 호출한다.

 

def read_url(url, cookie={"name": "name", "value": "value"}):
    cookie.update({"domain": "127.0.0.1"})
    try:
        service = Service(executable_path="/chromedriver")
        options = webdriver.ChromeOptions()
        for _ in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(_)
        driver = webdriver.Chrome(service=service, options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)
        driver.get("http://127.0.0.1:8000/")
        driver.add_cookie(cookie)
        driver.get(url)
    except Exception as e:
        driver.quit()
        print(str(e))
        # return str(e)
        return False
    driver.quit()
    return True

 

전달받은 cookie의 domain을 127.0.0.1로 update한다.

url값이 존재하야 True를 리턴한다.

 

• login

@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'GET':
        return render_template('login.html')
    elif request.method == 'POST':
        username = request.form.get('username')
        password = request.form.get('password')
        try:
            pw = users[username]
        except:
            return '<script>alert("not found user");history.go(-1);</script>'
        if pw == password:
            resp = make_response(redirect(url_for('index')) )
            session_id = os.urandom(8).hex()
            session_storage[session_id] = username
            resp.set_cookie('sessionid', session_id)
            return resp 
        return '<script>alert("wrong password");history.go(-1);</script>'

 

GET과 POST방식의 HTTP request가 있고, POST 방식으로 request를 보낼 때, users[username] 값을 pw에 저장하고 이 값이 password과 일치하면 응답 패킷을 보내고, 랜덤한 sessionid에 대하여 username값을 session_storage[session_id]에 대입한다.

 

추가적으로, change_password 엔드 포인트를 분석해보자.

@app.route("/change_password")
def change_password():
    pw = request.args.get("pw", "")
    session_id = request.cookies.get('sessionid', None)
    try:
        username = session_storage[session_id]
    except KeyError:
        return render_template('index.html', text='please login')

    users[username] = pw
    return 'Done'

 

사용자가 pw값을 입력해서 pw에 저장하고, cookie로부터 session_id 값을 얻고 이 값을 통해 username에 대입하여 pw값을 users[username] 에 저장한다. password를 바꾸는 로직이다.

이 로직의 취약점을 이용하여 admin계정으로 접근하고 비밀번호를 임의로 바꿔서 login하면 flag을 얻을 수 있을 것으로 보인다.

 

 

 

flag 엔드 포인트에서 아래와 같이 param를 입력해보자.

http://127.0.0.1:8000/vuln?param=<img src="/change_password?pw=1234">

 

 

이제 admin계정의 password를 1234로 변경했으니 이를 이용하여 login해보자.