choiys

[Codegate 2018 Qualifier] Web – rbSql

Choiys — Sat, 16 Feb 2019 11:28:02 +0900

[Codegate 2018] WEB – rbSql

해당 문제는 소스를 공개하는 오픈소스 형태의 문제입니다. 가장 먼저 문제 페이지에 접속해보면..

ㅗㅜㅑ… 익숙한 페이지가 눈 앞에 나타납니다. 최근 몇년간의 국내 CTF를 참가해 웹 분야의 문제를 풀어보았다면 많이 봤을 크리스탈입니다. 딱 봤을 때 있는 기능이라면 Photo와 M/V가 있으며, Join과 Login 기능이 존재합니다. 문제 이름에 SQL이 들어가기 때문에 SQL Injection이라고 생각되지만, 자세한 것은 소스코드를 확인해봐야 알 것 같습니다.

문제 설명에 첨부되어있는 파일을 다운받아 압축을 해제하면 크게 두가지 메인 소스코드로 나뉘어져 있다는 것을 알 수 있습니다.

index.php와 dbconn.php입니다.

일반적으로 dbconn.php에는 해당 웹서버에서 사용하고 있는 데이터베이스에 대한 설정(아이디, 패스워드, 호스트, 포트, 사용할 DB명 등)을 담고 다른 페이지에서 import하여 사용하는 형태이지만, 이 문제는 달랐습니다. rbSql이라는 제목이 허투루 나온 것이 아니라 출제자 본인이 직접 생각하여 구현한 데이터베이스 형태인 것 같습니다. dbconn.php 내에는 저장할 데이터에 대한 파싱 방법, 패킹 방법, 그리고 데이터를 삽입/삭제/조회할 수 있는 기능들을 구현해 놓았습니다.

다음은 index.php와 dbconn.php의 소스코드입니다.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
<?php
  session_start();
  include("5f0c2baaa2c0426eed9a958e3fe0ff94.php");
  $page = $_GET['page'];
  if($page == "login"){
?>
    <h3>Login</h3>
    <p>
      <form action="./?page=login_chk" method="POST">
      <table>
      <tr><td>ID</td><td><input type="text" name="uid" id="uid"></td>
      <td rowspan="3"><img src="./images/login.jpg" width="270" style="margin-left: 20px; margin-top: -38px; position:fixed;"></td></tr>
      <tr><td>PW</td><td colspan="2"><input type="text" name="upw" id="upw"></td></tr>
      <tr><td colspan="2"><input type="submit" value="Login" style="width: 100%;"></td></tr>
      </table>
      </form>
    </p>
<?php
  }
  elseif($page == "join"){
?>
    <h3>Join</h3>
    <p>
      <form action="./?page=join_chk" method="POST">
      <table>
      <tr><td>ID</td><td><input type="text" name="uid" id="uid"></td>
      <td rowspan="3"><img src="./images/login.jpg" width="270" style="margin-left: 20px; margin-top: -38px; position:fixed;"></td></tr>
      <tr><td>MAIL</td><td colspan="2"><input type="text" name="umail" id="uid"></td></tr>
      <tr><td>PW</td><td colspan="2"><input type="text" name="upw" id="upw"></td></tr>
      <tr><td colspan="2"><input type="submit" value="Join" style="width: 100%;"></td></tr>
      </table>
      </form>
    </p>
<?php
  }
  elseif($page == "login_chk"){
    $uid = $_POST['uid'];
    $upw = $_POST['upw'];
    if(($uid) && ($upw)){
      include "dbconn.php";
      $result = rbSql("select","member_".$uid,["pw",md5($upw)]);
      if(is_string($result)) error("login fail");
      $_SESSION['uid'] = $result['0'];
      $_SESSION['lvl'] = $result['4'];
      exit("<script>location.href='./';</script>");
    }
    else error("login fail");
  }      
  elseif($page == "join_chk"){
    $uid = $_POST['uid'];
    $umail = $_POST['umail'];
    $upw = $_POST['upw'];
    if(($uid) && ($upw) && ($umail)){
      if(strlen($uid) < 3) error("id too short");
      if(strlen($uid) > 16) error("id too long");
      if(!ctype_alnum($uid)) error("id must be alnum!");
      if(strlen($umail) > 256) error("email too long");
      include "dbconn.php";
      $upw = md5($upw);
      $uip = $_SERVER['REMOTE_ADDR'];
      if(rbGetPath("member_".$uid)) error("id already existed");
      $ret = rbSql("create","member_".$uid,["id","mail","pw","ip","lvl"]);
      if(is_string($ret)) error("error : create");
      $ret = rbSql("insert","member_".$uid,[$uid,$umail,$upw,$uip,"1"]);
      if(is_string($ret)) error("error : insert");
      exit("<script>location.href='./?page=login';</script>");
    }
    else error("join fail");
  }
  elseif($page == "photo"){
?>
    <h3>Photo</h3>
    <p><img src="./images/1.jpg" width="430"></p>
    <p><img src="./images/2.jpg" width="430"></p>
    <p><img src="./images/3.png" width="430"></p>
    <p><img src="./images/4.gif" width="430"></p>
<?php
  }      
  elseif($page == "video"){
?>
    <h3>Music Video</h3>
    <p><iframe width="520" height="293" src="//www.youtube.com/embed/iv-8-EgPEY0?rel=0" frameborder="0" allowfullscreen></iframe></p>
    <p><iframe width="520" height="293" src="//www.youtube.com/embed/xnku4o3tRB4?rel=0" frameborder="0" allowfullscreen></iframe></p>
    <p><iframe width="520" height="293" src="//www.youtube.com/embed/n8I8QGFA1oM?rel=0" frameborder="0" allowfullscreen></iframe></p>
    <p><iframe width="520" height="293" src="//www.youtube.com/embed/kKS12iGFyEA?rel=0" frameborder="0" allowfullscreen></iframe></p>
<?php
  }      
  elseif($page == "me"){
    echo "<p>uid : {$_SESSION['uid']}</p><p>level : ";
    if($_SESSION['lvl'] == 1) echo "Guest";
    elseif($_SESSION['lvl'] == 2) echo "Admin";
    echo "</p>";
    include "dbconn.php";
    $ret = rbSql("select","member_".$_SESSION['uid'],["id",$_SESSION['uid']]);
    echo "<p>mail : {$ret['1']}</p><p>ip : {$ret['3']}</p>";
    if($_SESSION['lvl'] === "2"){
      echo "<p>Flag : </p>";
      include "/flag";
      rbSql("delete","member_".$_SESSION['uid'],["id",$_SESSION['uid']]);
    }
  }
  elseif($page == "logout"){
    session_destroy();
    exit("<script>location.href='./';</script>");
  }
  else{
?>
    <h3>ㅋrystal :/</h3>
    <p><img src="./images/k_03.jpg" width="430" style="position:fixed;"></p>
<?php
  }
  include("4bbc327f5b0fd076e005961bcfc4a9ee.php");
?>

