#rce

라우트라고는 res.render에 req.query를 그대로 넘기는 한 줄이 전부다. EJS 3.1.8은 express 경로에서 settings의 view options를 키 제한 없이 옵션으로 복사하는데, CVE-2022-29078 패치가 검사를 붙인 건 세 개뿐이었다. 검사에서 빠진 escape로 컴파일 소스에 코드를 이어붙여 언인증 RCE까지 간다.

Ruby on Rails Active Storage의 임의 파일 읽기 겸 RCE(CVE-2026-66066, 'KindaRails2Shell', CVSS 9.5)를 공격자 관점으로 재현한다. Rails는 DB에 저장된 content_type만 보고 blob을 이미지로 취급하지만 libvips는 디스크 바이트로 파서를 고른다. MAT 스니퍼(앞 10바이트)와 libmatio(124바이트 버전 필드)의 불일치를 파고들어 크래프트한 MAT/HDF5 파일 하나가 임의 파일 읽기 오라클이 되고, /proc/self/environ에서 SECRET_KEY_BASE를 회수해 변형 서명을 위조하면 무인증 RCE로 이어진다. 격리 Kali 타겟 + 로컬 공격 워크스테이션으로 파일 읽기·HTTP 의사 셸·리버스 셸·직접 만든 메타스플로잇 모듈·8.1.3.1 패치 대조까지 실제 터미널로 추적한다.

node-serialize 0.0.4 의 unserialize 는 "_$$ND_FUNC$$_" 로 시작하는 문자열을 eval 로 되살린다. 뒤에 괄호 두 개를 붙여 즉시실행함수로 만들면 역직렬화 시점에 코드가 돈다. 출력 채널이 없어 flag 를 Error 로 던졌고, NODE_ENV 를 안 잡아 둔 Express 가 스택 트레이스를 500 응답 본문에 그대로 실어 보내면서 플래그가 나왔다.

LLM용 크롤러 Crawl4AI의 Docker API 언인증 원격 코드 실행(CVE-2026-57572, CVSS 10.0)을 공격자 관점으로 재현한다. /crawl 요청 본문의 browser_config.extra_args가 Chromium 런치 인자에 그대로 흘러가, --no-zygote와 --renderer-cmd-prefix 한 쌍이면 인증 없이 요청 한 번으로 컨테이너에서 명령이 실행된다. 0.8.9의 프록시 전용 denylist가 왜 실행 스위치를 못 막는지, 격리 Kali 타겟 + 로컬 공격 워크스테이션으로 HTTP 의사 셸·리버스 셸·직접 만든 메타스플로잇 모듈·0.9.0 패치 대조까지 실제 터미널로 추적한다.

자기호스팅 AI 플랫폼 Langflow의 언인증 원격 코드 실행(CVE-2026-9198, CVSS 9.8)을 공격자 관점으로 재현한다. 무인증 auto_login이 superuser 토큰을 뿌리고(CVE-2026-9103), '검증'용 엔드포인트 validate/code가 함수 정의를 exec해서(CVE-2026-8481) 함수를 부르지도 않았는데 코드가 도는 전체 흐름을, 격리 Kali 타겟 + 로컬 공격 워크스테이션으로 HTTP 의사 셸·리버스 셸·메타스플로잇·1.10.1 패치 대조까지 실제 터미널로 추적한다.

워크플로 자동화 플랫폼 n8n의 언인증 원격 코드 실행(CVE-2026-21858, 별칭 Ni8mare, CVSS 10.0)을 공격자 관점으로 재현한다. 공개 Form 웹훅이 Content-Type을 검증하지 않아, application/json으로 files.filepath를 넘기면 서버 파일을 임의로 읽는다. 그 파일 읽기만으로 encryptionKey와 owner의 bcrypt 해시를 꺼내 n8n-auth 세션 쿠키를 재계산하고, admin이 되어 Execute Command 노드로 셸을 얻는 전 과정을 격리 Kali 타겟 + 로컬 워크스테이션으로, 취약↔1.121.0 패치 대조까지 실제 터미널로 추적한다.

