[Dreamhack/드림핵] csrf-1

Hacking (CTF)/웹 해킹

[Dreamhack/드림핵] csrf-1

gapsoo 2023. 11. 10. 23:20

https://dreamhack.io/wargame/challenges/26

csrf-1

여러 기능과 입력받은 URL을 확인하는 봇이 구현된 서비스입니다. CSRF 취약점을 이용해 플래그를 획득하세요. 문제 수정 내역 2023.07.18 css, html 제공 및 read_url() 코드 일부가 변경되었습니다. Referen

dreamhack.io

[1] 문제 분석

# 문제 페이지 분석

(1) 초기 화면 (Home)

(1) /vuln(csrf) page

script 가 *로 치환되어있다.

/script는 제거되었다.

소스 코드에서는 알아낼 수 있는 것이 없었다.

(2) /memo

URL을 보면 /memo 페이지에서 memo 파라미터로 hello를 받아들여서 페이지 화면에 출력하는 것을 알 수 있다.

즉 ?memo= 다음에 hi를 입력하면,

이렇게 반영이 된다.

그리고 페이지를 다시 들어갈 때마다 이전에 출력되었던 문자열 옆 "hello"가 추가되어서 출력된다.

(3) /notice flag 페이지

주소는 /admin/notice_flag 이고 "Access Denied"라는 문구가 출력되었다.

소스코드를 확인해도 알 수 있는 것이 없었다.

(4) /flag 페이지

이전에 풀었던 드림핵의 xss 문제들에서 봤던 것처럼

/vuln페이지의 "param" 매개변수에 값을 넣어서 제출할 수 있도록 하는 형식으로 구성되어 있다.

아래에서 소스코드를 살펴보도록 하겠다.

<!doctype html>
<html>
  <head>
    <link rel="stylesheet" href="/static/css/bootstrap.min.css">
    <link rel="stylesheet" href="/static/css/bootstrap-theme.min.css">
    <link rel="stylesheet" href="/static/css/non-responsive.css">
    <title>Index CSRF-1</title>
    
  
  <style type="text/css">
    .important { color: #336699; }
  </style>

  </head>
<body>

    <!-- Fixed navbar -->
    <nav class="navbar navbar-default navbar-fixed-top">
      <div class="container">
        <div class="navbar-header">
          <a class="navbar-brand" href="/">CSRF-1</a>
        </div>
        <div id="navbar">
          <ul class="nav navbar-nav">
            <li><a href="/">Home</a></li>
          </ul>

          <ul class="nav navbar-nav navbar-right">
          </ul>

        </div><!--/.nav-collapse -->
      </div>
    </nav>

    <div class="container">
      
  <form method="POST">
    http://127.0.0.1:8000/vuln?param=<input type="text" name="param"/><br/>
    <input type="submit"/><br/>
  </form>

    </div> <!-- /container -->

    <!-- Bootstrap core JavaScript -->
    <script src="/static/js/jquery.min.js"></script>
    <script src="/static/js/bootstrap.min.js"></script> 
</body>
</html>

다른 눈에 띄는 부분은 딱히 없고...

POST 방식으로 빈칸에 입력한 값을 param으로 받아들여 제출하게 되는 폼을 사용하는 것을 알 수 있다.

크게 알아낸 것이 없었다.

그렇다면 이제 다운로드한 문제 파일을 살펴보겠다.

# 다운로드한 문제 파일 분석

⚙️ app.py

#!/usr/bin/python3
from flask import Flask, request, render_template
from selenium import webdriver
from selenium.webdriver.chrome.service import Service
import urllib
import os

app = Flask(__name__)
app.secret_key = os.urandom(32)

try:
    FLAG = open("./flag.txt", "r").read()
except:
    FLAG = "[**FLAG**]"


def read_url(url, cookie={"name": "name", "value": "value"}):
    cookie.update({"domain": "127.0.0.1"})
    try:
        service = Service(executable_path="/chromedriver")
        options = webdriver.ChromeOptions()
        for _ in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(_)
        driver = webdriver.Chrome(service=service, options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)
        driver.get("http://127.0.0.1:8000/")
        driver.add_cookie(cookie)
        driver.get(url)
    except Exception as e:
        driver.quit()
        print(str(e))
        # return str(e)
        return False
    driver.quit()
    return True


def check_csrf(param, cookie={"name": "name", "value": "value"}):
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    return read_url(url, cookie)


@app.route("/")
def index():
    return render_template("index.html")


@app.route("/vuln")
def vuln():
    param = request.args.get("param", "").lower()
    xss_filter = ["frame", "script", "on"]
    for _ in xss_filter:
        param = param.replace(_, "*")
    return param


