[dreamhack] file-download-1

flag.py를 다운받으면 플래그를 획득할 수 있다고 한다.

Home)

Upload My Memo)

flag.py에 플래그값이 있다고 하니, 임의로 한번 올려보았다.

-> url이 http://host3.dreamhack.games:15697/read?name=flag.py 로 뜨는 것을 보아, read 페이지에서 name 파라미터로 전달된 이름의 파일을 읽는다는 것을 알 수 있다.

주어진 코드를 한번 살펴보자

code)

#!/usr/bin/env python3
import os
import shutil

from flask import Flask, request, render_template, redirect

from flag import FLAG

APP = Flask(__name__)

UPLOAD_DIR = 'uploads'


@APP.route('/')
def index():
    files = os.listdir(UPLOAD_DIR)
    return render_template('index.html', files=files)


@APP.route('/upload', methods=['GET', 'POST'])
def upload_memo():
    if request.method == 'POST':
        filename = request.form.get('filename')
        content = request.form.get('content').encode('utf-8')

        if filename.find('..') != -1:
            return render_template('upload_result.html', data='bad characters,,')

        with open(f'{UPLOAD_DIR}/{filename}', 'wb') as f:
            f.write(content)

        return redirect('/')

    return render_template('upload.html')


@APP.route('/read')
def read_memo():
    error = False
    data = b''

    filename = request.args.get('name', '')

    try:
        with open(f'{UPLOAD_DIR}/{filename}', 'rb') as f:
            data = f.read()
    except (IsADirectoryError, FileNotFoundError):
        error = True


    return render_template('read.html',
                           filename=filename,
                           content=data.decode('utf-8'),
                           error=error)


if __name__ == '__main__':
    if os.path.exists(UPLOAD_DIR):
        shutil.rmtree(UPLOAD_DIR)

    os.mkdir(UPLOAD_DIR)

    APP.run(host='0.0.0.0', port=8000)

✔️ upload_memo() 함수 : POST 요청으로 전달된 filename 파라미터 값에 ".." 탐지
✔️ read_memo() 함수 : 상위 경로를 의미하는 '..' 문자열에 대한 탐지가 존재하지 않음

@APP.route('/read')
def read_memo():
    error = False
    data = b''

    filename = request.args.get('name', '')

    try:
        with open(f'{UPLOAD_DIR}/{filename}', 'rb') as f:
            data = f.read()
    except (IsADirectoryError, FileNotFoundError):
        error = True

'{UPLOAD_DIR} / {filename}' 을 통해, 업로드 된 파일들의 디렉터리가 filename 바로 위 디렉터리인 것을 알 수 있다.

flag.py가 정확히 어디있는진 모르지만 상위 경로에 있을 것이라는 추측을 할 수 있다.
따라서 url에 /read?name=flag.py를 /read?name=../flag.py로 바꿔주어 flag값이 출력되는 것을 확인할 수 있다.