[Dreamhack] csrf-1

문제

---

문제 파일 : app.py

#!/usr/bin/python3
from flask import Flask, request, render_template
from selenium import webdriver
import urllib
import os

app = Flask(__name__)
app.secret_key = os.urandom(32)

try:
    FLAG = open("./flag.txt", "r").read()
except:
    FLAG = "[**FLAG**]"


def read_url(url, cookie={"name": "name", "value": "value"}):
    cookie.update({"domain": "127.0.0.1"})
    try:
        options = webdriver.ChromeOptions()
        for _ in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(_)
        driver = webdriver.Chrome("/chromedriver", options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)
        driver.get("http://127.0.0.1:8000/")
        driver.add_cookie(cookie)
        driver.get(url)
    except Exception as e:
        driver.quit()
        print(str(e))
        # return str(e)
        return False
    driver.quit()
    return True


def check_csrf(param, cookie={"name": "name", "value": "value"}):
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    return read_url(url, cookie)


@app.route("/")
def index():
    return render_template("index.html")


@app.route("/vuln")
def vuln():
    param = request.args.get("param", "").lower()
    xss_filter = ["frame", "script", "on"]
    for _ in xss_filter:
        param = param.replace(_, "*")
    return param


@app.route("/flag", methods=["GET", "POST"])
def flag():
    if request.method == "GET":
        return render_template("flag.html")
    elif request.method == "POST":
        param = request.form.get("param", "")
        if not check_csrf(param):
            return '<script>alert("wrong??");history.go(-1);</script>'

        return '<script>alert("good");history.go(-1);</script>'


memo_text = ""


@app.route("/memo")
def memo():
    global memo_text
    text = request.args.get("memo", None)
    if text:
        memo_text += text
    return render_template("memo.html", memo=memo_text)


@app.route("/admin/notice_flag")
def admin_notice_flag():
    global memo_text
    if request.remote_addr != "127.0.0.1":
        return "Access Denied"
    if request.args.get("userid", "") != "admin":
        return "Access Denied 2"
    memo_text += f"[Notice] flag is {FLAG}\n"
    return "Ok"


app.run(host="0.0.0.0", port=8000)

 

---

풀이

---

/

 

문제 경로로 접속시 위의 웹페이지가 나온다.

 

/vuln?param=<script>alert(1)</script>

 

vuln(csrf) page 클릭시 위 이미지의 텍스트가 보이는 페이지로 이동하고, url은 /vuln?param=<script>alert(1)</script> 이다.

get요청 파라미터에 <script> 태그가 있음에도 alert(1) 함수가 동작하지 않는 것으로 봐서는 스크립트 태그가 필터링 되는 것을 알 수 있다.

 

/vuln?param=123

 

get 파라미터에 123 을 입력 시 그대로 페이지에 출력되는 것을 보니 파라미터의 값을 그대로 보여주는 페이지인 것 같다.

 

 

 

/vuln?param=<script>

 

파라미터에 <script> 입력시 script 가 * 로 필터링 되는 것을 알 수 있다.

 

/vuln?param=<img src='123'>

 

그래서 이번에는 html태그인 <img> 태그를 파라미터에 입력 했더니  <img>태그는 필터링이 되지 않는 것을 확인할 수 있다.

 

 

<img src="" onerror="alert(1)">

/vuln?param=on

 

그래서 파라미터에 <img src="" onerror="alert(1)"> 를 줘서 onerror 이벤트를 발생 시켜 alert 함수를 동작하게 하려고 했으나 on 또한 script 처럼 * 로 필터링이 되는 것을 알 수 있다.

 

/vuln?param=<img src='https://naver.com'>

 

하지만 img 태그의 src는 필터링이 되지 않는 것을 확인 할 수 있다.

따라서  원하는 url 에 img 태그에 src 속성을 이용하여  src 값에 해당하는 url에 대해 요청을 보낼 수 있다.

 

 

이제 memo 페이지를 보자.

 

/memo?memo=hello

 

 파라미터의 문자열 값을 개행 없이 회색 박스 안에 출력해 주는 페이지다.

 

 

/memo?memo=11111111

 

실제로 값을 바꿔 요청하면 hello가 아닌 바꾼 값으로 나오는 것을 알 수 있다.

 

 

/vuln?param=<img src="/memo?memo=22222222222"> 요청 후 memo 페이지

 

vuln(csrf) page 페이지에서 우리는 파라미터에 img 태그를 사용하여 img태그에  src에 해당하는 url한테 요청을 보낼 수 있다.

따라서 src에 /memo?memo=22222222222 를 입력해보고 memo 페이지를 확인하면 22222222222 가 회색박스에 출력된 것을 볼 수 있다. 

 

<img src="/memo?memo=333333333">

 

flag 페이지를 보면 이미지와 같은 입력창이 있는데 여기에 <img src="/memo?memo=333333333"> 을 입력하고, memo 페이지를 확인해보면 333333333 가 입력창에 출력된 것을 볼 수 있다.

 

이제 문제파일의 코드를 보자.

 

@app.route("/flag", methods=["GET", "POST"])
def flag():
    if request.method == "GET":
        return render_template("flag.html")
    elif request.method == "POST":
        param = request.form.get("param", "")
        if not check_csrf(param):
            return '<script>alert("wrong??");history.go(-1);</script>'

        return '<script>alert("good");history.go(-1);</script>'

 

위 코드를 보면 flag 페이지에 입력한 값을 파라미터의 값으로 넣어서 check_csrf 함수에 전달하는 것을 볼 수 있다.

 

def read_url(url, cookie={"name": "name", "value": "value"}):
    cookie.update({"domain": "127.0.0.1"})
    try:
        options = webdriver.ChromeOptions()
        for _ in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(_)
        driver = webdriver.Chrome("/chromedriver", options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)
        driver.get("http://127.0.0.1:8000/")
        driver.add_cookie(cookie)
        driver.get(url)
    except Exception as e:
        driver.quit()
        print(str(e))
        # return str(e)
        return False
    driver.quit()
    return True


def check_csrf(param, cookie={"name": "name", "value": "value"}):
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    return read_url(url, cookie)

 

check_csrf 함수를 호출하면 read_url 함수가 호출 되는데 이 함수는 문제의 설명에 적혀있는 봇으로 입력한 값을 파라미터의 값으로 해서 http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)} url을 확인한다,.

 

@app.route("/admin/notice_flag")
def admin_notice_flag():
    global memo_text
    if request.remote_addr != "127.0.0.1":
        return "Access Denied"
    if request.args.get("userid", "") != "admin":
        return "Access Denied 2"
    memo_text += f"[Notice] flag is {FLAG}\n"
    return "Ok"

 

/admin/notice_flag 경로에서 요청 주소가 127.0.0.1 이고 userid 파라미터가 admin 이면 memo 페이지에 플래그를 출력해준다.

문제에서 구현한 봇이 127.0.0.1 주소로 접속하므로 flag 페이지의 입력폼에서 img 태그의 src 속성 값을 /admin/notice_flag 으로 해서 입력하면 봇이 127.0.0.1 주소로 /admin/notice_flag 를 요청하게 되므로 첫번째 if 문을 통과하고,

 userid 파라미터 값을 admin으로 설정해서 /admin/notice_flag?userid=admin 경로로  src 속성값을 설정하면 두번째 if 문을 통과하여 플래그를 얻을 수 있을 것이다.

 

flag 페이지에 <img src="/admin/notice_flag?userid=admin"> 를 입력하여 memo 페이지를 보면 플래그를 알 수 있다.

---