[🥉 Bronze 4] ssh 로 서버에 들어가 flag 를 읽는다 — DreamHack Exercise: SSH 풀이

문제: DreamHack — Exercise: SSH 분류: Misc (입문) 난이도: 🥉 Bronze 4 FLAG: DH{h3110_6e9inn3rs!}

워게임을 풀다 보면 "문제 서버에 접속해서 알아서 찾아라" 라는 식의 문제를 자주 만난다. 그 접속에 가장 많이 쓰이는 도구가 ssh 다. 이 문제는 딱 그 첫 경험을 시켜준다. 메모리 손상도, 우회 트릭도 없다. 주어진 계정으로 서버에 들어가 flag 파일을 읽으면 그대로 끝이다.

대신 "로그인해서 파일 하나 읽는다" 라는 단순한 동작 안에 입문자가 짚고 갈 게 몇 개 숨어 있다. 첫 접속 때 뜨는 호스트 키 확인 메시지, root 가 만든 파일을 왜 내 계정으로 읽을 수 있는가(파일 권한), 그리고 들어간 셸이 평범한 bash 가 아니라는 점까지. 하나씩 보자.

sshpass -p dhbgssh ssh -p 13719 chall@host3.dreamhack.games 'whoami; id; pwd; uname -srm'

문제 개요

문제 설명은 한 문장이다.

SSH 실습을 위한 문제입니다. 문제 서버에 SSH로 접속하세요!

그리고 접속 정보가 그대로 주어진다.

ssh with
id: chall
password: dhbgssh

풀이 흐름도 그만큼 짧다. ssh chall@<서버> -p <포트> 로 접속 → 비밀번호 입력 → 홈 디렉토리에서 flag 파일을 발견 → cat 으로 읽는다. 이 한 줄을 풀어서 설명하는 게 이 글의 전부다.

🧩 배경 — ssh 가 뭐고 왜 쓰나

SSH(Secure Shell)는 다른 컴퓨터의 셸을 내 터미널에서 원격으로 쓰게 해 주는 프로토콜이다. 텔넷처럼 평문으로 명령을 주고받던 옛날 방식과 달리, 연결 전체가 암호화된다. 그래서 중간에서 누가 패킷을 들여다봐도 비밀번호나 명령 내용이 새지 않는다. 기본 포트는 22번이지만, 워게임 인스턴스는 매번 다른 포트(여기선 13719)로 열린다.

명령 형태는 이렇다.

ssh chall@host3.dreamhack.games -p 13719

chall@host3.dreamhack.games 는 "host3.dreamhack.games 서버에 chall 이라는 계정으로 붙겠다" 는 뜻이고, -p 13719 는 22번이 아닌 13719번 포트로 접속하겠다는 옵션이다. 이 둘만 맞추면 비밀번호를 물어보는 단계까지 간다.

🔬 접속 — 서버에 들어가기

처음 접속하면 비밀번호를 묻기 전에 이런 메시지가 한 번 나온다.

The authenticity of host '[host3.dreamhack.games]:13719' can't be established.
ED25519 key fingerprint is SHA256:....
Are you sure you want to continue connecting (yes/no/[fingerprint])?

처음 보는 서버라 "이 서버가 진짜 그 서버가 맞는지 내가 아는 바가 없다" 는 경고다. yes 를 입력하면 서버의 호스트 키 지문이 ~/.ssh/known_hosts 에 저장되고, 다음부터는 같은 서버로 인식해 이 질문을 건너뛴다. (반대로, 저장해 둔 지문과 서버가 보낸 지문이 달라지면 ssh 가 강하게 경고한다 — 중간자 공격을 잡아내는 장치다.)

그다음 비밀번호 dhbgssh 를 넣으면 셸이 열린다. 접속이 됐으면 내가 누구로, 어디에 들어왔는지부터 확인하는 게 습관이다.

whoami        # 현재 계정
id            # uid / gid / 소속 그룹
pwd           # 현재 위치
uname -srm    # 커널 / 아키텍처

위 도입부 캡처가 그 결과다 — chall(uid 1000) 계정으로 /home/chall 에 들어와 있고, 커널은 리눅스 x86_64 다. 평범한 일반 사용자 한 명으로 서버 안에 서 있는 셈이다.

🗂️ 정찰 — flag 찾기

flag 가 어디 있는지는 모르니, 일단 홈 디렉토리부터 펼쳐 본다. 숨김 파일까지 보려고 -a, 권한과 소유자를 보려고 -l 을 같이 준다.

ls -al

.bashrc, .profile 같은 익숙한 설정 파일들 사이에 눈에 띄는 게 두 개 있다.

• bin — root 소유 디렉토리
• flag — root 소유에 그룹은 beginner, 크기 21바이트

이름이 flag 인 21바이트짜리 파일. 플래그 형식 DH{...} 가 딱 들어갈 크기다. 찾았다.

