안녕하십니까 코딩 파인애플입니다
이번에는 드림 병원 🌱에 관해 풀어보겠습니다.

드림 병원 🌱

https://dreamhack.io/wargame/challenges/2814

저희 드림 병원은 환자 정보를 안전하게 보호하고 있습니다. 🏥
...

import hashlib
import os
from flask import Flask, render_template, request, redirect, url_for, session, abort

app = Flask(__name__)
app.secret_key = os.urandom(24).hex()

health_records = {
    1: {
        "name": "김깃발",
        "date": "2024-03-10",
        "height": "175cm",
        "weight": "70kg",
        "blood_pressure": "120/80",
        "diagnosis": "특이사항 없음 (검진완료)",
        "summary": "DH{This_is_fake_flag}", #❕플래그 위치
        "owner": "admin"
    },
    125: {
        "name": "김드림",
        "date": "2024-03-25",
        "height": "180cm",
        "weight": "75kg",
        "blood_pressure": "115/75",
        "diagnosis": "비타민 D 부족 권고",
        "summary": "전반적으로 양호하며 꾸준한 운동을 권장합니다.",
        "owner": "guest"
    }
}

def get_hash(uid):
    return hashlib.md5(str(uid).encode()).hexdigest()

@app.route('/')
def index():
    if 'user' in session:
        return redirect(url_for('dashboard'))
    return render_template('index.html')

@app.route('/auth/login', methods=['POST'])
def login():
    if request.form.get('username') == 'guest' and request.form.get('password') == 'guest':
        session['user'] = 'guest'
        return redirect(url_for('dashboard'))
    return "Login Failed", 401

@app.route('/auth/logout')
def logout():
    session.pop('user', None)
    return redirect(url_for('index'))

@app.route('/dashboard')
def dashboard():
    if 'user' not in session:
        return redirect(url_for('index'))
    
    user_data = health_records[125]
    return render_template('dashboard.html', user_hash=get_hash(125), name=user_data['name'])

@app.route('/report/view/<user_hash>')
def view_report(user_hash):
    if 'user' not in session:
        return redirect(url_for('index'))
    
    for uid, data in health_records.items():
        if get_hash(uid) == user_hash:
            if data['owner'] != session['user']:
                return "<h1>Access Denied</h1>", 403
            return render_template('report.html', data=data, user_hash=user_hash)
            
    return "Not Found", 404

@app.route('/report/download/<user_hash>')
def download_report(user_hash):
    if 'user' not in session:
        return redirect(url_for('index'))
    
    for uid, data in health_records.items():
        if get_hash(uid) == user_hash:
            return render_template('print.html', data=data)
            
    return "Not Found", 404

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=5000, debug=False)

일단 guest/guest를 통해 guest로 로그인 해봅시다

음, 코드를 살펴봅시다

코드를 보시면 다음과 같이 의심스러운 부분이 존재합니다

def get_hash(uid):
    return hashlib.md5(str(uid).encode()).hexdigest()
    
    
...


@app.route('/report/view/<user_hash>')
def view_report(user_hash):
    if 'user' not in session:
        return redirect(url_for('index'))
    
    for uid, data in health_records.items():
        if get_hash(uid) == user_hash:
            if data['owner'] != session['user']:
                return "<h1>Access Denied</h1>", 403
            return render_template('report.html', data=data, user_hash=user_hash)
            
    return "Not Found", 404

이렇게 다음과 같이 uid를 문자열로 변환한 뒤 MD5 알고리즘으로 해싱하고, 그 결과를 16진수 문자열로 반환하는 구문을 url에 넣어 IDOR이 가능함을 유추할 수 있습니다.

report/view/3def184ad8f4755ff269862ea77393dd

guest로 로그인하시면 url이 다음과 같이 나오는 것을 알 수 있으며 이는 125의(health_record의 guest번호) get_hash() 값임을 알 수 있습니다

따라서 저희는 owner가 admin의 번호가 되는 1을 get_hash()에 넣어 IDOR를 시도할 수 있습니다.

하지만 이걸 곧이곧대로 /report/view/<user_hash> 에 넣게 되면 코드처럼 'Access Denied'가 나오게 됩니다

결과표가 되는 /report/download/<user_hash> 는 좀 다른 결과가 나옵니다

@app.route('/report/download/<user_hash>')
def download_report(user_hash):
    if 'user' not in session:
        return redirect(url_for('index'))
    
    for uid, data in health_records.items():
        if get_hash(uid) == user_hash:
            return render_template('print.html', data=data)
            
    return "Not Found", 404

/report/view/<user_hash>와는 다르게 로그인 확인 후, 찾은 데이터의 주인과 현재 로그인한 사용자가 일치하는지 비교하지 않기에
(data['owner'] != session['user'])

/report/view/c4ca4238a0b923820dcc509a6f75849b
을 통해 접근하면 플래그를 획득할 수 있게 됩니다.

FLAG :

평가 :