Web/Web Hacking (Wargame)

[webhacking.kr] old-06

728x90

✏️ Check

문제에서 제공하는 페이지에 접속하면 ID와 PW가 출력되고 source code를 볼 수 있도록 링크가 첨부되어 있다.

<?php
include "../../config.php";
if($_GET['view_source']) view_source();
if(!$_COOKIE['user']){
  $val_id="guest";
  $val_pw="123qwe";
  for($i=0;$i<20;$i++){
    $val_id=base64_encode($val_id);
    $val_pw=base64_encode($val_pw);
  }
  $val_id=str_replace("1","!",$val_id);
  $val_id=str_replace("2","@",$val_id);
  $val_id=str_replace("3","$",$val_id);
  $val_id=str_replace("4","^",$val_id);
  $val_id=str_replace("5","&",$val_id);
  $val_id=str_replace("6","*",$val_id);
  $val_id=str_replace("7","(",$val_id);
  $val_id=str_replace("8",")",$val_id);

  $val_pw=str_replace("1","!",$val_pw);
  $val_pw=str_replace("2","@",$val_pw);
  $val_pw=str_replace("3","$",$val_pw);
  $val_pw=str_replace("4","^",$val_pw);
  $val_pw=str_replace("5","&",$val_pw);
  $val_pw=str_replace("6","*",$val_pw);
  $val_pw=str_replace("7","(",$val_pw);
  $val_pw=str_replace("8",")",$val_pw);

  Setcookie("user",$val_id,time()+86400,"/challenge/web-06/");
  Setcookie("password",$val_pw,time()+86400,"/challenge/web-06/");
  echo("<meta http-equiv=refresh content=0>");
  exit;
}
?>
<html>
<head>
<title>Challenge 6</title>
<style type="text/css">
body { background:black; color:white; font-size:10pt; }
</style>
</head>
<body>
<?php
$decode_id=$_COOKIE['user'];
$decode_pw=$_COOKIE['password'];

$decode_id=str_replace("!","1",$decode_id);
$decode_id=str_replace("@","2",$decode_id);
$decode_id=str_replace("$","3",$decode_id);
$decode_id=str_replace("^","4",$decode_id);
$decode_id=str_replace("&","5",$decode_id);
$decode_id=str_replace("*","6",$decode_id);
$decode_id=str_replace("(","7",$decode_id);
$decode_id=str_replace(")","8",$decode_id);

$decode_pw=str_replace("!","1",$decode_pw);
$decode_pw=str_replace("@","2",$decode_pw);
$decode_pw=str_replace("$","3",$decode_pw);
$decode_pw=str_replace("^","4",$decode_pw);
$decode_pw=str_replace("&","5",$decode_pw);
$decode_pw=str_replace("*","6",$decode_pw);
$decode_pw=str_replace("(","7",$decode_pw);
$decode_pw=str_replace(")","8",$decode_pw);

for($i=0;$i<20;$i++){
  $decode_id=base64_decode($decode_id);
  $decode_pw=base64_decode($decode_pw);
}

echo("<hr><a href=./?view_source=1 style=color:yellow;>view-source</a><br><br>");
echo("ID : $decode_id<br>PW : $decode_pw<hr>");

if($decode_id=="admin" && $decode_pw=="nimda"){
  solve(6);
}
?>
</body>
</html>

내부적으로 decode_id와 decode_pw의 값이 'admin'과 'nimda'일 때 문제를 해결할 수 있다.

 

🔎 Analyze

📑 소스코드 분석

코드를 나눠서 분석해보자!

if($_GET['view_source']) view_source();
if(!$_COOKIE['user']){
  $val_id="guest";
  $val_pw="123qwe";
  for($i=0;$i<20;$i++){
    $val_id=base64_encode($val_id);
    $val_pw=base64_encode($val_pw);
  }
  $val_id=str_replace("1","!",$val_id);
  $val_id=str_replace("2","@",$val_id);
  $val_id=str_replace("3","$",$val_id);
  $val_id=str_replace("4","^",$val_id);
  $val_id=str_replace("5","&",$val_id);
  $val_id=str_replace("6","*",$val_id);
  $val_id=str_replace("7","(",$val_id);
  $val_id=str_replace("8",")",$val_id);