index.php

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
<?php
/*
Table[
  tablename, filepath
  [column],
  [row],
  [row],
  ...
rbSqlSchema[
  rbSqlSchema,/rbSqlSchema,
  ["tableName","filePath"],
  ["something","/rbSql_".substr(md5(rand(10000000,100000000)),0,16)]
]
*/
 
define("STR", chr(1), true);
define("ARR", chr(2), true);
define("SCHEMA", "../../rbSql/rbSqlSchema", true);
 
function rbSql($cmd,$table,$query){
	switch($cmd){
	case "create":
		$result = rbReadFile(SCHEMA);
		for($i=3;$i<count($result);$i++){
			if(strtolower($result[$i][0]) === strtolower($table)){
				return "Error6";
			}
		}
		$fileName = "../../rbSql/rbSql_".substr(md5(rand(10000000,100000000)),0,16);
		$result[$i] = array($table,$fileName);
		rbWriteFile(SCHEMA,$result);
		exec("touch {$fileName};chmod 666 {$fileName}");
		$content = array($table,$fileName,$query);
		rbWriteFile($fileName,$content);
		break;
 
	case "select":
		/*
		  Error1 : Command not found
		  Error2 : Column not found
		  Error3 : Value not found
		  Error4 : Table name not found
		  Error5 : Column count is different
		  Error6 : table name duplicate
		*/
		$filePath = rbGetPath($table);
		if(!$filePath) return "Error4";
		$result = rbReadFile($filePath);
		$whereColumn = $query[0];
		$whereValue = $query[1];
		$countRow = count($result) - 3;
		$chk = 0;
		for($i=0;$i<count($result[2]);$i++){
			if(strtolower($result[2][$i]) === strtolower($whereColumn)){
				$chk = 1;
				break;
			}
		}
		if($chk == 0) return "Error2";
		$chk = 0;
		for($j=0;$j<$countRow;$j++){
			if(strtolower($result[$j+3][$i]) === strtolower($whereValue)){
				$chk = 1;
				return $result[$j+3];
			}
		}
		if($chk == 0) return "Error3";
		break;
 
	case "insert":
		$filePath = rbGetPath($table);
		if(!$filePath) return "Error4";
		$result = rbReadFile($filePath);
		if(count($result[2]) != count($query)) return "Error5";
		$result[count($result)] = $query;
		rbWriteFile($filePath,$result);
		break;
 
	case "delete":
		$filePath = rbGetPath($table);
		if(!$filePath) return "Error4";
		$result = rbReadFile($filePath);
		$whereColumn = $query[0];
		$whereValue = $query[1];
		$countRow = count($result) - 3;
		$chk = 0;
		for($i=0;$i<count($result[2]);$i++){
			if(strtolower($result[2][$i]) === strtolower($whereColumn)){
				$chk = 1;
				break;
			}
		}
		if($chk == 0) return "Error2";
		$chk = 0;
		for($j=0;$j<$countRow;$j++){
			if(strtolower($result[$j+3][$i]) === strtolower($whereValue)){
				$chk = 1;
				unset($result[$j+3]);
			}
		}
		if($chk == 0) return "Error3";
		rbWriteFile($result[1],$result);
		break;
 
	default:
		return "Error1";
		break;
	}
}
 
function rbParse($rawData){
	$parsed = array();
	$idx = 0;
	$pointer = 0;
 
	while(strlen($rawData)>$pointer){
		if($rawData[$pointer] == STR){
			$pointer++;
			$length = ord($rawData[$pointer]);
			$pointer++;
			$parsed[$idx] = substr($rawData,$pointer,$length);
			$pointer += $length;
		}
		elseif($rawData[$pointer] == ARR){
			$pointer++;
			$arrayCount = ord($rawData[$pointer]);
			$pointer++;
			for($i=0;$i<$arrayCount;$i++){
				if(substr($rawData,$pointer,1) == ARR){
					$pointer++;
					$arrayCount2 = ord($rawData[$pointer]);
					$pointer++;
					for($j=0;$j<$arrayCount2;$j++){
						$pointer++;
						$length = ord($rawData[$pointer]);
						$pointer++;
						$parsed[$idx][$i][$j] = substr($rawData,$pointer,$length);
						$pointer += $length;
					}
				}
				else{
					$pointer++;
					$length = ord(substr($rawData,$pointer,1));
					$pointer++;
					$parsed[$idx][$i] = substr($rawData,$pointer,$length);
					$pointer += $length;
				}
			}
		}
		$idx++;
		if($idx > 2048) break;
	}
	return $parsed[0];
}
 
function rbPack($data){
	$rawData = "";
	if(is_string($data)){
		$rawData .= STR . chr(strlen($data)) . $data;
	}
	elseif(is_array($data)){
		$rawData .= ARR . chr(count($data));
		for($idx=0;$idx<count($data);$idx++) $rawData .= rbPack($data[$idx]);
	}
	return $rawData;
}
 
function rbGetPath($table){
	$schema = rbReadFile(SCHEMA);
	error($schema);
	for($i=3;$i<count($schema);$i++){
		if(strtolower($schema[$i][0]) == strtolower($table)) return $schema[$i][1];
	}
}
 
function rbReadFile($filePath){
	$opened = fopen($filePath, "r") or die("Unable to open file!");
	$content = fread($opened,filesize($filePath));
	fclose($opened);
	return rbParse($content);
}
 
function rbWriteFile($filePath,$fileContent){
	$opened = fopen($filePath, "w") or die("Unable to open file!");
	fwrite($opened,rbPack($fileContent));
	fclose($opened);
	clearstatcache();
}

dbconn.php

자. 그럼 이 두 소스 내에 존재하는 취약점을 이용해 플래그를 얻어내야 하는데요, index.php의 하단을 살펴보면 ‘lvl’ 세션이 2일 경우(Admin의 권한일 경우) 플래그를 출력하도록 되어있습니다.