실시간으로 마크다운을 미리보기 해주는 아주 단순한 PHP 페이지. 업로드 라우트는 파일 이름의 확장자가 .md인지만 검사하고, 미리보기 라우트는 그 파일을 include()로 그대로 불러온다. 두 라우트 모두 각자 보면 그럴듯한 방어처럼 보이지만, 확장자 검사는 "내용"을 전혀 보지 않고 include()는 "확장자"를 전혀 가리지 않는다는 게 문제였다. 처음엔 경로traversal로 flag 파일을 직접 읽으려 했지만 빌드 스크립트가 파일명을 32자 랜덤 문자열로 바꿔둔 탓에 실패했고, 결국 업로드한 .md 파일 안에 PHP 코드를 심어 실행시키는 쪽으로 방향을 틀었다.

Redis eval로 Lua를 돌리고 config로 CONFIG를 만질 수 있는 PHP 앱이다. Lua에서 SAVE는 막혀 있지만, CONFIG로 RDB 저장 위치를 웹 루트로 돌리고 save 정책을 "1초 1변경"으로 바꿔 자동 저장을 유도했다. RDB 덤프에 심은 <?php 웹셸로 RCE, 실행 전용 /flag를 돌려 flag를 얻었다.

세션을 base64(pickle)로 주고받는 Flask 앱이다. check_session이 사용자가 준 값을 그대로 pickle.loads 한다. pickle은 역직렬화 중 객체의 __reduce__를 실행하므로, flag를 읽어 반환하는 객체를 dict에 심어 응답 화면에 flag를 그대로 띄웠다.

경로검증 없는 /file 엔드포인트로 path traversal, /admin의 API_KEY는 Dockerfile 더미값이라 무의미해 보이지만 /proc/self/environ을 읽으면 런타임 실제 키가 그대로 나온다. 그 키로 연 /admin RCE로 flag를 찾아도 cat은 500만 뜬다 — flag가 ---x--x--x(실행 전용) ELF라 읽지 말고 실행해야 한다.

이미지 공유 사이트인데 업로드 파일의 확장자도 MIME도 검사하지 않는다. `<?php system($_GET['cmd']); ?>` 한 줄짜리 웹셸을 shell.php로 올리면 업로드 디렉토리에 그대로 저장되고, 그 URL을 직접 열면 PHP가 실행돼 RCE가 된다. www-data 셸로 루트의 flag.txt를 읽었다.

image.jsp의 path traversal(LFI)로 /flag를 읽으려다 404에 막힌다. /flag가 읽기 권한 없는 실행 전용 파일이었기 때문. LFI로 conf/tomcat-users.xml의 진짜 매니저 비밀번호를 유출하고, Tomcat Manager에 웹셸 WAR을 배포해 RCE를 얻은 뒤 /flag를 "실행"해 플래그를 뽑았다.

확장자와 MIME 타입 검사를 AND(&&)로 묶은 업로더다. 둘 중 하나만 통과하면 되는 허점이라, GIF89a 매직바이트를 앞에 붙인 .php 파일이 image/gif 로 인식돼 그대로 업로드된다. 웹셸을 올려 RCE로 플래그를 읽는 과정을 정리했다.

Log4j 2.x의 메시지 치환 기능이 JNDI 조회로 이어지고, 조작된 LDAP 응답이 서버에서 임의 코드를 실행시키는 전체 흐름을 Docker + Metasploit으로 직접 재현한 실습 기록. JNDI payload 한 줄이 root 쉘로 바뀌는 과정을 단계별로 확인했다.

React Server Components의 Flight 프로토콜에서 역직렬화 결함이 서버 측 원격 코드 실행으로 이어지는 전체 과정을, 정상 흐름과의 비교·payload 구조 분석·RCE 실증·공격 확장 경로까지 실험 기반으로 추적한다. 취약 랩을 직접 세워 인증 없이 원격 셸을 획득하는 공격자 관점 재현과 패치 전후 대조까지 실제 캡처로 담았다.