LineCTF(2023) - Baby Simple GoCurl

# Baby Simple GoCurl

문제 페이지에 접속하면 URL, Header Key, Header Value를 설정하여 Curl 요청을 보낼 수 있는 기능이 존재한다. 상단에는 현재 내가 할당받은 IP주소가 표기되게 되어있다.

https://www.naver.com , test, test로 요청을 보내면 아래 처럼 Response가 나타난다.

• GET /flag/

r.GET("/flag/", func(c *gin.Context) {
		reqIP := strings.Split(c.Request.RemoteAddr, ":")[0]

		log.Println("[+] IP : " + reqIP)
		if reqIP == "127.0.0.1" {
			c.JSON(http.StatusOK, gin.H{
				"message": flag,
			})
			return
		}

		c.JSON(http.StatusBadRequest, gin.H{
			"message": "You are a Guest, This is only for Host",
		})
	})

• GET /curl/

r.GET("/curl/", func(c *gin.Context) {
	client := &http.Client{
		CheckRedirect: func(req *http.Request, via []*http.Request) error {
			return redirectChecker(req, via)
		},
	}

	reqUrl := strings.ToLower(c.Query("url"))
	reqHeaderKey := c.Query("header_key")
	reqHeaderValue := c.Query("header_value")
	reqIP := strings.Split(c.Request.RemoteAddr, ":")[0]
	fmt.Println("[+] " + reqUrl + ", " + reqIP + ", " + reqHeaderKey + ", " + reqHeaderValue)

	if c.ClientIP() != "127.0.0.1" && (strings.Contains(reqUrl, "flag") || strings.Contains(reqUrl, "curl") || strings.Contains(reqUrl, "%")) {
		c.JSON(http.StatusBadRequest, gin.H{"message": "Something wrong"})
		return
	}

	req, err := http.NewRequest("GET", reqUrl, nil)
	if err != nil {
		c.JSON(http.StatusBadRequest, gin.H{"message": "Something wrong"})
		return
	}

	if reqHeaderKey != "" || reqHeaderValue != "" {
		req.Header.Set(reqHeaderKey, reqHeaderValue)
	}

	resp, err := client.Do(req)
	if err != nil {
		c.JSON(http.StatusBadRequest, gin.H{"message": "Something wrong"})
		return
	}

	defer resp.Body.Close()

	bodyText, err := ioutil.ReadAll(resp.Body)
	if err != nil {
		c.JSON(http.StatusBadRequest, gin.H{"message": "Something wrong"})
		return
	}
	statusText := resp.Status

	c.JSON(http.StatusOK, gin.H{
		"body":   string(bodyText),
		"status": statusText,
	})
})

첫 번째 조건을 보면 c.ClientIP()가 127.0.0.1이 아니고, requrl 파라미터에 flag, curl, %의 문자열이 포함되어있으면 오류를 반환하도록 되어있다.

해당 부분을 만족시켜 서버에서(127.0.0.1) 직접 GET /flag 를 호출하는것을 목표로 잡고 진행한다.

1. GET /flag 에서 확인하는 IP flag 함수에서 확인하는 IP는 RemoteAddr() 이다. 해당 IP는 요청한 Client의 IP를 가져온다.
2. GET /curl 에서 확인하는 IP curl 함수에서 확인하는 IP는 Go의 c.ClientIP() 이다. 해당 IP는 Document에 따르면 내부적으로 신뢰할 수 있는 IP인지 확인한고 신뢰 가능하다면 X-Fowarded-For나 X-Real-IP 헤더를 참조하고, 구문적으로 유효하지 않거나 신뢰성이 없다면 원격 Client IP인 RemoteAddr을 참조한다.

참고 : https://github.com/gin-gonic/gin/blob/v1.9.0/context.go#L771

Request에 X-Fowarded-For 헤더를 담아서 요청을 보내보면 아래 처럼 c.ClientIP()에의해 출력되는 IP가 변조되는 것을 확인할 수 있다.

GET /curl/ 함수의 IP 체크는 우회가 되어 이제 requrl에 flag 문자열을 포함하여 요청을 보낼 수 있다.

그럼 이제 서버에서 직접 localhost로 요청을 보내게되면 GET /flag에서 체크하는 IP 조건인 127.0.0.1도 만족할 수 있다.

• GIN 서비스의 Default Port가 8080이다.