1
2
3
4
5
    if($_SESSION['lvl'] === "2"){
      echo "<p>Flag : </p>";
      include "/flag";
      rbSql("delete","member_".$_SESSION['uid'],["id",$_SESSION['uid']]);
    }

flag routine in index.php

또한 출력한 이후 해당 멤버의 정보를 삭제하는 기능이 포함되어 있는 것으로 보아 insert injection의 기운이 느껴졌습니다. 하지만 이 문제는 일반적인 SQL이 아닌 rbSql입니다. 따라서 dbconn.php 내에 포함되어 있는 기능들을 분석하여 데이터 삽입 시 취약한 부분을 찾아내 익스플로잇을 해야겠죠.

rbSql의 구조는 간단합니다.

rbSqlSchema라는 메인 스키마 파일이 존재하며, 이 파일이 관리하는 서브테이블(멤버테이블)들이 존재합니다. 각 서브테이블에 있는 데이터를 얻기 위해서는 rbSqlSchema를 참조하여 멤버 이름에 해당하는 서브테이블을 찾아가 패킹된 데이터를 파싱해야 합니다. 이를 위해 dbconn.php를 분석해보죠.

dbconn.php 내에는 rbSql, rbParse, rbPack, rbGetPath, rbReadFile, rbWriteFile로 총 6개의 함수가 존재합니다. 우리가 원하는 것은 회원가입 시 취약한 파라미터에 untrusted input을 삽입해 멤버 권한(lvl)을 2로 만드는 것입니다.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
  elseif($page == "join_chk"){
    $uid = $_POST['uid'];
    $umail = $_POST['umail'];
    $upw = $_POST['upw'];
    if(($uid) && ($upw) && ($umail)){
      if(strlen($uid) < 3) error("id too short");
      if(strlen($uid) > 16) error("id too long");
      if(!ctype_alnum($uid)) error("id must be alnum!");
      if(strlen($umail) > 256) error("email too long");
      include "dbconn.php";
      $upw = md5($upw);
      $uip = $_SERVER['REMOTE_ADDR'];
      if(rbGetPath("member_".$uid)) error("id already existed");
      $ret = rbSql("create","member_".$uid,["id","mail","pw","ip","lvl"]);
      if(is_string($ret)) error("error : create");
      $ret = rbSql("insert","member_".$uid,[$uid,$umail,$upw,$uip,"1"]);
      if(is_string($ret)) error("error : insert");
      exit("<script>location.href='./?page=login';</script>");
    }
    else error("join fail");
  }

join_chk in index.php

index.php에서 회원가입을 수행하는 코드입니다. 전달 받는 파라미터는 uid와 umail, upw인데 uid의 경우 ctype_alnum 함수로 인해 알파벳과 숫자만을 입력받으며, upw의 경우 전달하기 전 이미 md5 hash 되기 때문에 공격 벡터로 적절하지 못합니다. 따라서 남은 파라미터는 umail이 될 것입니다.

회원가입 시 rbSql 함수의 create와 insert 기능을 수행하기 때문에 dbconn.php에서 이 부분을 집중적으로 확인해야합니다.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
	case "create":
		$result = rbReadFile(SCHEMA);
		for($i=3;$i<count($result);$i++){
			if(strtolower($result[$i][0]) === strtolower($table)){
				return "Error6";
			}
		}
		$fileName = "../../rbSql/rbSql_".substr(md5(rand(10000000,100000000)),0,16);
		$result[$i] = array($table,$fileName);
		rbWriteFile(SCHEMA,$result);
		exec("touch {$fileName};chmod 666 {$fileName}");
		$content = array($table,$fileName,$query);
		rbWriteFile($fileName,$content);
		break;

“create” of rbSql function in dbconn.php

create의 경우 SCHEMA 파일을 읽어온 후 3번째 데이터부터 현재 존재하는 서브테이블의 이름과 일치할 경우(멤버 이름 일치) 에러를 발생시킵니다. SCHEMA는 dbconn.php 상단부에 define 함수로 rbSqlSchema의 경로를 정의한 상수입니다. 이 부분을 통과하게 되면 새로운 서브테이블을 만들기 위해 rand 함수를 이용해 rbSql_[random value 16자리]의 파일명으로 서브테이블을 만들 준비를 하며, SCHEMA 파일에 해당 값을 입력합니다. 그리고 해당 파일을 생성 후 권한을 할당하고, index.php에서 전달받은 배열의 값을 서브테이블에 입력합니다.

1
2
3
4
5
6
7
8
	case "insert":
		$filePath = rbGetPath($table);
		if(!$filePath) return "Error4";
		$result = rbReadFile($filePath);
		if(count($result[2]) != count($query)) return "Error5";
		$result[count($result)] = $query;
		rbWriteFile($filePath,$result);
		break;

“insert” of rbSql function in dbconn.php

이후 uid, umail, upw, uip, lvl의 값을 insert 기능을 이용해 create에서 만든 서브테이블에 입력합니다.

그럼 rbSql에서 값을 쓰고, 읽어오는 부분을 확인해봐야겠죠. 먼저 rbWriteFile부터 살펴봅시다.

1
2
3
4
5
6
function rbWriteFile($filePath,$fileContent){
	$opened = fopen($filePath, "w") or die("Unable to open file!");
	fwrite($opened,rbPack($fileContent));
	fclose($opened);
	clearstatcache();
}

rbWriteFile function in dbconn.php

먼저 파일 경로에 있는 파일을 불러오고, rbPack 함수를 이용해 파일의 내용을 패킹한 후 해당 경로에 있는 파일에 저장합니다.

1
2
3
4
5
6
7
8
9
10
11
function rbPack($data){
	$rawData = "";
	if(is_string($data)){
		$rawData .= STR . chr(strlen($data)) . $data;
	}
	elseif(is_array($data)){
		$rawData .= ARR . chr(count($data));
		for($idx=0;$idx<count($data);$idx++) $rawData .= rbPack($data[$idx]);
	}
	return $rawData;
}

rbPack function in dbconn.php

데이터를 패킹하는 rbPack 함수의 구조는 간단합니다. 여기서 dbconn.php 상단부에서 정의한 STR과 ARR 상수가 사용되는데, 이는 각각 0x01, 0x02입니다.

