[Codegate 2018 Qualifier] Misc – Impel Down

[Codegate 2018] Misc – Impel Down

문제의 description은 별다른 내용이 없고 nc 호스트와 포트만 존재합니다.

서버에 접속해보면 python이 돌아가고 있으며, 전형적인 python jailbreak 문제인 것으로 예상해 볼 수 있습니다. 해당 스크립트는 약 10초가 지나면 timeout 되어 접속이 종료되며, 해당 시간 내에 flag를 획득해야 하는 형태입니다.

Name에 임의의 문자를 넣은 후 4가지 메뉴 중 하나를 선택하여 입력하면 해당 기능이 수행되며, “dig a”와 같이 untrusted input을 전달하게 되면 에러가 발생하게 됩니다.

에러 내용을 살펴보면 해당 work 변수에 우리가 입력한 명령이 들어가게 되며, 결과적으로 eval 함수를 이용해 “your.[명령]()”와 같은 형태로 명령이 실행됩니다. your은 클래스의 인스턴스라고 예상해 볼 수 있고, dig와 같은 명령들은 이에 속하는 함수들이라고 볼 수 있겠죠. 이 때 eval 함수를 사용하기 때문에 우리가 원하는 명령을 실행시킬 수 있는 가능성이 생겼습니다.

파이썬의 eval 함수에서는 ,(comma)를 이용하여 복수의 명령을 실행할 수 있습니다.

이런식으로 말이죠.

이 특성을 이용해 work 변수에 아래와 같은 명령을 삽입할 수 있습니다.

dig(), [임의 명령], your.dig

이와 같이 입력하게 되면 eval에 들어가는 명령은 “your.dig(), [임의 명령], your.dig()”가 될 것이며 이로 인해 dig 함수는 총 2번 실행되고, 그 사이에 우리가 원하는 명령을 수행할 수 있습니다.

dig,__import__(‘os’).system(‘ls’),your.dig

따라서 위와 같은 명령을 통해 쉘 명령을 내릴 수 있지만, 해당 스크립트에서는 _(underbar)가 들어갈 경우 필터링 후 종료시켜버리기 때문에 다른 방법을 찾아야 했습니다.

여기서 생각할 수 있는 것은 _를 사용하지 않고 os모듈을 import 하거나, 다른 변수에 값을 할당해 이를 eval로 실행하는 것이 될 것입니다. 1번 방법은 대회 중 떠오르지 않아 실패했지만 2번의 경우 스크립트 시작 당시 Name에 변수를 받지만 별다른 필터링이 적용되어있지 않아 이를 이용할 수 있겠다고 생각하였습니다. 따라서 Name에 __import__(‘os’).system(‘ls’)와 같은 쉘 명령을 실행시킬 수 있는 명령어를 입력 후 work에서 eval을 이용해 이를 실행시키는 형태로 진행하였습니다.

해당 writeup은 대회 종료 후 추출한 소스코드를 이용해 로컬에서 돌리고 있는 상황이라 로컬의 ls 결과가 출력되었습니다. 아무튼 이와 같은 형태로 쉘 명령을 실행시킬 수 있으며, “cat Impel_Down.py” 등의 명령을 통해 소스코드를 추출할 수 있습니다.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146

