도카이트

[HawkIS] 어셈블리어로 문자열 출력하기

dodoh4t — Sun, 8 Jan 2023 19:25:21 +0900

[기초 사전학습] - CPU 구성 및 레지스터의 종류와 용도

어셈블리어

CPU의 Instruction을 직접 사용
하드웨어 의존적

CPU 구성

연산 장치(ALU, Arithmetic and Logic Unit)
제어 장치(Control Unit)
레지스터(Register)

연산 장치

내부장치
- 가산기 : 덧셈 연산 수행
- 보수기 : 뺄셈 연산 수행, 1의 보수나 2의 보수 방식
- 시프터 : 비트를 오른쪽이나 왼쪽으로 이동해 나눗셈과 곱셈 수행
관련 레지스터
- 누산기 : 연산의 중간 결과 저장
- 데이터 레지스터 : 연산에 사용할 데이터 저장
- 상태 레지스터 : 연산 실행 결과로 나타나는 양수와 음수, 자리올림, 오버플로 상태 기억

제어 장치

내부장치
- 명령 해독기 : 명령 레지스터에 있는 명령을 해독하여 부호기로 전송
- 부호기 : 명령 해독기가 전송한 명령을 신호로 만들어 각 장치로 전송
- 주소 해독기 : 명령 레지스터에 있는 주소를 해독하여 메모리의 실제 주소로 변환 후, 이를 데이터 레지스터에 저장
관련 레지스터
- 프로그램 카운터 : 다음에 실행할 명령의 주소 저장
- 명령 레지스터 : 현재 실행 중인 명령을 저장
- 메모리 주소 레지스터 : 주기억장치의 번지를 저장
- 메모리 버퍼 레지스터 : 메모리 주소 레지스터에 저장된 주소의 실제 내용을 저장

레지스터의 종류와 용도 (16, 32bit)

범용 레지스터(General Register)

: 연산 장치가 수행한 계산 결과의 임시 저장, 산술 및 논리 연산, 주소 색인 등 여러 목적으로 사용할 수 있는 레지스터

EAX, 누산기 : 산술 연산에 사용, 함수의 결과 값 저장
EBX, 베이스 레지스터 : 특정 주소 저장, 주소 지정을 확대하는 인덱스로 사용
ECX, 카운트 레지스터 : 반복적으로 실행되는 특정 명령에 사용, (루프 반복, 시프트 이동)
EDX, 데이터 레지스터 : 일반 자료를 저장 (입출력 동작에 사용)

세그먼트 레지스터(Segment Register)

: 각 세그먼트의 주소를 지정하는 레지스터

CS, 코드 세그먼트 레지스터 : 실행할 기계 명령어가 저장된 메모리 주소를 지정
DS, 데이터 세그먼트 레지스터 : 프로그램에서 정의된 데이터, 상수, 작업 영역 메모리 주소 지정
SS, 스택 세그먼트 레지스터 : 프로그램 스택 세그먼트의 시작 주소를 저장 메모리 상에 스택 구현을 가능하게 함
ES, FS, GS, 엑스트라 세그먼트 레지스터 : 문자 연산과 추가 메모리를 지정하는데 사용하는 여분의 레지스터

// 세그먼트(Segment)

: 프로그램에 정의한 메모리 상의 특정 영역으로 코드, 데이터, 스택 등을 포함. 세그먼트는 메모리의 대부분에 위치할 수 있음.

포인터 레지스터(Pointer Register)

: 프로그램의 실행 과정에서 사용하는 주요 메모리 주소 값을 저장, 실제 메모리 상의 주소 참조

EBP, 베이스 포인터 : SS 레지스터와 함께 사용하여 스택 안의 변수 값을 읽는데 사용.
스택 세그먼트에서 현재 호출해서 사용하는 함수의 시작 주소 값을 저장 함수로 전달되는
지역 변수 등을 참조할 때 기준이 되며, ESP 레지스터와 함께 써서 스택 프레임(Stack Frame)을
형성하기도 한다.
ESP, 스택 포인터 : SS 레지스터와 함께 사용하며, 스택의 가장 끝(하위) 주소를 가리킴 스택은 높은 주소에서 낮은 주소로
이동하면서 데이터를 저장하므로, 스택이 확장되면 스택 포인터도 높은 주소에서 낮은 주소로 값을 변경
EIP, 명령 포인터 : 다음 명령어의 오프셋(상대 위치 주소)을 저장하며, 현재 실행 중인 코드 세그먼트에 속한
현재 명령을 가리킴. CS 레지스터와 합쳐 다음에 수행할 명령 주소를 형성

인덱스 레지스터(Index Register)

: 데이터를 복사할 때 출발지와 목적지 주소를 가리키는 레지스터. 주로 메모리의 한 영역에서 다른 영역으로
데이터를 연속적으로 복사할 때 사용

EDI, 목적지 인덱스 : 목적지 주소 값 저장
ESI, 출발지 인덱스 : 출발지 주소 값 저장

플래그 레지스터

: 32비트 크기를 가지고 있으며, 컴퓨터의 다양한 상태를 나타내는 비트를 포함

EFLAGS, 플래그 레지스터 : 연산 결과 및 시스템 상태와 관련된 여러 가지 플래그 값 저장

** 사용 목적별 레지스터 맵핑

[사용 목적별 레지스터 맵핑]

어셈블리어를 이용한 이름 출력

실습 환경

Ubuntu 18.04.6 LTS (VM)

시스템 정보

Linux ubuntu 5.4.0-135-generic #152~18.04.2-Ubuntu SMP Tue Nov 29 08:23:49 UTC 2022 x86_64 x86_64 x86_64 GNU/Linux

1. nasm 설치

sudo apt-get install nasm

2. asm 파일 생성 및 수정

vi dodoh4t.asm

3. 코드 작성

section .data
    msg: db "Doyeon Kim (a.k.a. dodoh4t)",10
    len: equ $-msg
    
section .text
    global _start
_start:
    mov rax, 1     ;Syscall id 1 -> write
    mov rdi, 1     ;FD(File Descriptor) stdout
    mov rsi, msg   ;String address to write
    mov rdx, len   ;String length in bytes
    syscall        ;System call