🔑 flag 읽기

남은 건 읽는 것뿐이다.

cat flag

DH{h3110_6e9inn3rs!}

h3110_6e9inn3rs 는 leet 으로 "hello beginners" 다. 입문자 환영 인사가 그대로 flag 였다.

🧐 왜 root 파일이 그냥 읽혔나 — 파일 권한

여기서 한 번 멈춰서 생각해 볼 거리가 있다. flag 는 root 가 소유한 파일인데, 어째서 평범한 chall 계정이 아무 권한 상승도 없이 읽을 수 있었을까. stat 으로 권한을 자세히 보면 답이 나온다.

stat flag
id

권한이 0755, 문자로는 -rwxr-xr-x 다. 리눅스 권한 문자열은 세 칸으로 나뉜다.

• owner rwx — 소유자 root 의 권한
• group r-x — 그룹 beginner 의 권한
• others r-x — 그 외 모든 사용자의 권한

그리고 id 를 보면 우리 계정은 uid=1000(chall) gid=1000(chall) groups=1000(chall) 이다. owner(root)도 아니고, beginner 그룹에 속하지도 않는다. 그러니 우리에게 적용되는 건 맨 마지막 others 칸이고, 거기에 r 이 켜져 있다. world-readable, 즉 누구나 읽을 수 있는 파일이라 접속만 하면 그대로 cat 이 된 것이다.

만약 권한이 -rwxr-x---(others 에 아무 권한 없음) 였다면, 같은 접속을 해도 cat: flag: Permission denied 를 만났을 것이다. 이 문제가 "접속만 하면 끝" 인 이유는 결국 flag 파일이 열려 있었기 때문이다.

🐚 한 걸음 더 — 들어간 셸은 평범한 bash 가 아니다

신원 확인을 비대화형(ssh host 'whoami')으로 했을 때는 whoami, id, uname 이 다 잘 돌았다. 그런데 실제로 셸을 열고 직접 쳐 보면 분위기가 다르다.

chall@localhost:~$ whoami
rbash: whoami: command not found
chall@localhost:~$ ls -al bin
total 8
drwxr-xr-x 2 root  root  4096 ..  .
drwxr-x--- 1 chall chall 4096 ..  ..
lrwxrwxrwx 1 root  root     8 ..  cat -> /bin/cat
lrwxrwxrwx 1 root  root     9 ..  find -> /bin/find
lrwxrwxrwx 1 root  root     7 ..  ls -> /bin/ls
chall@localhost:~$ cat flag
DH{h3110_6e9inn3rs!}

프롬프트를 보면 셸 이름이 rbash — restricted bash(제한된 bash) 다. rbash 는 사용자가 마음대로 돌아다니지 못하게 가두는 셸로, cd 를 막고 PATH 를 바꾸지 못하게 하며, 명령 탐색 경로를 ~/bin 안으로 묶어 둔다. 그 ~/bin 에는 root 가 심볼릭 링크로 깔아둔 cat, find, ls 세 개만 있다. 그래서 whoami 같은 평범한 명령조차 "command not found" 가 된다.

cat 은 그 세 개 안에 들어 있으니 cat flag 는 문제없이 되고, 결국 풀이에는 지장이 없다. 출제자가 "셸은 주되, 셸 안에서 휘젓고 다니지는 못하게" 살짝 울타리를 쳐둔 장치로 보면 된다. (참고로 비대화형 명령 실행은 이 울타리의 적용 방식이 달라 더 많은 명령이 도는데, 이 문제를 푸는 데는 어느 쪽이든 상관없다.)

📝 정리

ssh 는 원격 서버에 들어가는 가장 기본적인 문.

ssh 계정@주소 -p 포트 로 접속하고, 처음이면 호스트 키를 한 번 확인하고, 비밀번호를 넣으면 그 서버의 셸이 내 터미널에 열린다. 워게임이든 실무든 "서버에 붙어서 뭔가 한다" 의 출발점이라, 손에 익혀 두면 두고두고 쓴다.

root 소유여도 권한이 열려 있으면 누구나 읽는다.

이 문제의 flag 가 그냥 읽힌 건 파일이 world-readable(-rwxr-xr-x) 이었기 때문이다. 거꾸로 말하면, 민감한 파일은 소유자만 읽도록 권한을 최소로 좁혀야 한다는 뜻이다. 실무에서 비밀 키나 설정 파일을 0400/0600 으로 닫아 두는 이유가 여기에 있다.

비밀번호 인증은 편하지만 약하다.

이 문제는 비밀번호로 들어갔지만, 실제 서버 운영에서는 추측·무차별 대입에 약한 비밀번호 대신 공개키 인증(ssh-keygen 으로 만든 키 쌍)을 쓰는 게 표준이다. rbash 같은 제한 셸도 사용자 활동을 좁히는 한 방법이지만, 그것만으로 안전을 보장하긴 어렵다는 점도 같이 기억해 두면 좋다.