@app.route("/flag", methods=["GET", "POST"])
def flag():
    if request.method == "GET":
        return render_template("flag.html")
    elif request.method == "POST":
        param = request.form.get("param", "")
        if not check_csrf(param):
            return '<script>alert("wrong??");history.go(-1);</script>'

        return '<script>alert("good");history.go(-1);</script>'


memo_text = ""


@app.route("/memo")
def memo():
    global memo_text
    text = request.args.get("memo", None)
    if text:
        memo_text += text
    return render_template("memo.html", memo=memo_text)


@app.route("/admin/notice_flag")
def admin_notice_flag():
    global memo_text
    if request.remote_addr != "127.0.0.1":
        return "Access Denied"
    if request.args.get("userid", "") != "admin":
        return "Access Denied 2"
    memo_text += f"[Notice] flag is {FLAG}\n"
    return "Ok"


app.run(host="0.0.0.0", port=8000)

def read_url(url, cookie={"name": "name", "value": "value"}):

def read_url(url, cookie={"name": "name", "value": "value"}):
    # 기본 쿠키에 도메인 정보 추가
    cookie.update({"domain": "127.0.0.1"})
    
    try:
        # Chrome 웹 드라이버 설정
        service = Service(executable_path="/chromedriver")
        options = webdriver.ChromeOptions()
        
        # Chrome 옵션 설정
        for _ in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(_)
        
        # 웹 드라이버 생성 및 설정
        driver = webdriver.Chrome(service=service, options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)
        
        # 첫 번째 페이지로 이동
        driver.get("http://127.0.0.1:8000/")
        
        # 쿠키 추가
        driver.add_cookie(cookie)
        
        # 주어진 URL로 이동
        driver.get(url)
        
    except Exception as e:
        # 오류 발생 시 드라이버 종료 및 오류 출력
        driver.quit()
        print(str(e))
        return False
    
    # 정상적으로 실행되면 드라이버 종료 및 성공 반환
    driver.quit()
    return True

음... 아직은 이 부분에서 무언가를 알아차릴 수는 없었다.

def check_csrf(param, cookie={"name": "name", "value": "value"}):

def check_csrf(param, cookie={"name": "name", "value": "value"}):
    # CSRF 공격을 시뮬레이션하기 위해 URL을 생성
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    
    # 생성된 URL에 대한 요청을 보내고 결과를 반환
    return read_url(url, cookie)

이 코드의 목적은 CSRF 공격을 검사한다.

1. 'urllib.parse.quote(param)' 을 통해 param 값을 URL에 안전하게 포함시킨다. 이 함수는 URL에 사용될 수 없는 문자를 적절한 형태로 인코딩한다.

(구체적으로 공백을 '%20', URL에서 사용되면서 특별한 의미를 갖는 문자들을 %다음에 두 자리 16진수로 변환한다고 한다. )

2. url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}" 부분에서, 시뮬레이션된 CSRF 공격을 수행하기 위해, "http://127.0.0.1:8000/vuln" 경로로 요청을 보내는 URL을 생성한다. param은 urllib.parse.quote를 사용하여 안전하게 인코딩되어 포함된다.

(이 부분이 이해가 잘 가지 않았다...)

3. return read_url(url, cookie): 생성된 URL에 대한 요청을 read_url 함수에게 위임하고, 해당 함수에서의 결과를 반환한다.

@app.route("/vuln")

이 부분은 /vuln 페이지에 대한 요청을 처리한다.

기능 설명:

1. "param" 파라미터 값을 가져와서 소문자로 변환한 후 "param"에 저장하고, 만약 "param"이라는 이름의 쿼리 파라미터가 없으면 빈 문자열을 기본값으로 사용한다.

2. xss_filter 라는 리스트에 "frame", "script", "on"이라는 문자열을 포함시킨다.

3. xss_filter에 있는 각 문자열을 param에서 "*"로 대체한다.

4. 'return param'을 통해 처리된 param 값을 반환한다.

>> xss 공격을 방지하는 부분으로 "frame", "script", "on"을 "*"로 대체하며 필터링해준다.

@app.route("/flag", methods=["GET", "POST"])

"/flag" 페이지에 대한 GET 및 POST 요청을 처리하는 함수를 정의하는 부분이다.

주로 GET 요청 시에는 "flag.html"을 렌더링하여 클라이언트에게 보여주고,

POST 요청 시에는 chech_csrf 함수를 사용하여 CSRF 검증을 수행하고 그 결과에 따라 다른 응답을 반환하는 용도로 사용된다.