_last:
    mov rax, 60    ;Syscall id 60 -> exit
    mov rdi, 0     ;Set exit code 0;
    syscall

section.data : 데이터 섹션. Static 변수, 상수를 지정 가능
msg, db, 10 : msg는 변수명, db(define byte)는 타입, 10은 Escape Sequence(\n)
equ $ : len의 메모리 주소를 equ로 생성하여 -msg, 바로 전 코드에서 주소를 빼면 문자열 길이 확인 가능(byte)
section.text : 명령어 주소에 대응하는 코드
global_start : 여러 파일을 컴파일 할 때 시작점(Entry Symbol)
mov rax, 1 : 1 값을 rax 레지스터에 저장 (1 : sys_write)
mov rdi, 1 : FD(File Descriptor, 1: Standard Output)
mov rsi, msg : msg 변수의 주소를 가리키는 코드 행
mov rdx, len : 문자열의 길이(size_t count)
mov rax, 60 : 시스템콜 종료 (60 : exit)
mov rdi, 0 : 에러 발생 X (return 0)

종합

:: sys_write 를 호출하여 file descriptor 1인 stdout에 msg 변수를 문자열 개수만큼 출력

** Static 변수

: 프로그램 시작부터 끝까지 메모리에서 값을 유지하는 변수

4. 컴파일 및 링크

nasm -f elf64 -g dodoh4t.asm -o dodoh4t.o
ld -o dodoh4t dodoh4t.o

5. 실행 및 출력 값 확인

./dodoh4t

정상적으로 문자열 값이 출력되는 것을 확인할 수 있다 !

[Wargame] Webhacking.kr - old 58

dodoh4t — Mon, 20 Jun 2022 23:36:52 +0900

문제 화면

[old 58 - 문제 화면]

- 명령어를 실행할 수 있는(?) 화면이 보인다.

- help 명령어를 실행한 결과 ls id flag help 명령어 4개가 출력되며,

- flag 명령의 경우 admin만 실행 가능하다고 한다..

- 소스코드를 먼저 확인해봐야할 듯 하다 !

소스코드

[old 58 - 소스코드]

- username을 guest로 정의하고 있다.

- socket.emit 함수를 통해 데이터를 전송하고, socket.on 함수를 통해 데이터를 수신받는다.

- socket.emit 함수의 cmd 이후 username 부분과 “:” 이후 뒷 부분은 수정하여 admin으로 flag가 실행되도록 유도한다 !

socket.emit 코드 수정

[socket.emit 코드 수정]

- +$(’m’).val() 부분을 삭제하고, ‘flag’ 를 입력하여 admin으로 flag가 cmd에서 실행되도록 코드를 수정한다.

- 이후 command 입력창에 flag를 입력할 경우, FLAG 값이 출력된다.

- 획득한 FLAG 값을 Auth 페이지에 입력하면 해당 문제를 solve 할 수 있다 !

[Wargame] Webhacking.kr - old 54

dodoh4t — Mon, 20 Jun 2022 23:34:30 +0900

문제 화면

[old 54 - 문제 화면]

- Password is [ 문자 ] 부분이 JavaScript를 통해 빠르게 샤샤샥 지나간다.

- 육안으로는 FLAG 값을 외우기 힘들 정도로 빠른 속도로 지나간다.

- 소스코드를 확인해보도록 하자.

소스 코드

[old 54 - 소스 코드]

- old 54 문제에서 JavaScript에 해당하는 소스코드는 다음과 같다.

- run 함수와 answer 함수가 선언되어 있고 코드들이 쭉 나열되어 있다.

- answer 부분이 결정적으로 FLAG 값을 불러와서 출력해주고 있는 부분인 것 같은데..

- 이번 문제는 코드를 해석하면서 수정해가며 풀이하지 않고, 개발자 도구의 디버깅 기능을 통해 해결해보려 한다.

- Source 탭에서 run 함수의 시작 부분 행을 클릭하여 breakpoint를 설정한다.

Source 탭 디버깅 기능을 통한 FLAG 값 획득

동영상 서비스가 종료되어 해당 콘텐츠를 재생할 수 없습니다.

- run 함수의 선언 행에 Breakpoint 를 설정한 뒤 페이지를 새로고침한다.

- 이후 Step over next function call (단축키 F10) 을 이용하여 다음 함수의 실행을 반복한다.

- 이후 후반의 answer 함수의 실행부터 FLAG 값이 한 글자씩 출력되며,

- answer(1), answer(2,3,4 ..) 형태로 각 FLAG 자리값들을 알아낼 수 있다.

- 함수의 실행을 반복하며 FLAG 값을 획득 후 Auth 페이지에서 획득한 FLAG를 입력 시 문제를 solve할 수 있다 !

[Wargame] Webhacking.kr - old 51

dodoh4t — Mon, 20 Jun 2022 23:32:31 +0900

문제 화면

[old 51 - 문제 화면]

- Admin page 를 출력하며, ID와 PW를 입력할 수 있는 폼이 출력된다.

- 소스코드를 확인해보도록 하자 !

소스코드

[old 51 - 소스 코드]

- id 값에 대하여 addslashes 함수를 적용하고 있으며,

- pw의 경우는 md5 함수가 적용되어 있고, 추가로 true 인자 값이 작성되어 있다.

- admin 으로 로그인 성공하면 해당 문제가 solve 되는 듯 하다.

md5 함수에 true 값 존재?

md5([입력 값],true) 형태의 함수는 실행 결과에 ‘=’ 문자열이 포함되면 해당 쿼리문이 참이 되는

취약점이 존재한다. 해당 소스코드를 예시로 살펴보면 입력받는 pw 값이 싱글 쿼터로 감싸져 있다.

pw='{$input_pw}'  // $input_pw = md5($_POST['pw'],true);

이때 md5(example,true)의 실행 결과로 '=' 값이 포함되어 있다면..
pw=''='' 형태가 되어 쿼리문에서의 결과가 참이 되는 것을 확인할 수 있다.

이러한 취약한 부분을 이용하여 무작위 정수 값을 md5 함수에 대입 후 해시화하여 ‘=’ 을 포함한 결과를 출력하는 정수 대입값을 pw 부분에 입력 시 쿼리 실행문이 참이 되어 로그인이 가능해진다.