1. 만약 데이터가 string일 경우 0x01, 길이, 데이터의 형태로 저장이 됩니다.

2. 만약 데이터가 array일 경우 0x02, 배열의 갯수, …의 형태로 저장이 됩니다. 이 때 rbPack 함수가 재귀적으로 호출되기 때문에 뒤따라오는 데이터가 string일 경우 1번으로 갈 것이고, array일 경우 다시 2번을 수행하겠죠.

저희는 이를 확인하기 위해 직접 서버를 구축하여 테스트를 진행하였습니다.

쉽게 그림으로 설명하자면 빨간색은 데이터 타입(0x01은 string, 0x02는 array), 초록색은 배열의 갯수, 주황색은 string의 길이, 노란색은 data가 될 것입니다.

그럼 다음으로 rbReadFile을 살펴보죠.

1
2
3
4
5
6
function rbReadFile($filePath){
	$opened = fopen($filePath, "r") or die("Unable to open file!");
	$content = fread($opened,filesize($filePath));
	fclose($opened);
	return rbParse($content);
}

rbReadFile function in dbconn.php

먼저 파일 경로에 있는 파일을 읽어온 후 rbParse 함수를 통해 데이터를 파싱합니다.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
function rbParse($rawData){
	$parsed = array();
	$idx = 0;
	$pointer = 0;
 
	while(strlen($rawData)>$pointer){
		if($rawData[$pointer] == STR){
			$pointer++;
			$length = ord($rawData[$pointer]);
			$pointer++;
			$parsed[$idx] = substr($rawData,$pointer,$length);
			$pointer += $length;
		}
		elseif($rawData[$pointer] == ARR){
			$pointer++;
			$arrayCount = ord($rawData[$pointer]);
			$pointer++;
			for($i=0;$i<$arrayCount;$i++){
				if(substr($rawData,$pointer,1) == ARR){
					$pointer++;
					$arrayCount2 = ord($rawData[$pointer]);
					$pointer++;
					for($j=0;$j<$arrayCount2;$j++){
						$pointer++;
						$length = ord($rawData[$pointer]);
						$pointer++;
						$parsed[$idx][$i][$j] = substr($rawData,$pointer,$length);
						$pointer += $length;
					}
				}
				else{
					$pointer++;
					$length = ord(substr($rawData,$pointer,1));
					$pointer++;
					$parsed[$idx][$i] = substr($rawData,$pointer,$length);
					$pointer += $length;
				}
			}
		}
		$idx++;
		if($idx > 2048) break;
	}
	return $parsed[0];
}

rbParse function in dbconn.php

rbParse 함수는 받아온 rawdata를 한 바이트씩 읽어들이는데, 여기서도 STR과 ARR이 사용됩니다.

만약 따라오는 데이터가 string일 경우 1의 값을 가지며 길이 값을 받아오고, 해당하는 길이만큼 parsed에 저장합니다.

string이 아닌 array일 경우 2의 값을 가지며 아래와 같은 프로세스를 가집니다.

1. 배열의 갯수 파싱

2-1. 이후 뒤따라오는 데이터가 또 다시 배열일 경우 해당하는 갯수만큼 string 값을 가져와 parsed에 저장(2차원 배열의 형태)

2-2. 이후 뒤따라오는 데이터가 string일 경우 해당하는 갯수만큼 string 값을 가져와 parsed에 저장(1차원 배열의 형태)

자, 익스플로잇에 필요한 메뉴 분석은 모두 끝마쳤습니다. 이제 이 정보를 이용해 umail 파라미터에 데이터를 삽입해 권한을 탈취해야합니다. 하지만 문제는 rbPack 함수의 내용을 토대로 생각해보면 아무리 umail 파라미터에 데이터를 삽입해도 결국 string이기 때문에 파싱 과정에서 해당 길이만큼 평문으로 인식해버린다는 점입니다.

1
      if(strlen($umail) > 256) error("email too long");

join_chk in index.php

여기서 살펴볼 부분이 umail 파라미터에 대한 길이 제한입니다. hex value의 경우 값의 범위는 0x00~0xff까지입니다. 만약 0xff를 넘어가는 값이 올 경우 overflow로 인해 0x00이 되겠죠. umail의 길이제한을 다시 살펴보면 256바이트까지 입력을 받을 수 있도록 허용해두었습니다. 따라서 rbPack의 포맷을 맞춰 데이터를 삽입하고 256바이트까지 데이터를 입력해 umail의 길이를 00으로 바꾼다면 lvl의 값을 수정할 수 있습니다.

회원가입 시 fiddler를 이용하여 값을 변조하였습니다.

umail 파라미터에 삽입한 페이로드는 다음과 같습니다.

%01%20c4ca4238a0b923820dcc509a6f75849b%01%00%01%012AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

umail 이전의 패킹된 데이터는 0x01,0x00이기 때문에 0x01,0x20,md5 hash값을 넣어주면서 upw를 맞춰주었고, 0x01,0x00은 uip, 0x01,0x01,2는 lvl 부분입니다. 나머지는 256바이트를 맞춰주기 위한 더미 데이터입니다.

현재 페이지는 대회중 구축한 테스트페이지에 적용한 상태이며, 글을 쓰는 현재는 대회가 종료된 시점이기 때문에 실서버에 대한 캡처는 하지 못했습니다.

아무튼 위와 같은 페이로드로 admin의 권한을 획득할 수 있었으며, 플래그를 얻어냈습니다.

FLAG : FLAG{akaneTsunemoriIsSoCuteDontYouThinkSo?}

[Codegate 2018 Qualifier] Rev – RedVelvet

Choiys — Sat, 16 Feb 2019 11:24:24 +0900

[Codegate 2018] Rev – RedVelvet

Happiness! 뮤비 한번 보고 갑시다.

파일을 다운로드 후 압축을 풀면 RedVelvet이라는 파일이 하나 나타납니다. 이는 64bit ELF 파일입니다.

먼저 실행시켜봅시다.

Your flag : 라는 문자열이 나타나고, 입력을 기다립니다. 아무 문자열이나 입력해주면 실행이 그냥 종료되는데, 특정한 조건을 맞춰 입력하지 않으면 exit()을 실행하여 프로그램을 종료시키는 형태인 것 같습니다.

IDA에 올린 후 String view를 이용해 살펴보면 위와 같이 flag를 출력하는 부분임을 암시하는 문자열이 존재합니다. 이를 따라가보면 main함수를 확인할 수 있습니다.

