[Wargame] 드림핵 - session-basic

문제

---

풀이

우측 상단에 로그인 버튼이 보인다.

F12를 눌러 소스코드를 보니 디폴트 계정이 guest/guest라고 나와있다. 해당 계정으로 로그인해보자.

guest로 로그인이 되며 세션 ID가 부여된다.

세션 ID는 로그인 할 때마다 무작위로 변경되는 것으로 보인다.

변하는 값에 어떠한 패턴도 찾지 못해 때려맞추는 건 불가능할 것 같고, 길이가 너무 길어 브루트포스도 소용없을 것 같다.

이쯤에서 문제 파일 확인.

---

소스코드

#!/usr/bin/python3
from flask import Flask, request, render_template, make_response, redirect, url_for

app = Flask(__name__)

try:
    FLAG = open('./flag.txt', 'r').read()
except:
    FLAG = '[**FLAG**]'

users = {
    'guest': 'guest',
    'user': 'user1234',
    'admin': FLAG
}


# this is our session storage
session_storage = {
}

users에 guest, user, admin 총 3개의 계정이 있고, 세션 저장소가 생성되어 있다.

@app.route('/')
def index():
    session_id = request.cookies.get('sessionid', None)
    try:
        # get username from session_storage
        username = session_storage[session_id]
    except KeyError:
        return render_template('index.html')

    return render_template('index.html', text=f'Hello {username}, {"flag is " + FLAG if username == "admin" else "you are not admin"}')

이 부분은 세션 스토리지에서 세션 아이디 값으로 username을 가져와 username에 맞는 화면을 표시해주는 역할이다. 즉, 세션 아이디 값과 username이 매핑되어 있고, 세션 아이디 값이 틀리면 평범한 index.html 페이지를 받게된다.

@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'GET':
        return render_template('login.html')
    elif request.method == 'POST':
        username = request.form.get('username')
        password = request.form.get('password')
        try:
            # you cannot know admin's pw
            pw = users[username]
        except:
            return '<script>alert("not found user");history.go(-1);</script>'
        if pw == password:
            resp = make_response(redirect(url_for('index')) )
            session_id = os.urandom(32).hex()
            session_storage[session_id] = username
            resp.set_cookie('sessionid', session_id)
            return resp
        return '<script>alert("wrong password");history.go(-1);</script>'

입력한 username 값으로 users 리스트에서 패스워드(pw)를 가져온다. 그리고 내가 입력한 패스워드(password)와 비교해 동일할 경우 세션 아이디를 32자 랜덤 값으로 생성 후 세션 아이디와 입력한 username 값을 매핑시켜 세션 스토리지에 저장한다. 정리하면, username과 password를 users에 저장된 대로 정확히 입력했을 때 32자 랜덤 값으로 생성된 세션 아이디를 부여받으며 로그인이 된다.

그렇다면 현재 상황에서는 브루트포스 말고는 로그인 할 방법이 없다. 하지만 아래에 /admin 페이지가 존재하는 것을 볼 수 있다.

@app.route('/admin')
def admin():
    # developer's note: review below commented code and uncomment it (TODO)

    #session_id = request.cookies.get('sessionid', None)
    #username = session_storage[session_id]
    #if username != 'admin':
    #    return render_template('index.html')

    return session_storage

코드를 보면 /admin 경로에 접속했을 때 세션 ID가 admin의 것이 아니면 평범한 index.html을 표시하는 코드가 작성되어 있다. 그러나, return을 제외하고 모든 줄이 주석처리 되어있다. 즉, /admin 경로에 접속하면 누구나 세션 저장소를 확인 가능하다.

접속해보니 실제로 그동안 생성된 세션 아이디가 존재한다. admin 계정에 부여된 세션 아이디로 요청을 보내면 플래그를 얻을 수 있다.