‘=’ 을 포함한 값을 찾기 위해 Python의 hashlib 모듈을 이용해서 값을 찾아보도록 하자 !

md5.py 작성 및 실행 결과

import hashlib

for i in range(0, 10000000):
    if b"'='" in hashlib.md5(str(i).encode()).digest():
        print('{}'.format(i))
        break

[md5.py 작성]

- 0부터 10000000 까지의 정수를 대입하여 md5 해시화를 진행한다.

- 이 중 ‘=’ 을 포함하는 값을 print 하도록 for 문을 작성하였다.

- 실행 결과 1839431을 출력하며 이는 md5 해시화 하였을 경우 ‘=’ 값을 포함하는 정수이다.

- 획득한 값을 이용해 메인 페이지에서 admin 계정으로 로그인을 시도하면.. (ID : admin / PW : 1839431)

- 성공적으로 문제를 solve 할 수 있다 !

[Wargame] Webhacking.kr - old 50

dodoh4t — Mon, 20 Jun 2022 23:31:42 +0900

문제 화면

[old 50 - 문제 화면]

- SQL Injection 문제이다. 최초 접속 시 id와 pw에 guest 값이 입력되어 있다.

- 소스 코드를 확인해보도록 하자 !

소스 코드

[old 50 - 소스 코드]

- id와 pw 값에 대해 addslashes 함수가 적용되어 있으며,

- mb_convert_encoding 함수를 통해 id 값에 대해 euc-kr 을 utf-8 형식으로 인코딩한다.

- 또한 from과 pw, \, 공백, %, = 에 대해 preg_match 함수를 통해 필터링하고 있으며,

- id 값에 대해 union 문자열을 대소문자 구별 없이 필터링하고 있다.

- $result 의 lv 값이 3 이 되면 문제가 solve 되는 방식이다.

- lv 칼럼값을 출력하는 쿼리문이므로, union select를 이용해 lv이 3이 되도록 구문을 작성하면 될 듯 하다.

실행되는 쿼리 구문을 살펴보았을 때, id=’/* and pw=md5(’*/union select 3#’ 을 입력하여,

lv이 3인 값을 출력하도록 유도하면 될 듯 하다. id 값에 싱글 쿼터와 주석의 시작 부분을 삽입하기에,

이후 and pw=md5(’ 부분 까지는 주석화가 되며, pw 값에 대해서는 union 문자열에 대한 필터링이

없으므로, union select 를 사용하여 값을 출력하게 유도해보자 !

주석 구문을 이용한 SQL Injection

[주석 구문을 이용한 SQL Injection]

- 위 예제에서 사용한 구문에 대한 설명은 다음과 같다.

- ?id=%a1’/*&pw=*/union select 3#

- id 값에 입력된 싱클 쿼터 이후 /* 주석을 통해 pw 값까지의 쿼리 구문을 주석화 시킨다.

- 싱글 쿼터 앞에 입력된 %a1 에 대해 아마 궁금한 점이 있을 것이다..

EUC-KR을 UTF-8로 인코딩 변환 시, addslashes 함수 우회 가능 취약점

PHP 에서 멀티 바이트 문자(%a1~%fe) 처리 시 멀티 바이트 문자 뒤에 \ 가 존재하는 경우,

하나의 문자로 처리가 되는 문제가 있다. 즉 addslashes 함수로 인해 삽입된 \ 앞에 의도적으로

멀티 바이트 문자를 삽입하면 \ 를 하나의 문자로 인식하여 무효화되어 addslashes 함수를 우회할 수 있다.

- 다시, SQL Injection 공격에 사용할 구문을 URL 인코딩 하여 작성한다.

- URL 인코딩 된 SQL Injection 페이로드는 다음과 같다.

- ?id=%a1%27%2F%2A&pw=%2A%2Funion%09select%093%23

- 공백에 대한 필터링의 경우 %09 (Tab) 을 이용하여 우회한다.

- 페이로드 작성 후 페이지 이동 시, 성공적으로 문제를 solve 할 수 있다 !

[Wargame] Webhacking.kr - old 34

dodoh4t — Mon, 20 Jun 2022 23:29:16 +0900

문제 화면

[old 34 - 문제 화면]

- 문제 페이지에 최초 접속 시 debug me 창을 출력한다.

- 확인 버튼을 클릭할 경우 페이지에는 아무 것도 표시되지 않는다.

- 소스코드를 확인해봐야할 듯 하다.

페이지 소스코드

[페이지 소스코드]

- 개발자 도구를 이용하여 페이지 소스코드를 확인해본 결과 다음과 같다.

- 일반적으로 알아보기 힘들게 JavaScript 가 난독화가 되어 있는 모습을 확인할 수 있다.

- 해당 코드 상태로는 코드에 대한 해석이 어려우므로 이전 문제 풀이때 종종 사용하였던

- JavaScript 난독화 해제 사이트를 이용하여 코드의 가독성을 개선해보도록 하자 !

- https://beautifier.io/ 사이트를 이용하여 해당 코드를 변환하였다.

JavaScript 난독화 해제

[JavaScript 난독화 해제]

- 코드를 복사하여 해당 사이트에 붙여넣기 후 Ctrl + Enter 를 입력하면 코드를 변환할 수 있다.

- 변환된 전체 코드도 내용적으로 이해가 잘 되는 코드는 아니었다..

- 문제 풀이에 있어 눈길이 가는 부분을 코드를 내리며 쭉 확인하다가 setInterval 함수 부분이 눈에 들어왔다.

- if 문을 통해 조건이 일치하면 location 함수가 실행되며, 조건이 거짓이 되는 경우 alert 가 출력된다.

- 먼저 alert의 경우 어떤 내용인지 확인해보기 위해 해당 부분만 Console에서 따로 실행해보도록 한다.

else문 alert 실행

[else문 alert 실행]

- else 문의 alert 를 단독으로 실행한 결과 페이지에 처음 접근했을 때 출력된 debug me 창이 출력되었다.

- if 문의 조건이 만족되었을 때 실행되는 location 부분이 더 유력해지는 포인트인 듯 하다.

- if 문의 조건문이 참이 되었을 경우 실행되는 location 함수 부분을 따로 실행시켜보도록 한다.

if 문 location 부분 실행

[if 문 location 부분 실행]

- location 함수 부분을 단독으로 Console 에서 실행할 경우,

- 문제가 성공적으로 solve 됨을 확인할 수 있다 !