  $val_pw=str_replace("1","!",$val_pw);
  $val_pw=str_replace("2","@",$val_pw);
  $val_pw=str_replace("3","$",$val_pw);
  $val_pw=str_replace("4","^",$val_pw);
  $val_pw=str_replace("5","&",$val_pw);
  $val_pw=str_replace("6","*",$val_pw);
  $val_pw=str_replace("7","(",$val_pw);
  $val_pw=str_replace("8",")",$val_pw);

  Setcookie("user",$val_id,time()+86400,"/challenge/web-06/");
  Setcookie("password",$val_pw,time()+86400,"/challenge/web-06/");
  echo("<meta http-equiv=refresh content=0>");
  exit;
}

코드를 암호화하는 부분이다. 

val_id와 val_pw의 값은 "guest"와 "123qwe"로 하드코딩되어 있다.

val_id와 val_pw는 base64 encoding을 20번 수행 한 후, 자체적으로 각 숫자들을 특별한 문자들로 바꾼다.

 

$decode_id=$_COOKIE['user'];
$decode_pw=$_COOKIE['password'];

$decode_id=str_replace("!","1",$decode_id);
$decode_id=str_replace("@","2",$decode_id);
$decode_id=str_replace("$","3",$decode_id);
$decode_id=str_replace("^","4",$decode_id);
$decode_id=str_replace("&","5",$decode_id);
$decode_id=str_replace("*","6",$decode_id);
$decode_id=str_replace("(","7",$decode_id);
$decode_id=str_replace(")","8",$decode_id);

$decode_pw=str_replace("!","1",$decode_pw);
$decode_pw=str_replace("@","2",$decode_pw);
$decode_pw=str_replace("$","3",$decode_pw);
$decode_pw=str_replace("^","4",$decode_pw);
$decode_pw=str_replace("&","5",$decode_pw);
$decode_pw=str_replace("*","6",$decode_pw);
$decode_pw=str_replace("(","7",$decode_pw);
$decode_pw=str_replace(")","8",$decode_pw);

for($i=0;$i<20;$i++){
  $decode_id=base64_decode($decode_id);
  $decode_pw=base64_decode($decode_pw);
}

코드를 복호화 하는 부분이다.

각각 decode_id와 decode_pw는 쿠키 중 'user'와 'password'의 값을 읽어온다.

각 값들은 차례로 문자대체 -> base64 decoding의 과정을 통해 복호화한다.

 

그렇다면 'user'와 'password'의 cookie 값을 admin과 nimda의 암호화된 형태로 바꾸면 되지 않을까..

 

🍪 암호화하기

base64 인코딩을 20번 수행하고 숫자는 특수 문자로 바꾼다.

 

이 작업을 하나씩 사이트에 입력해보기는 어려우니 스크립트를 작성해서 사용했다.

더보기 
import base64

id = b'admin'
pw = b'nimda'

for i in range(20):
    id = base64.b64encode(id)
    pw = base64.b64encode(pw)

id.replace(b"1", b"!")
id.replace(b"2", b"@")
id.replace(b"3", b"$")
id.replace(b"4", b"^")
id.replace(b"5", b"&")
id.replace(b"6", b"*")
id.replace(b"7", b"(")
id.replace(b"8", b")")

pw.replace(b"1", b"!")
pw.replace(b"2", b"@")
pw.replace(b"3", b"$")
pw.replace(b"4", b"^")
pw.replace(b"5", b"&")
pw.replace(b"6", b"*")
pw.replace(b"7", b"(")
pw.replace(b"8", b")")

print("id:" + str(id))
print("pw: "+ str(pw))

 

 

🔓 Exploit

SMALL

'Web > Web Hacking (Wargame)' 카테고리의 다른 글

[webhacking.kr] old-07  (0) 2022.12.23
[webhacking.kr] old-05  (0) 2022.12.22
[webhacking.kr] old-02  (0) 2022.12.17
[Dreamhack] Carve Party  (0) 2022.04.24
[HackCTF] hidden  (0) 2021.08.13

    티스토리툴바