메인함수 내에는 위와 같은 형태로 프로세스를 진행하는데, func1~func15가 메인 프로세스이며, 마지막 비교 구문을 통해 플래그를 출력해줍니다. func1~func15를 살펴보면 이전 함수의 두번째 파라미터가 다음 함수의 첫번째 파라미터로 들어가는 것으로 보아 한글자 한글자씩 비교하는 형태로 보이며, 이를 모두 만족했을 경우 도출되는 문자열을 SHA256 알고리즘으로 해시 후 s2~v47에 해당하는 해시값과 동일할 경우 플래그임을 알려줍니다.

딱 봐도 angr를 이용하면 슥삭 할 수 있을 것 같은 문제지만, 저는 리알못이기 때문에 angr 대신 z3를 이용해 한글자 한글자 맞춰보는 삽질을 했습니다.

gdb를 이용해 main함수를 살펴보면 func1 함수의 인자로 esi, edi를 넘겨줍니다.

main+257의 위치에 breakpoint를 걸고 해당 값을 확인해봅시다.

예상대로 1234를 입력했을 경우 1, 2를 순서대로 파라미터로 받는 것을 알 수 있습니다.

이제 IDA로 돌아와서 함수들의 조건을 맞춰 HAPPINESS:)를 출력할 수 있도록 조건을 확인해봅시다. 앞서 말했던대로, 저는 z3를 이용하여 한글자 한글자 추려냈습니다.

한글자 한글자 삽질하며 찾아가다 보면 What_You 와 같이 문장으로 예상되는 단어가 나타납니다.

???????

Be? 이후 나머지 함수들의 결과를 찾아가다 보면 아래와 같은 플래그를 찾아낼 수 있습니다.

FLAG : What_You_Wanna_Be?:)_la_la

[Codegate 2018 Qualifier] Misc – Impel Down

Choiys — Sat, 16 Feb 2019 11:15:41 +0900

[Codegate 2018] Misc – Impel Down

문제의 description은 별다른 내용이 없고 nc 호스트와 포트만 존재합니다.

서버에 접속해보면 python이 돌아가고 있으며, 전형적인 python jailbreak 문제인 것으로 예상해 볼 수 있습니다. 해당 스크립트는 약 10초가 지나면 timeout 되어 접속이 종료되며, 해당 시간 내에 flag를 획득해야 하는 형태입니다.

Name에 임의의 문자를 넣은 후 4가지 메뉴 중 하나를 선택하여 입력하면 해당 기능이 수행되며, “dig a”와 같이 untrusted input을 전달하게 되면 에러가 발생하게 됩니다.

에러 내용을 살펴보면 해당 work 변수에 우리가 입력한 명령이 들어가게 되며, 결과적으로 eval 함수를 이용해 “your.[명령]()”와 같은 형태로 명령이 실행됩니다. your은 클래스의 인스턴스라고 예상해 볼 수 있고, dig와 같은 명령들은 이에 속하는 함수들이라고 볼 수 있겠죠. 이 때 eval 함수를 사용하기 때문에 우리가 원하는 명령을 실행시킬 수 있는 가능성이 생겼습니다.

파이썬의 eval 함수에서는 ,(comma)를 이용하여 복수의 명령을 실행할 수 있습니다.

이런식으로 말이죠.

이 특성을 이용해 work 변수에 아래와 같은 명령을 삽입할 수 있습니다.

dig(), [임의 명령], your.dig

이와 같이 입력하게 되면 eval에 들어가는 명령은 “your.dig(), [임의 명령], your.dig()”가 될 것이며 이로 인해 dig 함수는 총 2번 실행되고, 그 사이에 우리가 원하는 명령을 수행할 수 있습니다.

dig,__import__(‘os’).system(‘ls’),your.dig

따라서 위와 같은 명령을 통해 쉘 명령을 내릴 수 있지만, 해당 스크립트에서는 _(underbar)가 들어갈 경우 필터링 후 종료시켜버리기 때문에 다른 방법을 찾아야 했습니다.

여기서 생각할 수 있는 것은 _를 사용하지 않고 os모듈을 import 하거나, 다른 변수에 값을 할당해 이를 eval로 실행하는 것이 될 것입니다. 1번 방법은 대회 중 떠오르지 않아 실패했지만 2번의 경우 스크립트 시작 당시 Name에 변수를 받지만 별다른 필터링이 적용되어있지 않아 이를 이용할 수 있겠다고 생각하였습니다. 따라서 Name에 __import__(‘os’).system(‘ls’)와 같은 쉘 명령을 실행시킬 수 있는 명령어를 입력 후 work에서 eval을 이용해 이를 실행시키는 형태로 진행하였습니다.

해당 writeup은 대회 종료 후 추출한 소스코드를 이용해 로컬에서 돌리고 있는 상황이라 로컬의 ls 결과가 출력되었습니다. 아무튼 이와 같은 형태로 쉘 명령을 실행시킬 수 있으며, “cat Impel_Down.py” 등의 명령을 통해 소스코드를 추출할 수 있습니다.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
#!/usr/bin/python -u
import sys
import signal
import pickle
from random import choice, shuffle
 
coworkers_list = ['James', 'Nami', 'Luffy', 'Zoro', 'Tony', 'Robin', 'Franky', 'Brook', 'Ace', 'Jinbe', 'Crocodile']
tools_list = ['drill', 'Knife', 'gun', 'spoon', 'book', 'lighter']
 
works_list = {
'bomb' : "make boooooooomb!!!",
'coworker' : 'Find Coworker For Escape',
'tool' : "Find Any Tool",
'dig' : "Go Deep~",
}
 
def menu():
    print "################## Work List ##################"
    for cmd, desc in works_list.iteritems():
        print "  %-15s : %s" %(cmd, desc)
    print "###############################################"
 
class Esacpe_Player:
  def __init__(self, name, day):
    self.name = name
    self.dig_depth = 0
    self.bomb_Perfection = 0
    self.tools = []
    self.coworkers = []
    self.day = day
 
  def dig(self):
    self.dig_depth += 1
    # never ending digging......
    print " %s : [Dig] depth = %d" %(self.name, self.dig_depth)
    return pickle.dumps(self)
 