[Wargame] Webhacking.kr - old 33

dodoh4t — Mon, 20 Jun 2022 23:28:07 +0900

문제 화면

[old 33 - 문제 화면]

- 첫 문제 페이지의 소스 코드이다.

- GET 파라미터 값으로 get = hehe를 입력하면, 앵커 태그로 Next 링크가 출력된다.

- Next 를 클릭하여 이동 시 lv2.php 페이지로 이동할 수 있다.

lv2.php 소스코드

[lv2.php 소스코드]

- hehe 를 참 좋아하는 것 같다.. 이번에는 POST 방식으로 hehe를 보내라고 한다.

- Burp Suite를 이용하여 패킷을 POST 패킷 형태로 변조하여 Forward 시켜주도록 하자 !

Burp Suite를 이용한 패킷 변조

[Burp Suite를 이용한 패킷 변조]

- 페이지를 새로 고침한 뒤 새로고침으로 로드되는 GET 패킷을 Intercept 한다.

- Method 부분을 POST로 수정하고, Content-Length와 Content-Type 부분을 추가 작성한다.

- 또한 Body 부분에 앞서 페이지 소스코드에서 확인한 조건에 맞게 값을 입력한다.

REMOTE_ADDR 입력

[REMOTE_ADDR 입력]

- 또(?) 문제가 등장했다.. 조금 귀찮아진다 여기서부터는..

- myip 파라미터 값으로 사용자의 remote_addr 즉 외부 ip를 입력해줘야한다.

- 사용자의 외부 ip의 경우 https://www.findip.kr/ 를 통해 쉽게 확인할 수 있다.

- GET 파라미터 값으로 myip=[사용자 외부 ip]를 입력하면 다음 단계로 넘어갈 수 있다.

md5(time()) 값 입력

[md5(time()) 값 입력]

- 또(?) 문제가 등장했다.. 진짜 끝이 없다..

- 이번에는 password 파라미터 값으로 md5(time()) 값을 입력해줘야 한다.

- hint 값에 대하여 md5 해시 암호화를 하여 password 값으로 입력해줘야 한다.

- 그러나, time 의 경우 시간이 지날 수록 계속 값이 변화하여 처음 화면에서 출력한 값을 md5 해시화를 해서

입력하면 시간이 지나가 문제를 해결할 수 없다.

- 따라서 넉넉하게 hint 값에서 +30 정도를 한 값을 미리 계산하여 URL에 입력 후 시간이 맞을 때까지 새로고침해준다.

- md5 의 경우 Python의 hashlib 모듈을 이용하거나, md5 해시 암호화를 해주는 웹 사이트 등을 이용하도록 한다 !

GET, POST, COOKIE

[GET, POST, COOKIE]

- GET 파라미터로 imget 값을, POST 파라미터로 impost 값을, COOKIE 값으로 imcookie를 요구한다.

- 정말 가면 갈 수록 귀찮아지는 문제인 듯 하다..

- 다시 한 번 Burp Suite를 이용하여 패킷을 변조해주도록 하자 !

imcookie 생성 및 패킷 변조

[imcookie 생성 및 패킷 변조]

- Cookie 헤더에 imcookie=1 을 작성하여 imcookie 값을 생성해주고,

- Method는 POST 방식으로 변조 후, URL 뒤에 ?imget=1 을 추가 작성하여, GET 파라미터 조건도 만족시켜준다.

- 또한 앞서 했던 방법과 동일하게 Content-Length와 Content-Type 부분을 작성 후, Body 부분에 impost 값을 입력해준다.

cookie 값 및 POST 파라미터 값 요구

[cookie 값 및 POST 파라미터 값 요구]

- 이쯤 되면 문제가 끝이 없어보인다. 또 나왔다..

- test 쿠키 값으로 md5 해시화된 REMOTE_ADDR 값을 요구하고, POST 파라미터 값으로 md5 해시화된

HTTP_USER_AGENT 값을 요구하고 있다.

cookie 값 설정 및 kk 값 입력

[cookie 값 설정 및 kk 값 입력]

- test 쿠키 값으로 md5 해시화된 사용자의 외부 ip 값을 입력해주고, POST 파라미터 값으로 md5 해시화된 User-Agent 값을

입력하여 패킷을 Forward 해주도록 한다 !

- 오탈자에 주의하여 각 헤더와 값 부분을 입력해주도록 하자.

str_replace 적용 REMOTE_ADDR 입력

[str_replace 적용 REMOTE_ADDR 입력]

- str_replace 함수를 통해 사용자의 외부 ip에 대해 . 을 공백으로 치환하고 있다.

- GET 파라미터 값으로 $_SERVER[’REMOTE_ADDR’]] = $_SERVER[’REMOTE_ADDR’] 을 받는다.

- 따라서 파라미터 값 형식은 ?xxxxxxxxxxxx=xxxxxxxxxxxx 형식이 된다.

- 앞서 확인한 사용자의 외부 ip를 . 을 제외하고 그대로 입력해주면 된다.

addr 값에 127.0.0.1 입력

[addr 값에 127.0.0.1 입력]

- 생각보다 갑자기 너무 간단해졌다.

- GET 파라미터 값으로 addr 값을 입력받는 데, 이 값이 127.0.0.1 이 되면 된다.

- ?addr=127.0.0.1 을 작성해주면 바로 넘어갈 수 있다.

$answer 값 입력

[$answer 값 입력]

- for 문을 통해 answer 변수를 선언하고 있다.

- 97부터 122까지 $i=$i+2를 반복하며 chr 함수를 통해 아스키 코드를 문자열로 입력하는 듯 하다.

- PHP Compiler 사이트를 통해 해당 for 문을 그대로 돌려서 빠르게 $answer 값을 확인해보자.

PHP Compiler를 통한 $answer 값 확인

[PHP Compiler를 통한 $answer 값 확인]

- PHP Compiler 웹 사이트를 이용하여 해당 for문을 빠르게 실행해보도록 한다.

- $answer 변수 값을 확인할 수 있으며 해당 문자열을 복사하여 ans 값에 입력해주도록 한다 !

참고) https://www.w3schools.com/php/phptryit.asp?filename=tryphp_compiler

PHP Tryit Editor v1.2

www.w3schools.com

answerip/{$answer}_{$ip}.php 접근

[answerip/{$answer}_{$ip}.php 접근]

- $ip와 $answer 값을 알아내어 fopen 함수에 작성된 경로의 .php 페이지로 접근하면 될 듯 하다.

