[2025-07-15] Web-SSRF

🦥 본문

#!/usr/bin/python3
from flask import (
    Flask,
    request,
    render_template
)
import http.server
import threading
import requests
import os, random, base64
from urllib.parse import urlparse

app = Flask(__name__)
app.secret_key = os.urandom(32)

try:
    FLAG = open("./flag.txt", "r").read()  # Flag is here!!
except:
    FLAG = "[**FLAG**]"

@app.route("/")
def index():
    return render_template("index.html")

@app.route("/img_viewer", methods=["GET", "POST"])
def img_viewer():
    if request.method == "GET":
        return render_template("img_viewer.html")
    elif request.method == "POST":
        url = request.form.get("url", "")
        urlp = urlparse(url)
        if url[0] == "/":
            url = "http://localhost:8000" + url
        elif ("localhost" in urlp.netloc) or ("127.0.0.1" in urlp.netloc):
            data = open("error.png", "rb").read()
            img = base64.b64encode(data).decode("utf8")
            return render_template("img_viewer.html", img=img)
        try:
            data = requests.get(url, timeout=3).content
            img = base64.b64encode(data).decode("utf8")
        except:
            data = open("error.png", "rb").read()
            img = base64.b64encode(data).decode("utf8")
        return render_template("img_viewer.html", img=img)

local_host = "127.0.0.1"
local_port = random.randint(1500, 1800)
local_server = http.server.HTTPServer(
    (local_host, local_port), http.server.SimpleHTTPRequestHandler
)

def run_local_server():
    local_server.serve_forever()

threading._start_new_thread(run_local_server, ())

app.run(host="0.0.0.0", port=8000, threaded=True)

• 코드만 봐서는 FLAG를 몰랐지만 같은 파일에 flag.txt가 있는 걸 보고 ssrf 방식으로 백엔드에서 flag.txt에 접근해야 한다는 것을 깨달았다.

• static/dream.png는 잘 접근되는 데 flag.txt는 접근이 안돼서 의문이었다.
• 그래서 찾아보니 static 폴더는 8000 포트로 접근 가능하지만 flag.txt는 내부망을 통해서 접근해야 한다는 것을 알았다. 1500~1800 포트로 접근해야 한다는 것이다. 그러면 위의 elif 코드를 사용해야 하는 데 ip주소 필터링을 회피하려면 대문자를 쓰면 된다는 것이다.
• 1500~1800 포트 중 랜덤이라 무차별 공격을 해야 한다고 한다.

풀이

• burf suite를 사용했다.
• 포트를 1500-1800까지 보내었다.

length가 다른 포트는 1543이었다. response를 확인하니

src에 다른 값이 들어있었고 이를 디코딩하니 flag를 얻을 수 있었다.