CSRF에 대해 제대로 이해했으면, 쉽게 풀 수 있는 기본문제다
먼저, 문제 코드부터 살펴보면,
#!/usr/bin/python3
from flask import Flask, request, render_template
from selenium import webdriver
import urllib
import os
from selenium.webdriver.chrome.service import Service
from selenium.webdriver.support.ui import WebDriverWait
from selenium.webdriver.support import expected_conditions as EC
from selenium.webdriver.common.by import By
app = Flask(__name__)
app.secret_key = os.urandom(32)
try:
FLAG = open("./flag.txt", "r").read()
except:
FLAG = "[**FLAG**]"
def read_url(url, cookie={"name": "name", "value": "value"}):
cookie.update({"domain": "127.0.0.1"})
try:
service = Service(executable_path="/usr/local/bin/chromedriver")
options = webdriver.ChromeOptions()
for arg in [
"headless",
"window-size=1920x1080",
"disable-gpu",
"no-sandbox",
"disable-dev-shm-usage",
]:
options.add_argument(arg)
driver = webdriver.Chrome(service=service, options=options)
driver.implicitly_wait(3)
driver.set_page_load_timeout(3)
driver.get("http://127.0.0.1:8000/")
driver.add_cookie(cookie)
driver.get(url)
except Exception as e:
print(str(e))
driver.quit()
# return str(e)
return False
driver.quit()
return True
def check_csrf(param, cookie={"name": "name", "value": "value"}):
url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
return read_url(url, cookie)
@app.route("/")
def index():
return render_template("index.html")
@app.route("/vuln")
def vuln():
param = request.args.get("param", "").lower()
xss_filter = ["frame", "script", "on"]
for _ in xss_filter:
param = param.replace(_, "*")
return param
@app.route("/flag", methods=["GET", "POST"])
def flag():
if request.method == "GET":
return render_template("flag.html")
elif request.method == "POST":
param = request.form.get("param", "")
if not check_csrf(param):
return '<script>alert("wrong??");history.go(-1);</script>'
return '<script>alert("good");history.go(-1);</script>'
memo_text = ""
@app.route("/memo")
def memo():
global memo_text
text = request.args.get("memo", None)
if text:
memo_text += text
return render_template("memo.html", memo=memo_text)
@app.route("/admin/notice_flag")
def admin_notice_flag():
global memo_text
if request.remote_addr != "127.0.0.1":
return "Access Denied"
if request.args.get("userid", "") != "admin":
return "Access Denied 2"
memo_text += f"[Notice] flag is {FLAG}\n"
return "Ok"
app.run(host="0.0.0.0", port=8000)
read_url 함수는 이전 xss문제들에서와 동일하게 url과 쿠키를 받아서 동작을 자동으로 수행해주는 봇에 대한 함수이고,
문제의 핵심은
가장 마지막에 있는 함수인
admin_notice_flag() 인걸로 보인다.
코드를 살펴보면
@app.route("/admin/notice_flag")
def admin_notice_flag():
global memo_text
if request.remote_addr != "127.0.0.1":
return "Access Denied"
if request.args.get("userid", "") != "admin":
return "Access Denied 2"
memo_text += f"[Notice] flag is {FLAG}\n"
return "Ok"
127.0.0.1 (로컬호스트)를 사용하고
userid = admin이면
memo_text에 [Notice] flag is {flag} 를 기록하는 것을 볼 수 있다.
실제로, read_url을 보면 127.0.0.1(로컬호스트)를 사용하고 있고,
userid 같은 경우에는 사실상 어떤 부가적인 인증없이 userid 값이 admin이면 되는 것 같다.
그리고 /vuln 부분을 보면 xss 필터링이 걸려있지만, 3개의 태그에 대해 한정적이기에 이 문제에 대해서는 큰 영향력?이 있다고 할 수 없을 거 같다.
다시 /admin/notice_flag 로 돌아가서 보면
단순하게 userid=admin이면 될 것 같아 보이고
그럼 이걸 어떻게 보낼 수 있을까? 보면
request.args.get 으로 url파라미터의 인자에서 이름이 userid인 것의 값이 admin이면 되니까,
url을 사용해서 파라미터에 userid=admin을 담아 요청을 보내면 될 것 같다.
그래서 필터링에 걸리지 않는 img src를 이용해
<img src="http://127.0.0.1:8000/admin/notice_flag?userid=admin">
요청을 전송해주면,,?
flag가 도출되는 것을 볼 수 있다!
음..근데 이게 왜 CSRF일까,,? 단순히 파라미터값을 이용해 요청을 보낸 거 같은뎅,,
CSRF 자체가 꼭 로그인된 페이지의 쿠키와 같은 인증 권한을 악용하는 것에 국한된 것이 아니라
위 문제에서 처럼 127.0.0.1(로컬호스트)의 주소를 이용하는 서버와 같은 것도 특정 권한으로 큰 맥락으로 봐야 하는 것임
그러니까, 정리하면
내가 직접 /admin/notice_flag?userid=admin 여기에 요청을 한 게 아니
<img src="http://127.0.0.1:8000/admin/notice_flag?userid=admin">
이 HTML을 /vuln에 반사시키고, 셀리늄 봇 브라우저가 이미지를 불러오게 하면서 요청을 보내게 만들었음
쉽게 말하면
"피해자 브라우저가 대신 요청을 보내게 만든 것"이 핵심인 것..! --> csrf의 특징
XSS, CSRF 두개 다 요청이 필요하지만,
XSS는 요청의 결과로 피해자 브라우저에서 코드가 실행되는 것이 핵심이고
CSRF는 피해자 브라우저의 권한,상태를 이용해서 특정 요청 자체를 보내게 만드는 것이 핵심이다
결론적으로
/admin/notice_flag의 페이지는 누구나 접근이 가능해, userid 파라미터엔 admin 값을 넣는 것도 누구나 가능
그치만, IP주소는 조작할 수 없고, 로컬호스트로만 접속할 수 있기에 특정권한이라고 볼 수 있다,,
그래서,, CSRF..!