- 그대로 앞서 사용한 PHP Compiler 를 이용해 $ip 변수에 자신의 외부 ip 주소를 입력하여 값을 알아내본다 !

PHP Compiler를 이용한 $answer, $ip 값 획득

[PHP Compiler를 이용한 $answer, $ip 값 획득]

- 실행 결과로 answerip/27553775775_5510755155를 출력함을 확인할 수 있다.

- answerip/27553775775_5510755155.php 를 URL에 추가 입력하여 해당 php 페이지에 접근 시

- 성공적으로 문제를 solve 할 수 있다 !

[Wargame] Webhacking.kr - old 32

dodoh4t — Mon, 20 Jun 2022 23:27:24 +0900

문제 화면

[old 32 - 문제 화면]

- userid와 각 랭킹들이 표시된 랭킹 화면이 길게 쭉 출력되어 있다 !

- NAME에는 각 user들의 id 들이 입력되어 있고 자신의 webhacking.kr ID를 검색해보면 하단에 귀엽게(?) 위치해있다.

- 아이디를 클릭 시, Hit가 1 올라가며 그에 상응하는 랭크가 상승한다.

hit 파라미터 값에 클릭한 아이디 노출

[hit 파라미터 값에 클릭한 아이디 노출]

- vote 한 아이디에 대해 URL 상으로 hit 파라미터 값이 노출된다.

- vote는 한 번만 가능하며, 추가적으로 vote시 you already voted를 출력하며, hit를 +1 할 수 없다.

- 이를 우회하여 자신의 id의 hit 를 100까지 상승시키면 solve 될 듯 하다 !

vote_check 쿠키를 통한 중복 vote 검증

[vote_check 쿠키를 통한 중복 vote 검증]

- 투표 여부를 어떤 방식으로 검증할까? 생각해보던 중 가장 먼저 생각난 방식.

- 바로 쿠키를 통한 기투표 여부를 확인하는 것이다 !!

- 예상대로 개발자 도구를 통해서 vote 후의 쿠키 상태를 보니, vote_check 쿠키가 새로 생성되어있다.

- 중복 vote에 대한 검증을 어떤 방식을 통해 진행하는지 알았으니, 이제 이를 우회하여 hit를 올려보자 !

Burp Suite를 통한 Vote Packet Intercept

[Burp Suite를 통한 Vote Packet Intercept]

- vote 시 패킷을 Burp Suite 로 Intercept 하여 변조한다.

- Cookie 헤더에 포함되어 있는 vote_check 쿠키를 삭제하여 패킷을 Forward 한다.

- 이후 랭킹을 확인해보면, already vote 창이 출력되지 않고 그대로 hit가 +1 되는 것을 확인할 수 있다.

- Hit를 100까지 반복적으로 올리기 위해 방금 변조한 vote 패킷을 Repeater 기능을 이용하여 반복 전송한다.

Repeater 기능을 통한 Packet 반복 전송

[Repeater 기능을 통한 Packet 반복 전송]

- vote 패킷을 Send to Repeater 를 클릭하여 Repeater 탭에 추가한다.

- 앞서 변조한 내용과 동일하게 Cookie 헤더에서 vote_check 값을 삭제 후 Send 버튼을 총 99번 반복하면 된다.

- 생각보다 노가다(?)성 작업이긴 하지만, 스트레스 풀겸 99번 마우스를 클릭 클릭하다보면 금방 완료된다.

Hit 100 달성 및 solve

- Repeater를 통해 열심히 사용자 id의 Hit Count를 100까지 반복 증가시켜준다.

- Hit Count가 100이 달성되는 순간, 해당 문제가 solve 되는 것을 확인할 수 있다 !

[Wargame] Webhacking.kr - old 27

dodoh4t — Fri, 17 Jun 2022 18:41:20 +0900

문제 화면

[old 27 - 문제 화면]

- SQL Injection 문제라고 친절히 알려주고 있다 !

- 무작정 시도해보기 전에 쿼리문이 어떤 형식으로 작성되어 있는지 확인해야하므로,

- 소스코드를 빠르게 살펴보도록 하자 !

소스코드

[old 27 - 소스코드]

- GET Method로 no 값을 입력받고 있다.

- no 값에 대해 preg_match 함수를 통해 #, select, 공백, limit 등을 대소문자 구분없이 필터링한다.

- no 값에 대하여 별도의 쿼터가 감싸져있지 않았으며, 대신 소괄호로 한 번 감싸져있다!

- id 값이 admin이 되는 경우, 해당 문제가 solve 된다 !

입력폼 대신 URL에 바로 no 값을 작성하여 전송하도록 한다. 처음 문제 풀이를 시도하면서 입력폼에

값들을 입력하여 SQL Injection을 시도하였다. 공백을 Tab (%09)가 아닌 %20을 사용하여 시도했는데,

입력폼에서 시도한 경우는 no hack이 출력되지 않았다가, URL에서 직접 입력한 경우 no hack이 출력

되었다. 입력폼에 %20을 단독으로 입력하여 submit 후 URL을 살펴보니 %2520으로 출력됨을 확인

할 수 있었다.. 따라서 필터링에 걸리지도 않지만, query error 도 덤으로 따라온다..

웬만하면 이런 문제들을 풀 때 GET 방식으로 파라미터 값을 받는 형식이라면, URL 주소창에서

직접 페이로드를 입력하는 것이 좋을 듯 하다..!!!

앞의 구문을 상쇄하는 구문 작성

[앞의 구문을 상쇄하는 구문 작성]

- 위 예제에서 사용한 구문은 다음과 같다.

- no=2)%09or%09id%09like%09%27admin%27--%09

- 앞서 소스코드에서 확인했듯이, no 값이 소괄호로 감싸져 있었으므로 기존 싱글쿼터 close 처럼 소괄호를 강제로

닫아주는 부분이 필요하다. (사실 소괄호 간과하고 문제 푸는데 시간 많이 날렸다…)

- no 값에 guest의 no 값인 1을 피해서, 2를 입력하고 소괄후를 닫은 후 or 구문을 이용하여 앞에 작성된

id=’guest’ 부분을 무시할 수 있도록 or%09id%09like%09‘admin’%27--%09를 작성한다.

