[dreamhack] CSRF-1
해당 페이지는
- vuln
- memo
- notice flag
- flag
4개의 페이지로 구성됨
#!/usr/bin/python3
from flask import Flask, request, render_template
from selenium import webdriver
from selenium.webdriver.chrome.service import Service
import urllib
import os
app = Flask(__name__)
app.secret_key = os.urandom(32)
try:
FLAG = open("./flag.txt", "r").read()
except:
FLAG = "[**FLAG**]"
def read_url(url, cookie={"name": "name", "value": "value"}):
cookie.update({"domain": "127.0.0.1"})
try:
service = Service(executable_path="/chromedriver")
options = webdriver.ChromeOptions()
for _ in [
"headless",
"window-size=1920x1080",
"disable-gpu",
"no-sandbox",
"disable-dev-shm-usage",
]:
options.add_argument(_)
driver = webdriver.Chrome(service=service, options=options)
driver.implicitly_wait(3)
driver.set_page_load_timeout(3)
driver.get("http://127.0.0.1:8000/")
driver.add_cookie(cookie)
driver.get(url)
except Exception as e:
driver.quit()
print(str(e))
# return str(e)
return False
driver.quit()
return True
def check_csrf(param, cookie={"name": "name", "value": "value"}):
url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
return read_url(url, cookie)
@app.route("/")
def index():
return render_template("index.html")
@app.route("/vuln")
def vuln():
param = request.args.get("param", "").lower()
xss_filter = ["frame", "script", "on"]
for _ in xss_filter:
param = param.replace(_, "*")
return param
@app.route("/flag", methods=["GET", "POST"])
def flag():
if request.method == "GET":
return render_template("flag.html")
elif request.method == "POST":
param = request.form.get("param", "")
if not check_csrf(param):
return '<script>alert("wrong??");history.go(-1);</script>'
return '<script>alert("good");history.go(-1);</script>'
memo_text = ""
@app.route("/memo")
def memo():
global memo_text
text = request.args.get("memo", None)
if text:
memo_text += text
return render_template("memo.html", memo=memo_text)
@app.route("/admin/notice_flag")
def admin_notice_flag():
global memo_text
if request.remote_addr != "127.0.0.1":
return "Access Denied"
if request.args.get("userid", "") != "admin":
return "Access Denied 2"
memo_text += f"[Notice] flag is {FLAG}\n"
return "Ok"
app.run(host="0.0.0.0", port=8000)
1. vuln 함수
이용자가 전달한 param 파라미터의 값을 출력
이 때, 이용자의 파라미터에 “frame”, “script”, “on” 세 가지의 악성 키워드가 포함되어 있으면 이를 ‘*’ 문자로 치환
키워드 필터링은 XSS 공격을 방지하기 위한 목적으로 존재함
본 문제의 의도는 XSS 공격이 아닌 CSRF 공격을 위해서 관리자의 기능을 수행하는 것이므로 일부 키워드를 필터링 함
입력 값에서 frame, script, on 세 가지의 키워드를 필터링 함 → xss 공격 불가
하지만, 필터링 이외의 꺽쇠(<, >)를 포함한 다른 키워드와 태그는 사용 가능 → CSRF 공격 수행
2. admin_notice_flag 함수
로컬 호스트(127.0.0.1)에서 접근하고, userid 파라미터가 admin일 경우 메모에 FLAG를 작성
조건을 만족하지 못하면 접근 제한 메시지 출력
/admin/notice_flag 페이지 자체는 모두가 접근할 수 있고 userid 파라미터에 admin 값을 넣는 것도 가능함
하지만, 일반 유저가 해당 페이지에 접근할 때 IP주소는 조작할 수 없음
따라서 일반 유저의 IP가 자신의 컴퓨터를 의미하는 로컬호스트 IP가 되는 것은 불가능하기 때문에 이 페이지에 단순히 접근하는 것 만으로는 FLAG를 획득할 수 없음
/vuln 페이지를 들어가면 script가 제대로 실행되고 있는 것을 볼 수 있음
/admin/notice_flag가 이렇게 뜨는 건 아마도
if request.remote_addr != "127.0.0.1":
return "Access Denied"
if request.args.get("userid", "") != "admin":
return "Access Denied 2"
memo_text += f"[Notice] flag is {FLAG}\n"
로컬호스트 IP가 일치하지 않거나 userid가 admin이 아니라서인데
Access Denied 이므로 로컬호스트 IP가 일치하지 않아서 인 것 같음
로컬호스트에 위치하는 이용자가 /admin/notice_flag 페이지를 방문하도록 해야 하기 때문에
<img src="/admin/notice_flag?userid=admin" />
공격 코드를 이렇게 작성해야 함
userid 파라미터가 admin 인지 검사하는 부분이 존재하기 때문에 해당 문자열을 꼭 포함할 것
공격 코드가 삽입된 /vuln 페이지를 다른 이용자가 방문하게 될 경우, 의도하지 않은 페이지로 요청을 전송하는 시나리오의 익스플로잇을 구상해야 함
FLAG를 얻기 위해서는 /admin/notice_flag 페이지를 로컬호스트에서 접근해야 함
이를 위해, CSRF 공격으로 /vuln 페이지를 방문하는 로컬호스트 이용자가 /admin/notice_flag 페이지로 요청을 전송하도록 공격 코드를 작성해야 함
/flag 페이지에 해당 공격 코드를 작성하고 memo 페이지를 들어가면 FLAG를 구할 수 있음~