@app.route("/memo")

이 코드는 사용자가 "/memo" 페이지로 요청을 보내면,

요청에 포함된 "memo"라는 파라미터 값을 memo_text에 덧붙이고,

그 결과를 "memo.html" 템플릿을 사용하여 클라이언트에게 반환한다.

>> 사용자가 메모를 추가하고 그 내용을 시각적으로 확인할 수 있게 한다.

@app.route("/admin/notice_flag")

1. 클라이언트의 IP 주소가 "127.0.0.1"(로컬호스트)이 아닌 경우, "Access Denied"을 반환한다.

2. 요청의 파라미터 중 "userid"가 "admin"이 아닌 경우, "Access Denied 2"를 반환한다.

이는 호출자가 특정 사용자 ID("admin")를 가지고 있어야만 함수를 호출할 수 있도록 한다.

3. 함수가 호출되면, memo_text에 문자열 "[Notice] flag is {FLAG}"를 추가한다.

[2] 공격 실행

"on", "frame", "script"를 사용해서 공격할 수 없으므로,

문자열 치환 방식이나, 중간에 %00을 삽입하는 방식을 사용해보았는데 공격이 되지 않아서

(xss 공격 문제가 아니라서 이 방향은 아닌 것 같기도 했다.)

그냥 '<img src=~' 를 사용해서 불러오는 것으로 하려고 했다.

그런데 문제 파일을 받아서 분석해보아도 어떻게 공격해야 하는지 감이 오지 않았다.

IP주소가 "127.0.0.1"(로컬호스트)가 아니면 /notice_flag 페이지에서 Access Denied를 반환하는 것을 어떻게 해결해야 할지 모르겠어서 다른 사람의 풀이를 찾아보았다.

이 문제의 이름이 "csrf-1"인 만큼, xss 공격과 crsf 공격의 차이점을 먼저 짚고 가자면

xss 공격은 공격자가 악의적인 스크립트를 웹 페이지에 삽입하는 공격이며 클라이언트에서 실행되고
csrf 공격은 공격자가 피해자의 인증된 세션을 이용하여 웹 서버에 악의적인 요청을 보내는 공격이며 서버에서 실행된다.

위에서 문제 파일 분석을 할 때,

/notice_flag 경로에서

1. 로컬호스트로 접근하는 경우

2. ?userid=admin인 경우 flag 값을 얻기 위한 경로로 접근이 가능했기 때문에

1. /flag 페이지를 통해 /vuln에 요청을 보내는 폼을 제출하며

2. <img src="/admin/notice_flag?userid=admin" /> 를 입력해주면 된다고 한다.

문제 풀이 완료!

[3] 참고

https://goldsony.tistory.com/261

[웹 해킹] Dreamhack csrf-1(Level 1)

#261 1. 개요 워게임 명 : csrf-1 난이도 : Level 1 관련 개념 : Javascript, CSRF, Cookie 문제 : CSRF 취약점을 이용하여 FLAG 값 획득 * XSS와 CSRF의 차이점 - XSS : 공격자가 악의적인 스크립트를 웹 페이지에 삽입

goldsony.tistory.com

[4] 느낀 점

1. 왜 이게 crsf 공격인지 잘 이해되지 않는다.

2. 특히 로컬호스트로 접근하는 것이 아니면 안 된다고 했는데, 내가 이해한 바로는 ?userid=admin 조건만 충족시킨 것 같이 느껴졌다.

문제가 개정된지 얼마되지 않아서 구글링을 해도 정보가 많이 남아있지 않아 궁금증을 해결하지 못해 아쉬웠다...

학회 문제 풀이시간에 질문해야 겠다!

저작자표시 비영리 동일조건 (새창열림)

'Hacking (CTF) > 웹 해킹' 카테고리의 다른 글

[Dreamhack/드림핵] baby-linux (0)	2023.11.16
[Dreamhack/드림핵] csrf-2 (1)	2023.11.11
[Dreamhack/드림핵] XSS Filtering Bypass (0)	2023.11.10
[webhacking.kr] Challenge old-23 (0)	2023.11.09
[Dreamhack/드림핵] xss-2 (0)	2023.11.06

현재글[Dreamhack/드림핵] csrf-1

great minds think alike

C, c언어, Unity, 알고리즘, 피연산자, 변수, 함수, 자료형, 유니티, 조건문, 배열, 파이썬, c#, 슈팅게임, 나눗셈, 연산자, 3d, 반복문, 백준, 프로그래머스,

Today :
Yesterday :

great minds think alike