- ‘admin’ 이후 주석부분도 %23을 사용했었으나, 필터링에 막혀서 --%09를 사용하여 주석화하였다.

- 구문을 입력 후 전송하면, 성공적으로 문제가 solve 되는 것을 확인할 수 있다!

[Wargame] Webhacking.kr - old 26

dodoh4t — Thu, 16 Jun 2022 22:51:21 +0900

소스코드

[old 26 - 소스코드]

- old 26 문제의 경우 문제 화면이 별도로 존재하지 않아 문제 화면을 생략하였다.

- preg_match 함수를 통해 id 파라미터 값에 입력되는 문자열 중 admin 을 필터링 한다.

- id 파라미터 값을 URL Decode 하였을 때 admin 이 되는 경우 문제가 solve 된다.

- 생각보다 단순하고 금방 풀 수 있을 듯 하다 !!

admin 문자열을 URL 인코딩 값으로 삽입

[admin 문자열을 URL 인코딩 값으로 삽입]

- id 파라미터 값으로 admin 문자열을 URL 인코딩하여 삽입한다.

- URL 인코딩 표는 검색을 통해 쉽게 참고할 수 있으며, 위 예제에서 입력한 값은 다음과 같다.

- %61%64%6d%69%6e

- 값을 입력 후, 엔터를 치면….!!! no! 를 출력하며, 문제가 solve 되지 않는다.

- no! 가 출력된 페이지의 URL을 확인해보니 id 값이 admin으로 입력되어 있다.

- PHP 단에서 urldecode 함수가 실행되기 이전에, 브라우저 단에서 URL 디코딩이 먼저 실행된 듯 하다..

- 브라우저 단에서의 URL 디코딩을 고려하여, admin 문자열에 대한 URL 인코딩을 2번 중첩하여 값을 넣어보도록 한다 !

admin 문자열 URL 인코딩 x 2

[admin 문자열 URL 인코딩 x 2]

- admin 문자열에 대해 URL 인코딩을 한 값에 대하여 한번 더 URL 인코딩을 진행한다.

- 위 예제에서 이용한 URL 인코딩 사이트는 아래와 같다 !

- 획득한 URL 더블 인코딩 텍스트를 복사한 후..

참고) https://www.convertstring.com/ko/EncodeDecode/UrlEncode

URL 인코딩 - 온라인 URL 인코더

www.convertstring.com

id 값에 URL 더블 인코딩 텍스트 삽입

[id 값에 URL 더블 인코딩 텍스트 삽입]

- %2561%2564%256d%2569%256e

- id 값에 앞서 획득한 URL 더블 인코딩 텍스트를 삽입하였다.

- 성공적으로 문제가 solve 되는 것을 확인할 수 있다 !

[Wargame] Webhacking.kr - old 25

dodoh4t — Thu, 16 Jun 2022 21:17:14 +0900

문제 화면

[old 25 - 문제 화면]

- ls 명령어가 출력된 것으로 보이는 화면이 출력되어 있다.

- file 파라미터 값으로 hello 가 입력되어 있으며, textarea에 hello world가 출력되어 있다.

- file 파라미터 값으로 ls 로 확인할 수 있는 파일명을 입력하면 파일 내용을 확인할 수 있는 듯 하다.

- LFI (Local File Inclusion) 취약점을 이용하여 풀이하는 문제인 것 같다 !!

- 먼저 file 값으로 flag 를 입력해보도록 한다.

LFI 취약점에 관한 실습 내용은 아래 포스트를 참고하면 좋을 듯 하다 !

[DVWA] File Inclusion (Low)

File Inclusion Vulnerability 공격자가 악성 스크립트를 서버에 전달하여, 해당 페이지를 통해 전달한 악성 스크립트 또는 코드가 실행되도록 하는 취약점이다. 삽입 파일의 위치에 따라서 RFI(Remote File

dyeonee.tistory.com

file 값에 flag 입력

[file 값에 flag 입력]

- file 값에 flag를 입력하여 페이지 탐색 시 FLAG is in the code 라는 문자열이 출력된다.

- flag.php 코드 내에 FLAG 값이 존재하는 듯 하다.

- 추가로 file 값에 index 를 넣어 index.php 의 결과도 확인해보았으나, 아무 것도 없었다.

- flag.php 의 코드 내용을 확인하기 위해서는 어떻게 해야 할까 ??

예전에 Dreamhack.io 의 웹 해킹 강의를 학습하면서 필기했던 내용인 PHP Wrapper가 떠올랐다.

PHP Wrapper 가 어떤 것이며, 어떻게 사용하는지 먼저 알아보자 !!

출처 및 참고 : dreamhack.io

해커들의 놀이터, Dreamhack

해킹과 보안에 대한 공부를 하고 싶은 학생, 안전한 코드를 작성하고 싶은 개발자, 보안 지식과 실력을 업그레이드 시키고 싶은 보안 전문가까지 함께 공부하고 연습하며 지식을 나누고 실력 향

dreamhack.io

PHP Wrapper

PHP는 파일 시스템 함수에서 URL style 프로토콜을 위한 wrapper들이 존재하는데, 파일 시스템 관련 함수로 filename이 사용자의 입력이 될 경우 php wrapper를 사용해 개발자의 의도와 다른 행위를 발생시킬 수 있다.

php://filter : I/O 스트림에 특정 필터를 설정
- read=<filter> : read 시 사용할 필터
- write=<filter> : write 시 사용할 필터
- resource=<stream name> : 필터링을 설정할 stream 정보

# /etc/passwd 를 대문자로 read
php://filter/read=string.toupper/resource=/etc/passwd

# 데이터 출력 시 대문자로 처리
php://filter/write=string.toupper/resource=example.txt,"Hello World"

php에서 include시 php 태그가 존재하면 php가 실행되고 해당 코드는 출력되지 않는다. 따라서, base64 등의

인코딩을 통해 php tag를 인코딩 시켜 코드가 실행되지 않고 출력되게 하여 소스코드를 노출시키는 방법을 자주 사용한다.

php://filter/read=convert.base64-encode/resource=filename.php

PHP Wrapper를 이용한 base64-encode 값 획득

[PHP Wrapper를 이용한 base64-encode 값 획득]

- PHP Wrapper의 filter 기능을 이용하여 flag.php를 base64-encode로 변환하여 read 한다.

