Webhacking.kr :: old-41번

소스를 보자.

파일을 업로드하면, 업로드한 파일 이름을 필터링한 후,

해당 파일에 flag 를 넣어서 저장한다.

그걸 ./upload_dir/FILE_NAME 에 저장하니까, 결국 upload_dir 을 알아내면 flag 가 적혀있는, 내가 업로드한 파일을 확인할 수 있을 것이다.

 

이때 함수 앞에 @ 이 없는 게 있으니, 함수가 에러를 출력하는 것을 이용해서 upload_dir 을 알아낼 수 있을 것 같다.

* php 에 @ : 함수 실행 시 에러가 나도 에러 메시지가 출력되지 않도록 함. (에러 나도 무시)

 

즉, copy 는 에러 메시지를 출력하지만 fopen, fwrite 와 fclose 는 에러가 나도 에러 메시지를 출력하지 않는다.

(php copy() 함수 : www.php.net/manual/en/function.copy.php)

 

Burp Suite 를 사용해서 Request 를 변조해서 넘겨보자.

(설치 밎 사용법 참고 - 2021/02/17 - [SECURITY/Webhacking] - Burp Suite 설치 및 사용 - Windows 64 bit)

 

먼저 upload Request 에서 filename 을 "" 로 바꿔서 보내보자.

 

 

그냥 Warning 이 뜨고 Done~ 이 출력된다.. 다른 방식의 에러가 필요하다.

copy 가 오류를 내는 경우 중 하나가 파일명이 한글일 때인데, 이를 이용하려 했으나,,

한글도 잘 처리를 해주는 것 같다. 그냥 Done~ 이 나온다.

 

찾아보니 copy() 할 때 파일명이 너무 길면 오류가 뜬다고 하니 이를 이용해보자.

긴 파일명을 보냈더니,

 

가 뜨면서 upload_dir 을 찾을 수 있었다. ㅎㅎ

 

이제 정상적인 파일을 보내고, 해당 디렉토리로 접근해보자.

test.txt 파일을 보낸 뒤, 해당 디렉토리로 접근했다.

이때 확장자(.txt) 는 빼야지 flag 가 보인다.

 

 

이걸 Auth 에 넣어주면 끝~