Baby toctou🍼 Write-up

[Solved in under 7 minutes]

할 말 없다. 녜에~

가보자

쉘이 열린다 바로 아무 디렉토리 내 파일을 보자

뭐 파일이 여러개가 보인다

cat 명령어를 통해 아무거나 보자

보아하니 주어진 명령어만 쳐야 한다.

말을 곱게 들으며 api.php를 보자

<?php
  // system($_GET['q']);
  if(!preg_match('/^[a-f0-9]+$/',$_COOKIE['baby_toctou'])){ $newCookie = uniqid().rand(1,999999999); setcookie("baby_toctou",$newCookie); $_COOKIE['baby_toctou'] = $newCookie; }
  $cmd = $_GET['q'];
  $myfile = fopen("user/{$_COOKIE['baby_toctou']}.sh", "w") or die("Unable to open file!");
  fwrite($myfile, $cmd);
  fclose($myfile);
  if(($cmd === "ls") || ($cmd === "cat api.php") || ($cmd === "cat index.php")){ // valid check
    sleep(1); // my server is small and weak
    system("sh ./user/{$_COOKIE['baby_toctou']}.sh");
  }
  else{
    echo <<<HELP
only "ls", "cat api.php", "cat index.php" allowed
HELP;
  }
?>

TOCTOU 문제란다

여기서 포인트는 valid check 하고 sleep(1) 가 걸려있으니 단기간안에 빠른 페이로드를 집어넣으면 명령어가 먹힐지도 모른다.

즉, 1초 사이에 같은 baby_toctou 쿠키로 다른 요청을 보내서 파일 내용을 원하는 명령어로 덮어쓰는 원리

레이스컨디션으로 바로 풀어보자

많은 양을 시도할때는 인트루더를 사용하는데 sleep(1) 이니 이걸로도 될 것 같다.
일단 인터셉트부터 해보자

인터셉트 켜서 패킷 잡히게 해두고

처음에는 허용하는 범위의 명령어를 입력하고
그 이후에 내가 원하는 명령어가 삽입이 되게 했다.

인터셉트로 잡고 있어서 사실상 패킷은 아직 안 간 상태다 내가 붙잡고 있다고 생각하면 됨당

패킷이 두개 잡히고
첫번째는 ls, 두번째는 cat flag.php 다

여기서 인터셉트를 꺼주면?

인터셉트가 켜져있다가 끄면 패킷들이 순서대로 빠르게 요청된다.

실무에서는 패킷 100개를 한번에 쏘는 그런 테스트를 하지만 여기서는 안해도 될 것 같다.

예? 바로 풀렸다.

가지고 가보장

ㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡ 답 ㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡ

FLAG{Mama_i_know_how_toctou_works}

ㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡ

엄마! 나 TOCTOU가 어떻게 작동하는지 알게 되었어요!!

레이스컨디션에 대해서 실습하기에 좋은 문제 인 것 같다.

Webhacking.kr Baby toctou🍼 Write-up

이상 보고 끝!