  def bomb(self):
    self.bomb_Perfection += 1
    # your bomb is too powerful. so boom with u......
    print " %s : [Bomb] bomb Perfection = %d" %(self.name, self.bomb_Perfection)
    return pickle.dumps(self)
 
  def tool(self):
    tt = choice(tools_list)
    print " %s : [Tool] Find : %s !" %(self.name, tt)
    self.tools.append(tt)
    return pickle.dumps(self)
 
  def coworker(self):
    shuffle(coworkers_list)
    cw = coworkers_list.pop()
    print " %s : [Coworker] Find : %s !" %(self.name, cw)
    self.coworkers.append(cw)
    return pickle.dumps(self)
 
class Watcher:
  def __init__(self):
    self.name = "Magellan"
    self.dig_risk = 3
    self.bomb_risk = 10
    self.tool_risk = 5
    self.coworker_risk = 5
    self.arrest_min_point = 25
 
  def Behavior_analysis(self, Player):
    player_info = pickle.loads(Player)
    risk_point = (player_info.dig_depth*self.dig_risk) + (player_info.bomb_Perfection*self.bomb_risk) + (len(player_info.tools)*self.tool_risk) + (len(player_info.coworkers)*self.coworker_risk)
 
    if risk_point >= self.arrest_min_point:
      sys.stderr.write("you("+ player_info.name +") looks like dangerous !!!")
      self.Arrest()
 
  def Arrest(self):
    sys.stderr.write("you Arrest Again....")
    exit()
 
def handler(signum, frame):
  sys.stderr.write("Time Out....")
  exit()
 
signal.signal(signal.SIGALRM, handler)
signal.alarm(10)
 
print("""
                    __           
          PyJail   /__\\          
       ____________|  |          
       |_|_|_|_|_|_|  |          
       |_|_|_|_|_|_|__|          
      A@\\|_|_|_|_|_|/@@Aa        
   aaA@@@@@@@@@@@@@@@@@@@aaaA    
  A@@@@@@@@@@@@@@@@@@@@@@@@@@A   
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
[!] Rule
1. After 3 day, the Light will be Turned Off then you Cannot see anything.
2. Cannot Use Some Special Characters in PyJail.
3. For 10 days, You can enter 38 characters per day.
 
Can You Escape from Here ??
""")
 
del signal
del __builtins__.input
ban_list = ['#', '+', '-', '_', '"']
 
name = raw_input(" Name : ")
your = Esacpe_Player(name, 1)
watcher = Watcher()
 
# FLAG is /FLAG_FILE~blahblah (this is only executable.)
 
while True:
  print "[day-%d] " %(your.day)
  if your.day == 4:
    # Turn off the light
    print "Turn off the Light !!"
    sys.stdout = open('/dev/null', 'w')
 
  menu()
  work = raw_input()
  invalid_cmd = 0
  for cmd in works_list.keys():
    if cmd in work:
      invalid_cmd = 1
 
  if not invalid_cmd:
    print "Invalid Work !!"
    continue
 
  for ww in work:
    if ww in ban_list:
      print "Found unavailable Character !!"
      exit()
 
  if len(work) > 38:
    print "Too Long !!"
    continue
 
  result = eval("your."+work+"()")
  watcher.Behavior_analysis(result)
 
  your.day += 1
  if your.day > 10:
    sys.stderr.write("10 days over...")
    exit()

Impel_Down.py

소스코드를 살펴보면 FLAG 파일은 root 경로에 존재하며, 실행 시 FLAG를 얻을 수 있다고 합니다.

name : __import__(‘os’).system(‘/FLAG_FLAG_FLAG_LOLOLOLOLOLOL’)

work : dig,eval(name),your.dig

이와 같이 수행하게 되면 플래그를 얻어낼 수 있습니다.

FLAG : Pyth0n J@il escape 1s always fun @nd exc1ting !

[RedTiger] Level 10

Choiys — Tue, 7 Nov 2017 20:02:58 +0900

페이지에 접속해보면 Login 버튼이 존재한다. 우리의 목표는 TheMaster 계정으로 로그인 하는것이다.

        <b>Welcome to Level 10</b><br><br>
        Target: Bypass the login. Login as TheMaster<br>
        <br><br><br>
        <form method="post">
            <input type="hidden" name="login" value="YToyOntzOjg6InVzZXJuYW1lIjtzOjY6Ik1vbmtleSI7czo4OiJwYXNzd29yZCI7czoxMjoiMDgxNXBhc3N3b3JkIjt9">
            <input type="submit" value="Login" name="dologin">
        </form>
        <br><br><br>
    Welcome Monkey. You are just a normal user!

소스를 확인해보면 Login 버튼을 눌렀을 때 login 파라미터로 YToyOntzOjg6InVzZXJuYW1lIjtzOjY6Ik1vbmtleSI7czo4OiJwYXNzd29yZCI7czoxMjoiMDgxNXBhc3N3b3JkIjt9가 전달되는 것을 알 수 있다. 이를 base64 디코딩하면 a:2:{s:8:"username";s:6:"Monkey";s:8:"password";s:12:"0815password";}가 나온다. PHP Serialize 함수의 결과이기 때문에 이를 수정하여 base64로 인코딩 후 login 파라미터에 태워 보내주면 로그인 할 수 있을 것이다.

boolean 타입으로 password 변수를 지정해준 후 1을 넘겨주어 true를 반환시키면 TheMaster 계정으로 로그인 할 수 있다.

[RedTiger] Level 9

Choiys — Mon, 6 Nov 2017 20:45:16 +0900

문제에 접속하면 Name과 Title, Content로 보이는 부분을 입력하는 폼이 존재한다.

SQLi가 바탕인 RedTiger 문제이기 때문에 왠지 insert 구문을 이용하여 데이터를 추가 할 것 같다.

이는 Name에 1, Title에 2, Content에 3을 입력하여 제출 했을 때의 결과이다.

mysql의 insert 구문에서는 parentheses를 필터링 하지 않을 경우 사용자의 입력값에 따라 데이터의 중복 삽입을 유발할 수 있다.

이 문제의 경우 모든 입력값에 대해 single quotation으로 묶여있는 형태인데, Name과 Title의 경우에는 single quotation을 \'로 치환하여 특수문자가 아닌 단일문자로 사용하는 반면 Content 부분에서는 이를 필터링하지 않아 string의 끝을 의미하는 quotation으로 적용된다.

mysql에서는 insert 구문 사용 시 insert into table_name values(val1,val2,val3),(val4,val5,val6),... 등으로 데이터를 중복 삽입 할 수 있다.

