[Dreamhack] file-download-1

💬 문제 설명

File Download 취약점이 존재하는 웹 서비스입니다.
flag.py를 다운로드 받으면 플래그를 획득할 수 있습니다.

✨ 풀이

File Download 취약점

웹 서버에 있는 파일을 다운로드 할 수 있는 경우에 다운로드 시에 파일 경로를 조작하여 내부 정보 다운로드 가능하게 하는 취약점

 

간단하게 파일 업로드 및 읽기가 가능한 사이트였다.

소스코드를 봤을 때 아래와 같이 ..의 입력을 막길래 다른 방법을 찾느라 헤맸다.

if filename.find('..') != -1:
return render_template('upload_result.html', data='bad characters,,')

 

그런데 다시 생각해보니 upload에만 해당 유효성을 확인하는 부분이 있고 read에는 그 부분이 없다는 사실을 알게 됐다!

read의 경로가 /read?name=memo와 같이 쿼리 스트링으로 파일이름을 받는다는 것을 알게 되었다.

코드를 통해 저장된 파일이 최상위 폴더 하위에 저장된다는 것을 알게 되어 최종 목표가 ../flag.py임을 알게 되었다.

try:
    with open(f'{UPLOAD_DIR}/{filename}', 'rb') as f:
        data = f.read()

 

/read?name=../flag.py로 경로 요청하니 플래그 값이 나왔다!