[WebHacking] - Dreamhack : file-download-1 문제 풀이 (File Vulnerability)

[문제 분석]

서버에 접속하면 이런 웹사이트에 들어갈 수 있다.

 

아무거나 입력해서 upload 했을 시에 Home에 이렇게 내가 upload한 것을 볼 수 있다.

저걸 클릭해서 들어가면 위와 같이 제목과 content가 나온다.

 

문제에서 flag.py를 다운받으면 플레그 획득이 가능하다고 했다.

더 분석을 해보기 위해 app.py의 코드를 보겠다.

#!/usr/bin/env python3
import os
import shutil

from flask import Flask, request, render_template, redirect

from flag import FLAG

APP = Flask(__name__)

UPLOAD_DIR = 'uploads'


@APP.route('/')
def index():
    files = os.listdir(UPLOAD_DIR)
    return render_template('index.html', files=files)


@APP.route('/upload', methods=['GET', 'POST'])
def upload_memo():
    if request.method == 'POST':
        filename = request.form.get('filename')
        content = request.form.get('content').encode('utf-8')

        if filename.find('..') != -1:
            return render_template('upload_result.html', data='bad characters,,')

        with open(f'{UPLOAD_DIR}/{filename}', 'wb') as f:
            f.write(content)

        return redirect('/')

    return render_template('upload.html')


@APP.route('/read')
def read_memo():
    error = False
    data = b''

    filename = request.args.get('name', '')

    try:
        with open(f'{UPLOAD_DIR}/{filename}', 'rb') as f:
            data = f.read()
    except (IsADirectoryError, FileNotFoundError):
        error = True


    return render_template('read.html',
                           filename=filename,
                           content=data.decode('utf-8'),
                           error=error)


if __name__ == '__main__':
    if os.path.exists(UPLOAD_DIR):
        shutil.rmtree(UPLOAD_DIR)

    os.mkdir(UPLOAD_DIR)

    APP.run(host='0.0.0.0', port=8000)

코드를 보면

/upload 부분 :  find(..)에서 상위 디렉토리로의 이동을 감지한 후 이것을 금지시키는 필터링 기능이 존재하는 것을 알 수 있다.

/read 부분 : (..)에 대한 어떠한 검사도 진행하지 않는다. 즉 filename에 대한 검사가 없다.

 

upload 시 ../flag.py

upload 과정에서 ../flag.py를 해본 결과 밑에와 같이 bad characters,, 로 경고가 뜨고 업로드가 안됐다.

이를 통해 upload 과정이 아닌 read에서 parameter를 수정해야 겠다는 생각을 할 수 있었다.

---

[Write Up]

이 부분의 url을 보면 /read?name=first로 되어있다. 이 부분을 고치는것 역시 가능한데 그 이유는 앞서 설명한대로 필터링이 read에서는 없기 때문이다.

 

url을 수정했다.

/read?name=../flag.py

로 수정했더니 역시 원하는 답이 나왔다.