- 위 예제에 사용한 구문은 다음과 같다.

- php://filter/read=convert.base64-encode/resource=flag

- flag.php 의 내용이 base64 방식으로 encode 되어 textarea에 출력되었다 !

- base64 decode 사이트를 이용하여 해당 내용을 디코딩하여 확인해보도록 한다.

참고) base64 encode / decode 사이트

Base64 Decode and Encode - Online

Decode from Base64 format or encode into it with various advanced options. Our site has an easy to use online tool to convert your data.

www.base64decode.org

FLAG 값 획득

[FLAG 값 획득]

- 앞서 획득한 base64로 인코딩된 값을 사이트에 붙여넣기 후 decode 한다.

- flag.php 의 소스코드를 확인할 수 있으며 $flag 변수 값으로 FLAG 값이 작성되어 있다.

- FLAG 값을 복사하여 webhacking.kr 메인 화면의 좌측 Auth 탭으로 이동하여

- FLAG 입력란에 해당 FLAG 값을 붙여넣기 후 auth 해주면 문제가 solve 된다 !

[Wargame] Webhacking.kr - old 24

dodoh4t — Thu, 16 Jun 2022 19:50:09 +0900

문제 화면

[old 24 - 문제 화면]

- client ip와 user-agent 를 나태는 듯한 agent 정보를 출력하고 있다.

- Wrong IP ! 를 출력하며 IP 가 잘못됐다고 알려주고 있다.

- 해당 화면만 보아서는 어떤 문제인지 잘 알기 힘드므로 바로 소스코드를 확인해보자 !

소스코드

[old 24 - 소스코드]

- view-source 를 클릭하여 해당 문제 페이지의 소스코드를 확인한다.

- extract 함수를 사용하여 $_SERVER와 $_COOKIE 를 변수화 하고 있으며,

- $ip는 $REMOTE_ADDR로, $agent는 $HTTP_USER_AGENT 로 정의되고 있다.

- 또한 $REMOTE_ADDR 즉 $ip 값에 대해 htmlspecialchars 함수가 적용되어 있으며,

- str_replace 함수를 통해 설정한 문자들에 대해 두 번째 인자값으로 치환을 진행한다.

- str_replcae 함수를 거치고 나서 치환된 값이 127.0.0.1 과 일치하면,

- 해당 문제가 solve 되는 구조인 듯 하다 !

- 결론적으로 문제를 풀기 위해 건드려야되는 부분은 $ip 이므로, $agent는 신경쓰지 않는다 !

- 먼저, extract 함수와 htmlspecialchars 함수에 대해 알아보자

PHP - extract 함수

: 배열 속의 키 값들을 변수화하는 함수

# extract_ex.php

<?php
$a[x] = 1;
$a[y] = 2;
extract($a);

echo "x = $x";
echo "y = $y";
?>

# result extract_ex.php

x = 1
x = 2

- $_GET 이나 $_POST 함수를 extract 함수를 이용해 변수화하여 사용할 경우

- 미리 선언된 변수 값에 대해 $_GET, $_POST 로 받아오는 값으로 덮어쓰기 될 수 있음

htmlspecialchars 함수

: HTML 태그에 사용되는 특수문자가 포함된 문장을 입력하고 화면으로 출력 시, 해당 문장에 포함된

특수문자가 HTML 태그가 아닌, 문자열에 존재하는 특수문자로 출력되도록 하는 함수

& → &
“” → "
‘’ → '
< → <
> → > >

소스코드 분석

[old 24 - 소스코드]

- 앞에 작성한 내용들을 생략하고, 코드에 대한 내용들을 살펴보면 ..

- $ip 변수는 $REMOTE_ADDR이며, 이는 또한 extract($_COOKIE)를 통해서 쿠키값으로 덮어쓰기가 가능하다.

- 즉 REMOTE_ADDR이라는 쿠키를 생성하여 str_replace 함수를 거치고 나서의 쿠키값이

- 127.0.0.1이 되도록 쿠키값을 수정해주면 되는 문제이다.

- str_replace 함수에 대한 우회 방법은 dvwa 실습 및 웹 워게임 포스팅에서 작성한 바가 있으므로, 참고하면 좋을 듯 하다 !

- 새로 REMOTE_ADDR 쿠키를 생성하여 값을 넣어주도록 하자 !

REMOTE_ADDR 쿠키 생성

[REMOTE_ADDR 쿠키 생성]

- str_replace 함수의 치환을 거쳐 127.0.0.1 이 되게하는 쿠키값은 다음과 같다.

- 112277….00….00….1

- 쿠키를 다음 예제와 같이 생성 후 old 24 문제 페이지로 이동 시 성공적으로 문제가 solve 된다 !

[Wargame] Webhacking.kr - old 23

dodoh4t — Thu, 16 Jun 2022 18:43:29 +0900

문제 화면

[old 23 - 문제 화면]

- 우리의 미션은 <script> 태그를 이용해 alert(1) 을 띄우는 것이라고 한다.

- XSS (Cross Site Scripting) 문제인듯 하다 ??

- 먼저 아래 알려준 바와 같이 <script>alert(1);</script>를 입력하여 제출해보았다.

- no hack 문자열을 출력하며, XSS가 먹히지 않는 모습을 볼 수 있다. (캡쳐 생략)

- 소스코드를 확인해봐야할 듯 하다 !

소스코드

[old 23 - 소스코드]

- 소스코드를 확인해보았으나, 뭐 딱히 얻을 수 있는 힌트가 없었다..

- 일단 값들을 대입해보면서 어떤 경우에 no hack이 뜨는지 확인해봐야할 듯 하다.

입력폼이 아닌 URL에 값 대입

[URL 주소창 상에서의 값 대입]

- 먼저 태그 부호에 대해 값을 삽입해보았다.

- no hack 출력 없이 정상적으로 각 부호들이 출력되며, / (슬래시) 부호도 잘 출력된다.

- 또한 ; (세미콜론) 도 필터링 없이 성공적으로 출력된다.

- script, alert 문자열에 관한 필터링이 존재할 수도 있으므로 시도해보자 !

script, alert 문자열 필터링 여부 테스트

[script, alert 문자열 필터링 여부 테스트]

- script 또는 alert 을 삽입하였을 경우 no hack을 출력하며 필터링된다.

