선행지식
PHP loose comparison - Type Juggling - OWASP를 보며 내용을 정리하겠다.
타입 저글링이란?
PHP에서는 두 가지의 비교모드가 존재한다.
Has two main comparison modes, lets call them loose (==)
and strict (===)
여기서 loose 비교의 특성을 이용한 우회방법이다.
비교연산표를 보면
strict는 자료형과 value가 모두 일치해야 TRUE를 반환하지만
loose는 value만 일치해도 TRUE를 반환한다.
또한,
▪ TRUE: "0000" == int(0)
▪ TRUE: "0e12" == int(0) //0e이후의 숫자는 모두 정수
▪ TRUE: "1abc" == int(1)
▪ TRUE: "0abc" == int(0)
▪ TRUE: "abc" == int(0) // !!
▪ TRUE: "0xF" == "15"
위의 경우에도 TRUE를 반환한다.
문제
소스를 먼저 보자
Unbreakable Random
seed
hash
<html>
<body>
<form action="index.php" class="authform" method="post" accept-charset="utf-8">
<fieldset>
<legend>Unbreakable Random</legend>
<input type="text" id="s" name="s" value="" placeholder="seed" />
<input type="text" id="h" name="h" value="" placeholder="hash" />
<input type="submit" name="submit" value="Check" />
<div class="return-value" style="padding: 10px 0"> </div>
</fieldset>
</form>
<?php
function gen_secured_random() { // cause random is the way
$a = rand(1337,2600)*42;
$b = rand(1879,1955)*42;
$a < $b ? $a ^= $b ^= $a ^= $b : $a = $b;
return $a+$b;
}
function secured_hash_function($plain) { // cause md5 is the best hash ever
$secured_plain = sanitize_user_input($plain);
return md5($secured_plain);
}
function sanitize_user_input($input) { // cause someone told me to never trust user input
$re = '/[^a-zA-Z0-9]/';
$secured_input = preg_replace($re, "", $input);
return $secured_input;
}
if (isset($_GET['source'])) {
show_source(__FILE__);
die();
}
require_once "secret.php";
if (isset($_POST['s']) && isset($_POST['h'])) {
$s = sanitize_user_input($_POST['s']);
$h = secured_hash_function($_POST['h']);
$r = gen_secured_random();
if($s != false && $h != false) {
if($s.$r == $h) {
print "Well done! Here is your flag: ".$flag;
}
else {
print "Fail...";
}
}
else {
print "<p>Hum ...</p>";
}
}
?>
<p><em><a href="index.php?source">source code</a></em></p>
</body>
</html>$s.$r과 $h가 비교되는데
$s는 내가 입력한 값
$r은 랜덤의 숫자
$h는 내가 입력한 값을 md5해쉬한 결과값이다.
풀이
loose comparison이므로 타입 저글링을 이용하여 비교문을 우회해야 한다.
먼저 md5(X)=0e숫자숫자숫자가 되는 값을 찾고
$s를 마찬가지로 0e를 전달하게 되면
비교루틴은 0 == 0과 같아지고 우회가 성공한다.
