🍪 DreamHack Cookie 문제 풀이

이번 글에서는 DreamHack 웹 해킹 문제 중 하나인 Cookie 인증 문제를 풀려고 합니다.

📝 문제 개요

웹 페이지는 로그인 기능이 구현되어 있고, 이를 통해 특정 사용자만 FLAG를 확인할 수 있는 구조입니다.
쿠키 값을 조작함으로써 관리자 권한을 흉내낼 수 있는지가 핵심 포인트입니다.

🔍 문제 코드 분석

문제에서 제공된 코드를 기반으로 전체 흐름을 살펴보면 다음과 같습니다.

📁 FLAG 및 사용자 정보

try:
    FLAG = open('./flag.txt', 'r').read()
except:
    FLAG = '[**FLAG**]'

users = {
    'guest': 'guest',
    'admin': FLAG
}

flag.txt에서 FLAG 값을 읽어 admin 계정의 비밀번호로 사용

guest는 비밀번호도 guest로 간단하게 설정되어 있다.

🏠 메인 페이지 (/)

@app.route('/')
def index():
    username = request.cookies.get('username', None)
    if username:
        return render_template('index.html', text=f'Hello {username}, {"flag is " + FLAG if username == "admin" else "you are not admin"}')
    return render_template('index.html')

username 쿠키가 존재하면 사용자 이름을 표시

쿠키 값이 "admin"일 경우 FLAG 값을 화면에 출력하고,

그렇지 않으면 "you are not admin" 메시지를 출력한다.

👣 풀이 과정

일단 Guset/Guset로 로그인이 가능하다 했으니 로그인을 먼저 해보자

로그인 성공 후 "you are not admin" 메시지가 표시됩니다.
guest 계정은 정상적으로 로그인되었지만 FLAG는 출력되지 않았다.

개발자 도구(F12)로 쿠키 확인

username에 guset라는 값이 로그인되었다는걸 볼수있다.
간단하게 사용자 이름 표시 문자열만 감지하는거 같아 guset값을 Hi로 바꿔본다.

역시 저 부분에서 username을 검사하는것 같다. 쿠키 인증 구조상 username 값만 "admin"으로 바꾸면 관리자 권한이 주어질 수 있다고 판단된다.
쿠키 값을 임의로 "admin"으로 수정한 후 새로고침합니다.

쿠키가 "admin"으로 설정되자 서버는 해당 유저를 관리자라고 판단하여 FLAG를 출력함

✅ 결론

이 문제는 쿠키 기반 인증 구조가 서버 측 검증 없이 클라이언트 값만을 신뢰하는 보안 취약점을 이용하는 문제였다.