문제
풀이
구성은 첫번째는 index, 두번째는 Login 페이지이다. Home 과 About 페이지는 <a> 태그로 ./ 로 되어있어 현재 페이지로 이동한다.
별다른 진행을 할 수는 없으므로, 소스코드를 확인한다.
app.py
#!/usr/bin/python3
from flask import Flask, request, render_template, make_response, redirect, url_for
app = Flask(__name__)
try:
FLAG = open('./flag.txt', 'r').read()
except:
FLAG = '[**FLAG**]'
users = {
'guest': 'guest',
'user': 'user1234',
'admin': FLAG
}
# this is our session storage
session_storage = {
}
@app.route('/')
def index():
session_id = request.cookies.get('sessionid', None)
try:
# get username from session_storage
username = session_storage[session_id]
except KeyError:
return render_template('index.html')
return render_template('index.html', text=f'Hello {username}, {"flag is " + FLAG if username == "admin" else "you are not admin"}')
@app.route('/login', methods=['GET', 'POST'])
def login():
if request.method == 'GET':
return render_template('login.html')
elif request.method == 'POST':
username = request.form.get('username')
password = request.form.get('password')
try:
# you cannot know admin's pw
pw = users[username]
except:
return '<script>alert("not found user");history.go(-1);</script>'
if pw == password:
resp = make_response(redirect(url_for('index')) )
session_id = os.urandom(32).hex()
session_storage[session_id] = username
resp.set_cookie('sessionid', session_id)
return resp
return '<script>alert("wrong password");history.go(-1);</script>'
@app.route('/admin')
def admin():
# developer's note: review below commented code and uncomment it (TODO)
#session_id = request.cookies.get('sessionid', None)
#username = session_storage[session_id]
#if username != 'admin':
# return render_template('index.html')
return session_storage
if __name__ == '__main__':
import os
# create admin sessionid and save it to our storage
# and also you cannot reveal admin's sesseionid by brute forcing!!! haha
session_storage[os.urandom(32).hex()] = 'admin'
print(session_storage)
app.run(host='0.0.0.0', port=8000)
여기서 봐야할 항목은 총 3가지로 생각하면 편하다.
초기 구성
users = {
'guest': 'guest',
'user': 'user1234',
'admin': FLAG
}
# this is our session storage
session_storage = {
}
users 에는 guest, user, admin 3가지 계정이 존재하고, session_storage 에는 존재하는 데이터가 없다.
@app.route('/admin')
@app.route('/admin')
def admin():
# developer's note: review below commented code and uncomment it (TODO)
#session_id = request.cookies.get('sessionid', None)
#username = session_storage[session_id]
#if username != 'admin':
# return render_template('index.html')
return session_storage
/admin에 session_storage를 반환한다.
__main__
if __name__ == '__main__':
import os
session_storage[os.urandom(32).hex()] = 'admin'
print(session_storage)
app.run(host='0.0.0.0', port=8000)
__main__ 함수에서 session_storage의 키 값을 임의로 생성, 후 value를 'admin'으로 설정한다.
이제 풀이를 시작한다.
main 함수에 admin의 session_storage가 설정되어있다. 고로 session_storage 를 반환하는 /admin으로 이동한다.
/admin 에 admin 세션을 확인하고 현재 sessionid를 admin 세션으로 바꾼다.
이 후, 정상적으로 flag 값이 출력되는 것을 확인할 수 있다.
'Dreamhack > Dreamhack(1단계)' 카테고리의 다른 글
[wargame.kr] tmitter (웹 해킹) (0) | 2024.10.16 |
---|---|
[wargame.kr] login filtering (웹 해킹) (0) | 2024.10.16 |
[wargame.kr] type confusion (웹 해킹) (0) | 2024.10.16 |
[wargame.kr] strcmp (웹 해킹) (0) | 2024.10.16 |
[wargame.kr] fly me to the moon (웹 해킹) (0) | 2024.10.15 |