[ dreamhack ] - [ web | command-injection-1 ]

운영체제 명령 실행 취약점을 이용하는 것으로 보인다.

---

 

입력한 ip로 ping 명령어를 실행하는 것으로 보인다.

Host 에 ip를 입력하고 Ping! 을 눌러보자.

 

---

이렇게 8.8.8.8 로 ping 명령이 실행된 과정이 그대로 출력된다.

이를 통해 두가지를 알 수 있는데,

1. ip를 입력하는 칸이 운영체제를 명령을 실행할 수 있는 칸이다.

2. 리눅스는 ping 명령을 옵션없이 실행하면 무제한으로 패킷을 보내는데, 

     3개의 패킷만 보낸것으로 보아, ping -c 3 8.8.8.8  로 명령이 입력된 것으로 보인다.

 

---

이를 이용해서 ping 명령을 입력하기 위해 만들어져있는 입력칸에

flag.py 를 읽기 위한 코드를 입력할 생각이다.

드림핵에서 제공하는 코드를 보니, 입력한 값은 

cmd = f'ping -c 3 "{host}"'

이라는 코드를 통해 더블쿼터 사이에, 즉 {host} 값 대신 입력된다는 것을 알 수 있다.

 

---

 

그럼 이제, 어떤 코드를 입력시킬 것인지 생각해봐야 하는데,

아쉽게도, web 에서 입력할 때는 ip주소만 적을 수 있고 다른 문자를 적을 수 없게 만들어두어서 

코드를 입력할 수 없다!!

그렇다면 포기해야 할까?

아니다.

이 방법 대신 버프슈트를 통해 Request를 프록시에서 잡아서 

코드를 입력하여 전송하는 방법을 사용하면 될 것을 보인다.

 

---

 

 

이렇게 8.8.8.8" 이라고 변조시켜서 전송해보겠다.

---

 

서버에서 8.8.8.8"  을 인식하여 문법적 오류가 생겼음을 알 수 있다.

 

---

이제, ls 명령어도 섞어서 어떤 파일들이 있는지 출력하여 보겠다.

--> 8.8.8.8";ls ".  입력.

cmd = f'ping -c 3 "8.8.8.8";ls "."'

위와 같은 코드로 인식 되어질 텐데,

이는 8.8.8.8 로 ping 명령어를 실행하고, 

ls 명령어로 리스트를 출력하는 명령어가 된다.

이때, ls 뒤에 ". 를 써준 이유는 문법상 오류를 만들지 않기 위해서 이다.

---

ping -c 3 8.8.8.8;ls . 

로 명령어가 실행되었고, 명령들에 대한 출력값이 차례로 출력되었음을 알 수 있다!!!

그리고 flag.txt 가 현재 위치에 존재하는 것도 확인했다.!!!

 

---

 

 

 

8.8.8.8" >/dev/null;ls ".  라고 입력할 경우,

위 그림 처럼

ping 명령에 대한 출력값은 무시되고,

ls 명령에 대한 출력값만 출력된다.

 

---

 

이제 flag.py 를 출력시키는 명령어를 통해 flag 값을 알아낼 것인데, 

나는 ping 명령에 대한 출력값은 보고 싶지 않아서 

8.8.8.8" >/dev/null;cat "flag.py

라고 입력할 것이다.

flag값이 출력된다!!!