#!/usr/bin/python -u import sys import signal import pickle from random import choice, shuffle coworkers_list = ['James', 'Nami', 'Luffy', 'Zoro', 'Tony', 'Robin', 'Franky', 'Brook', 'Ace', 'Jinbe', 'Crocodile'] tools_list = ['drill', 'Knife', 'gun', 'spoon', 'book', 'lighter'] works_list = { 'bomb' : "make boooooooomb!!!", 'coworker' : 'Find Coworker For Escape', 'tool' : "Find Any Tool", 'dig' : "Go Deep~", } def menu():     print "################## Work List ##################"     for cmd, desc in works_list.iteritems():         print "  %-15s : %s" %(cmd, desc)     print "###############################################" class Esacpe_Player:   def __init__(self, name, day):     self.name = name     self.dig_depth = 0     self.bomb_Perfection = 0     self.tools = []     self.coworkers = []     self.day = day   def dig(self):     self.dig_depth += 1     # never ending digging......     print " %s : [Dig] depth = %d" %(self.name, self.dig_depth)     return pickle.dumps(self)   def bomb(self):     self.bomb_Perfection += 1     # your bomb is too powerful. so boom with u......     print " %s : [Bomb] bomb Perfection = %d" %(self.name, self.bomb_Perfection)     return pickle.dumps(self)   def tool(self):     tt = choice(tools_list)     print " %s : [Tool] Find : %s !" %(self.name, tt)     self.tools.append(tt)     return pickle.dumps(self)   def coworker(self):     shuffle(coworkers_list)     cw = coworkers_list.pop()     print " %s : [Coworker] Find : %s !" %(self.name, cw)     self.coworkers.append(cw)     return pickle.dumps(self) class Watcher:   def __init__(self):     self.name = "Magellan"     self.dig_risk = 3     self.bomb_risk = 10     self.tool_risk = 5     self.coworker_risk = 5     self.arrest_min_point = 25   def Behavior_analysis(self, Player):     player_info = pickle.loads(Player)     risk_point = (player_info.dig_depth*self.dig_risk) + (player_info.bomb_Perfection*self.bomb_risk) + (len(player_info.tools)*self.tool_risk) + (len(player_info.coworkers)*self.coworker_risk)     if risk_point >= self.arrest_min_point:       sys.stderr.write("you("+ player_info.name +") looks like dangerous !!!")       self.Arrest()   def Arrest(self):     sys.stderr.write("you Arrest Again....")     exit() def handler(signum, frame):   sys.stderr.write("Time Out....")   exit() signal.signal(signal.SIGALRM, handler) signal.alarm(10) print("""                     __                     PyJail   /__\\                  ____________|  |                  |_|_|_|_|_|_|  |                  |_|_|_|_|_|_|__|                 A@\\|_|_|_|_|_|/@@Aa            aaA@@@@@@@@@@@@@@@@@@@aaaA       A@@@@@@@@@@@@@@@@@@@@@@@@@@A   ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ [!] Rule 1. After 3 day, the Light will be Turned Off then you Cannot see anything. 2. Cannot Use Some Special Characters in PyJail. 3. For 10 days, You can enter 38 characters per day. Can You Escape from Here ?? """) del signal del __builtins__.input ban_list = ['#', '+', '-', '_', '"'] name = raw_input(" Name : ") your = Esacpe_Player(name, 1) watcher = Watcher() # FLAG is /FLAG_FILE~blahblah (this is only executable.) while True:   print "[day-%d] " %(your.day)   if your.day == 4:     # Turn off the light     print "Turn off the Light !!"     sys.stdout = open('/dev/null', 'w')   menu()   work = raw_input()   invalid_cmd = 0   for cmd in works_list.keys():     if cmd in work:       invalid_cmd = 1   if not invalid_cmd:     print "Invalid Work !!"     continue   for ww in work:     if ww in ban_list:       print "Found unavailable Character !!"       exit()   if len(work) > 38:     print "Too Long !!"     continue   result = eval("your."+work+"()")   watcher.Behavior_analysis(result)   your.day += 1   if your.day > 10:     sys.stderr.write("10 days over...")     exit()

Impel_Down.py

 

소스코드를 살펴보면 FLAG 파일은 root 경로에 존재하며, 실행 시 FLAG를 얻을 수 있다고 합니다.

name : __import__(‘os’).system(‘/FLAG_FLAG_FLAG_LOLOLOLOLOLOL’)

work : dig,eval(name),your.dig

 

이와 같이 수행하게 되면 플래그를 얻어낼 수 있습니다.

 

FLAG : Pyth0n J@il escape 1s always fun @nd exc1ting !