- 해당 문자열에 대한 필터링이 존재하는듯 하다.

- 문자열 전체에 대한 필터링인지 또는 특정 부분까지만의 필터링인지 확인해보기 위해서,

- script, alert 단어에서 한 글자씩 줄여가며 값을 대입해보았다.

자릿 수 감소 영문 문자열 대입을 통한 필터링 조건 확인

[자릿 수 감소 영문 문자열 대입을 통한 필터링 조건 확인]

- script 에서 맨 끝 자리 문자부터 한 글자씩 삭제하며 값을 대입해보았다.

- 최종적으로 s 한 글자를 대입했을 경우에 필터링이 되지 않는다.

- alert 도 동일하게 al 까지는 필터링이 동작하며, a 한 글자만 대입하였을 경우는 필터링이 동작하지 않는다.

- 이후 추가적으로 다른 알파벳과 특수문자, 숫자들을 이용하여 테스트 해보았다.

특수문자, 숫자 대입을 통한 필터링 조건 확인

[특수문자, 숫자 대입을 통한 필터링 조건 확인]

- 특수문자와 숫자들은 문자열 길이에 대한 필터링이 존재하지 않으며, 알파벳에 대해서만 존재하는 점을 알 수 있다.

- 즉 해당 문제를 풀기 위해서는 영문 문자열에 대한 문자열 길이 필터링을 우회하여 mission을 성공시켜야한다 !

%00 (NULL) 삽입을 통한 XSS

- 문자열 길이 필터링에 대한 우회, 특정 문자열에 대한 필터링 우회 방법으로 %00 (NULL) 삽입이 떠올랐다.

- 종종 웹 관련 워게임 문제들에서 NULL 을 삽입하여 해결하는 문제들이 있으므로 미리 알고 가면 좋을 듯 하다 !

- 위 예제에서 작성하여 대입한 구문은 다음과 같다.

- <%00s%00c%00r%00i%00p%00t>a%00l%00e%00r%00t(1);</%00s%00c%00r%00i%00p%00t>

- 영문 문자열 길이 필터링을 우회하여 alert 함수를 실행할 수 있다.

- alert이 출력되고 확인 버튼을 누르면, 성공적으로 문제가 solve 된다 !

[Wargame] Webhacking.kr - old 20

dodoh4t — Thu, 16 Jun 2022 01:56:13 +0900

문제 화면

[old 20 - 문제 화면]

- nickname과 comment, captcha를 입력할 수 있는 입력폼들이 보인다.

- 상단에 time limit : 2 second 를 보아, 모든 내용들을 2초 안에 submit 해야하는듯 하다..

- 폼에 대한 값들이 submit 되는 로직을 소스코드를 보며 살펴보도록 하자 !

소스코드

[old 20 - 소스코드]

- ck 함수 부분에서 입력값들에 대한 검증이 이루어지는 것을 확인할 수 있다.

- 각 항목에 대하여 값이 공백일 경우, 커서를 해당 항목을 입력하는 폼에 focus 시키며

- captcha 항목의 경우는 captcha_.value와 일치하지 않을 경우에도 입력폼에 커서를 focus 한다.

- 해당 코드들을 조금만 수정하면 역으로 값을 대입하는 용도로 사용할 수 있다 !

ck 함수 내 코드 Customizing

[ck 함수 내 코드 Customizing]

- ck 함수 내 코드들에 대해 if문을 제거하고 비교 연산자를 등호로 수정하였다.

- id와 cmt 값에 대하여 원하는 입력값을 대입하도록 작성하였으며,

- captcha의 경우 captcha.value 값에 captcha_.value 값을 대입하도록 작성하였다.

- 그리고 submit 하여 바로 해당 입력값들을 전송한다 !

- 2초 안에 submit을 완료해야하므로, Console 탭에 미리 해당 코드들을 작성해준 뒤

- 빠르게 새로고침하여 코드를 실행하면 문제를 solve 할 수 있다 !

[Wargame] Webhacking.kr - old 19

dodoh4t — Thu, 16 Jun 2022 01:12:42 +0900

문제 화면

[old 19 - 문제 화면]

- id 입력폼의 value 값으로 admin이 작성되어 있으며, 수정할 수 없다.

- 제출 버튼을 눌러 submit 할 경우 you are not admin 문자열을 출력한다.

- submit 시 URL에 id 값이 보이는 것을 보아, GET 방식으로 form 데이터가 전송되는 것을 알 수 있다.

- 소스코드도 확인해도록 하자 !

소스코드

[old 19 - 소스코드]

- 코드들이 짧고 간결한게 아주 아주 좋다..!

- 사실 볼만한 부분이 <form> 태그 부분 뿐이므로, 4줄에 대해서만 확인하면 된다.

- id 값은 value로 admin을 가지고 있으며, 최대 길이는 5, 사이즈는 5이다.

- 얼추 어떤 내용인지 확인했으므로, URL 상에서 id 값을 수정하여 admin으로 로그인을 시도해보자!

id 파라미터 값 수정

[id 파라미터 값 수정]

- admin으로 로그인하기 위해 시도할 수 있는 방법들을 전부 시도해보았다.

- 가장 먼저는 admin 뒤에 %00 (NULL) 을 추가해 admin%00로 시도해보았으나, 실패했다.

- 이후 SQL Injection 시 사용되는 싱글 쿼터(’)를 admin 뒤에 삽입했더니 문제가 solve 되었다.

- 위 예제에서 사용한 구문은 다음과 같다.

- id=admin’

- 이외에도 admin”, admin--, admin%23, admin’-- 등 다양한 구문들이 공격에 성공하였으며,

- 이 점들을 미루어 보았을 때 SQL Injection 공격에 대한 대응이 이루어지지 않는 듯 하다.

SQL Injection에 대한 여러 가지 내용들은 Lord of SQL Injection 포스팅에서 많이 다루었다.

SQL Injection에 대해 더 알고 싶거나, 자세한 내용들이 궁금하다면 LoS 카테고리

https://dyeonee.tistory.com/category/Wargame/Lord of SQL Injection를 참고하면 좋을듯 하다 !!

'Wargame/Lord of SQL Injection' 카테고리의 글 목록

차세대 보안 리더 양성 프로그램 Best of The Best 10기 보안 컨설팅 트랙

dyeonee.tistory.com