이를 이용하여 Content 부분에 single quotation을 포함하여 데이터를 중복 삽입하고, 데이터를 삽입하는 위치에 select 구문을 이용하여 level9_users 테이블의 username과 password를 추출해낼 수 있다.

이를 이용해 얻어낸 username과 password를 하단의 입력 폼에 넣어 요청하면 플래그를 얻을 수 있다.

[RedTiger] Level8

Choiys — Wed, 1 Nov 2017 20:05:29 +0900

Level8은 admin 계정의 패스워드를 알아내라고 합니다.

Edit 버튼을 누르면 정보가 갱신되며, 이는 곧 update 구문을 이용한 것이라고 생각 할 수 있습니다.

따라서 update [table명] set [attribute1=value1, attribute2=value2, ...]의 형태이기 때문에 single quotation을 추가하여 다른 속성의 값을 중복 변경 할 수 있습니다.

single quotation만을 입력했을 때 나타나는 오류로 보아 update 구문에 적용되는 속성의 순서는 다음과 같습니다.

name, username, email, icq, age 의 순서로 update 되기 때문에 가장 먼저 나타나는 name의 속성의 값을 password로 변경한다면 Admin 계정의 패스워드를 알아낼 수 있습니다.

[RedTiger] Level7

Choiys — Wed, 1 Nov 2017 18:09:29 +0900

textbox에 있는 내용은 search 파라미터를 통해 post로 전송되며, single quotation과 함께 전송하면 SQLi를 유발시킬 수 있다.

이 때 에러 메시지를 통해 쿼리문 전체를 알아낼 수 있다.

SELECT news.*,text.text,text.title FROM level7_news news, level7_texts text WHERE text.id = news.id AND (text.text LIKE '%a'%' OR text.title LIKE '%a'%')

like문에서 SQLi가 발생하며, parentheses를 열고 닫음으로 구문을 마무리 후 union을 통해 원하는 컬럼을 추출해낼 수 있다.

이 중 TestUserforg00gle이 username이 되며, 이를 입력하면 플래그를 얻을 수 있다.

[RedTiger] Level6

Choiys — Wed, 1 Nov 2017 17:26:28 +0900

user 파라미터(integer)를 입력받아 Username과 Email을 출력해준다.

?user[]=1과 같이 입력해주면 mysql_real_escape_string() 함수를 사용하는 것을 확인 할 수 있다. 따라서 single quotation과 같은 특수문자는 사용이 불가하다.

하지만 integer 기반 쿼리이기 때문에 single quotation 없이 SQLi가 가능하며, union select 구문을 사용할 수 있다.

또한 like와 parentheses 등 주요 기능이 필터링 되어 있다.

union을 사용하다 보면 2번째 컬럼에서 username의 이름을 넣어주면 쿼리가 정상 동작하는 것을 알 수 있다.

여기서 username 컬럼에 deddlef를 hex encoding 하여 보내줘도 동일한 결과가 출력되는 것을 알 수 있으며, deddlef'는 에러가, deddlef'#는 에러가 발생하지 않는 것을 확인 할 수 있었다.

여기서 출력되는 쿼리의 결과에서 username 부분을 새로운 쿼리에 넣어 실행, 결과를 출력하는 것이라 예상 할 수 있으며 exploit code를 hex encoding 하여 보내주면 패스워드를 얻어낼 수 있다.

[Hackburger.ee] Warmup

Choiys — Thu, 14 Sep 2017 20:25:07 +0900

10pts

1. Overview

1) 문제에 접속해서 description을 살펴보면 ping을 날려주는 웹페이지인 것으로 추정할 수 있다.

2) 문제 페이지에 접속해보면 아래와 같은 텍스트 폼이 나타난다.

2. Theory

1) IP를 입력하면 ping을 날리고, 그에 대한 응답을 출력해주는 것을 확인 할 수 있다.

2) 문제에 대한 별다른 설명이 없으므로 이는 리눅스 기본 명령어인 ping을 사용할 것이라 가정했다.

3) 그렇다면 생각 할 수 있는 취약점은 Command Injection이 될 것이다.

3. Exploit

기본적인 command injection의 형태인 세미콜론(;)을 이용하였다. ls 명령어를 injection하면 현재 디렉토리의 파일 목록이 출력되는 것을 확인할 수 있다.

flag.php가 있으므로 cat으로 찍어주도록 하자.

view-source를 이용하면 숨겨진 php 파일 내용을 확인 할 수 있다.

[SCTF 2017] Attack - Letter to me(300 pts)

Choiys — Mon, 24 Jul 2017 11:47:46 +0900

Attack - Letter To Me(300 pts)

문제를 살펴보면 플래그는 DB 안에 있다는 힌트가 있으며, sql 파일과 서버 주소를 던져줬다.

sql 파일을 살펴보면 아래와 같다.

메인 페이지는 위와 같다. login페이지와 register 페이지가 있는 것을 확인 할 수 있다.

관리자에게 연락 할 수는 없기 때문에 page 파라미터에서 발생하는 LFI 취약점을 이용하여 PHP Wrapper로 페이지 소스를 긁어온다.

index.php를 살펴보면 conn.php를 include 한 이후 extract로 GET과 POST 파라미터를 변수화 시켜준다. 이 때 conn.php 안에 있는 db 정보를 변경할 수 있기 때문에 문제 페이지에서 받았던 SQL 테이블 데이터를 외부 서버에 생성 후 연결하여 admin으로 로그인 할 수 있다.

이 때 로그인 이후에는 위와 같이(login.php) 문제 서버의 세션으로 로그인이 유지되기 때문에 로그인 상태를 유지 할 수 있다.

위는 admin으로 로그인 한 후의 상태이다. 사용자를 초대 할 수 있으며, 해당 계정으로 접속 시 메시지를 자신에게 보내고 받을 수 있는 send.php와 show.php에 접근 할 수 있다.

