LineCTF(2023) - Adult Simple GoCurl

# Adult Simple GoCurl

이전 문제인 Baby Simple GoCurl에서 업그레이드된 문제이다.

소스코드상 변경된 부분만 살펴보면 flag 문자열을 검사하는 로직이 || 으로 바뀌었고, ClientIP() 함수를 체크하는 로직이 없어졌다.

reqUrl := strings.ToLower(c.Query("url"))
		reqHeaderKey := c.Query("header_key")
		reqHeaderValue := c.Query("header_value")
		reqIP := strings.Split(c.Request.RemoteAddr, ":")[0]
		fmt.Println("[+] " + reqUrl + ", " + reqIP + ", " + reqHeaderKey + ", " + reqHeaderValue)

		if strings.Contains(reqUrl, "flag") || strings.Contains(reqUrl, "curl") || strings.Contains(reqUrl, "%") {
			c.JSON(http.StatusBadRequest, gin.H{"message": "Something wrong"})
			return
		}

때문에 Baby Simple GoCurl에서 사용했던 방법으로는 더 이상 flag를 확인할 수 가 없다.

소스에서 redirectChecker 함수가 존재한다.

func redirectChecker(req *http.Request, via []*http.Request) error {
	reqIp := strings.Split(via[len(via)-1].Host, ":")[0]

	if len(via) >= 2 || reqIp != "127.0.0.1" {
		return errors.New("Something wrong")
	}

	return nil
}

요청하는 IP가 127.0.0.1가 아니면 안되도록 필터링이 되고있다.

gin의 소스코드를 보면 redirect에 관련된 아래 코드가 있다.

// RedirectTrailingSlash enables automatic redirection if the current route can't be matched but a
// handler for the path with (without) the trailing slash exists.
// For example if /foo/ is requested but a route only exists for /foo, the
// client is redirected to /foo with http status code 301 for GET requests
// and 307 for all other request methods.
func redirectTrailingSlash(c *Context) {
	req := c.Request
	p := req.URL.Path
	if prefix := path.Clean(c.Request.Header.Get("X-Forwarded-Prefix")); prefix != "." {
		prefix = regSafePrefix.ReplaceAllString(prefix, "")
		prefix = regRemoveRepeatedChar.ReplaceAllString(prefix, "/")

		p = prefix + "/" + req.URL.Path
	}
	req.URL.Path = p + "/"
	if length := len(p); length > 1 && p[length-1] == '/' {
		req.URL.Path = p[:length-1]
	}
	redirectRequest(c)
}

trailing slash가 붙어있는 URL의 경우 redirect 시켜주는데 X-Forwarded-Prefix 헤더가있으면 해당 헤더의 value를 URL path에 붙여서 리다이렉트 시켜준다.

해당 기능을 통해 url에 직접 /flag 문자열을 입력하지 않고도 요청을 보낼 수 있다.

redirectTrailingSlash() 함수를 호출하기 위해서 url에 // 값을 붙여서 X-Forwarded-Prefix 헤더를 설정하여 요청을 한다.

아래 처럼 값을 입력하여 요청하면 flag 값을 얻을 수 있다.