web-ssrf

DreamHack/WEB

web-ssrf

G_OM 2024. 9. 26. 17:13

#!/usr/bin/python3
from flask import (
    Flask,
    request,
    render_template
)
import http.server
import threading
import requests
import os, random, base64
from urllib.parse import urlparse

app = Flask(__name__)
app.secret_key = os.urandom(32)

try:
    FLAG = open("./flag.txt", "r").read()  # Flag is here!!
except:
    FLAG = "[**FLAG**]"


@app.route("/")
def index():
    return render_template("index.html")


@app.route("/img_viewer", methods=["GET", "POST"])
def img_viewer():
    if request.method == "GET":
        return render_template("img_viewer.html")
    elif request.method == "POST":
        url = request.form.get("url", "")
        urlp = urlparse(url)
        if url[0] == "/":
            url = "http://localhost:8000" + url
        elif ("localhost" in urlp.netloc) or ("127.0.0.1" in urlp.netloc):
            data = open("error.png", "rb").read()
            img = base64.b64encode(data).decode("utf8")
            return render_template("img_viewer.html", img=img)
        try:
            data = requests.get(url, timeout=3).content
            img = base64.b64encode(data).decode("utf8")
        except:
            data = open("error.png", "rb").read()
            img = base64.b64encode(data).decode("utf8")
        return render_template("img_viewer.html", img=img)


local_host = "127.0.0.1"
local_port = random.randint(1500, 1800)
local_server = http.server.HTTPServer(
    (local_host, local_port), http.server.SimpleHTTPRequestHandler
)
print(local_port)


def run_local_server():
    local_server.serve_forever()


threading._start_new_thread(run_local_server, ())

app.run(host="0.0.0.0", port=8000, threaded=True)

문제 전체 코드이다.

문제 사이트도 들어가 보자.

image Viewer에 들어가서 url 안에 있는 경로를 view 버튼을 눌렀더니 png 가 나온다.

뭐 할거 없으니 중요 코드를 보러 가자

url = request.form.get("url", "")
urlp = urlparse(url)

url에 대해서 POST 요청으로 처리가 된다.

if url[0] == "/":
            url = "http://localhost:8000" + url
        elif ("localhost" in urlp.netloc) or ("127.0.0.1" in urlp.netloc):
            data = open("error.png", "rb").read()
            img = base64.b64encode(data).decode("utf8")
            return render_template("img_viewer.html", img=img)

if 문에서는 URL에 대해서 상대경로인지 확인한다.

만약 상대경로이면 절대경로인 "http://localhost:8000"으로 바꾼다.

elif에서는 urlp.netloc을 사용하여 "localhost" , "127.0.0.1"을 확인한다.

조건에 맞다면 error.png를 불러온다.

error.png 이미지를 가져올 때 base64 인코딩을 해서 표시한다.

try:
    data = requests.get(url, timeout=3).content
    img = base64.b64encode(data).decode("utf8")
except:
    data = open("error.png", "rb").read()
    img = base64.b64encode(data).decode("utf8")
return render_template("img_viewer.html", img=img)

다르게 URL 이 로컬 호스트(127.0.0.1 , localhost)가 아닐 경우, error.png를 출력한다.

똑같이 base64 인코딩해서 표시한다.

local_host = "127.0.0.1"
local_port = random.randint(1500, 1800)
local_server = http.server.HTTPServer(
    (local_host, local_port), http.server.SimpleHTTPRequestHandler
)
print(local_port)

local_host는 127.0.0.1로 설정

port 은 1500~1800 사이의 랜덤포트 번호이다.

local_server는 HTTP 서버를 설정한다.

서버에 들어가 /flag.txt를 출력하려면

http:로컬호스트:{랜덤포트번호}를 만족시켜야 한다.

로컬호스트는 "localhost" , "127.0.0.1" 으로만 막아둔 상태이다.

그러면 로컬호스트는 "Localhost" , "LOCALHOST" , "0.0.0.0" 으로 우회가 가능하다.

나머지 포트번호를 찾기 위해서는 1500~1800 에다가 브루트 포스 연산을 넣어야하는데

조건을 찾아야한다.