<?php
  function generateRS($length = 64) {
     $characters = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ';
     $charactersLength = strlen($characters);
     $randomString = '';

     $urandom = fopen("/dev/urandom", "rb");
     for ($i = 0; $i < $length; $i++) {
        $randomString .= $characters[ord(fread($urandom, 1)) % ($charactersLength - 1)];
     }
     return $randomString;
  }

  if(!ISSET($_SESSION['user']) || $_SESSION['user'] === "admin" || $_SESSION['user'] === "")
  {
     die("Nope!");
  }

  require "models.php";
  if(isset($letter))
  {
     $note = new note();
     $note->user = $_SESSION['user'];
     $note->letter = $letter;

     if($_FILES['file']['size'] > 0)
     {
        if($_FILES['file']['size'] > 30)
        {
           echo "too big";
        }
        else if($_FILES['file']['error'] > 0 || !is_uploaded_file($_FILES['file']['tmp_name']))
        {
           echo "error1";
        }
        else
        {
           $uploadfile = "/var/www/html/uploads/".generateRS();
           if (move_uploaded_file($_FILES['file']['tmp_name'], $uploadfile))
           {
              $fname = $_FILES['file']['name'];
              $note->addfile($fname, $uploadfile);
           }
           else
           {
              echo "error2";
           }
        }
     }
     $note->add();
  }
?>

send.php

<?php
  if(!ISSET($_SESSION['user']) || $_SESSION['user'] === "admin" || $_SESSION['user'] === "")
  {
     die("Nope!");
  }

require "models.php";
$user = $_SESSION['user'];
$user = mysql_real_escape_string($user);
$DB->execute("select data from notes where username=\"${user}\"");
$notes = $DB->fetch_all();

foreach($notes as $note)
{
    $note = unserialize($note);

    echo "<br>";
    $letter = $note->letter;
    $info = $note->resolve_file();
    echo "<div class=\"container\">";
    echo "<blockquote>";
    echo "<p>${letter}</p>";
    if(isset($info))
    {
       $path = $info[1];
       $name = $info[0];
       echo "<footer>Attached file: <cite title=\"Source Title\"><a href=\"".$path."\" download=\"".$name."\">file</a></cite></footer>";
   }
    else
      echo "<footer>Attached file: None</footer>";
      echo "</blockquote>";
   echo "</div>";
  }
?>

show.php

<?php
class db
{
    public $conn, $res;
    function __construct()
    {
       global $servername, $username, $password, $db_name;
       $this->conn = mysql_connect($servername, $username, $password) or die("connect error");
       mysql_select_db($db_name);
    }

    function execute($query)
    {
       $this->res = mysql_query($query) or die("SQL ERROR");
    }

    function fetch_all()
    {
       $res = array();
       while($row = mysql_fetch_row($this->res))
       {
      echo $row[0];
          array_push($res, $row[0]);
       }
       return $res;
    }

    function fetch_arr()
    {
       return mysql_fetch_array($this->res);
    }

    function fetch_one()
    {
       $res = mysql_fetch_row($this->res);
       return count($res) > 0 ? $res[0] : NULL;
    }

    function get_auto_incre()
    {
       return mysql_insert_id();
    }

};

$DB = new db();

class note
{
    public $user, $letter, $attached_file;

    function addfile($realname, $filename)
    {
       global $DB;

       $realname = mysql_real_escape_string($realname);
       $filename = mysql_real_escape_string($filename);

       $DB->execute("insert into files values (NULL, \"${realname}\", \"${filename}\")");
       $this->attached_file = $DB->get_auto_incre();

    }

    function add()
    {
       global $DB;
       $str = serialize($this);
       $str = $this->filter($str);

       $user = mysql_real_escape_string($this->user);
       $str = mysql_real_escape_string($str);
       $DB->execute("insert into notes values (\"${user}\", \"${str}\")");
    }

    function filter($str)
    {
       global $profanity_word_replace;
       $filter_word = array("s**t", "f**k", "as*", "bi**h", "H**l");
       foreach($filter_word as $word)
       {
          $replace = str_repeat($profanity_word_replace, strlen($word));
          $word = preg_quote($word);
          $str = eregi_replace($word, $replace, $str);
       }
       return $str;
    }

    function resolve_file()
    {
       global $DB;
       $id = $this->attached_file;
       if($id)
       {
         $DB->execute("select realname, path from files where id=${id}");
         return $DB->fetch_arr();
      }
      return NULL;
    }
};

?>

models.php

위 3개의 소스는 이 문제의 핵심인 send.php, show.php, models.php이다. models.php의 경우 index.php를 제외한 거의 대부분의 소스에서 include 하고 있는 소스이며, DB 관련 작업을 처리하는 함수의 정의가 담겨 있다.

send.php에서 파일을 업로드 할 경우 models.php에 정의되어있는 addfile 함수에서 DB에 파일 경로를 넣어준다. 또한 하나의 파일이 추가될때마다 자동으로 파일의 인덱스를 늘려주는 get_auto_incre 메소드를 사용하고 있다.

그리고 add 함수에서 사용자 이름과 해당하는 메시지를 저장하는데, 메시지를 저장할 때 serialize 함수를 이용하여 시리얼라이징 하며, filter 함수를 이용하여 유해 문자를 필터링 한다. 이 때, 시리얼라이징 이후 필터링을 거치기 때문에 s:4:”f**k”와 같이 시리얼라이징 되었을 경우 profanity_word_replace에 설정된 값만큼 4번 반복되어 값이 들어가진다. 현재 이 변수에 설정된 값은 conn.php에 ‘*’로 지정되어있으며, 이는 곧 f**k가 ****로 필터링 된다는 뜻이 된다. 하지만 extract 함수를 index.php에서 사용하고 있기 때문에 profanity_word_replace 변수의 값은 임의로 바꿀 수 있으며, 이를 이용하여 unserialize 함수를 사용하여 시리얼라이징을 해제, 객체화 할 때 취약점이 발생할 수 있다.

# table name

f**k";s:13:"attached_file";s:119:"1 union select 1,(select table_name from information_schema.tables where table_schema=database() limit 0, 1) limit 1, 1";}

# column name

f**k";s:13:"attached_file";s:127:"1 union select 1,(select column_name from information_schema.columns where table_name=0x4c544f4d5f466c3367 limit 0,1) limit 1,1

# flag

f**k";s:13:"attached_file";s:68:"1 union select 1,(select flag from LTOM_Fl3g limit 0,1) limit 1,1

위와 같이 msg부분에 입력해주고, 전체 길이만큼 dummy byte로 채워지도록 profanity_word_replace를 재설정 한 후 요청하면 각각에 해당하는 결과를 얻을 수 있다

FLAG : SCTF{Enj0y_y0ur_0nly_life}