[Webhacking.kr] old-06 Write Up

이 문제는 코드를 해석해서 푸는 문제이다. 쓱 봤을 땐 base64를 이용하는 문제로 보인다.

 

코드 해석1 - encoding

<?php
if(!$_COOKIE['user']){
  $val_id="guest";
  $val_pw="123qwe";
  for($i=0;$i<20;$i++){
    $val_id=base64_encode($val_id);
    $val_pw=base64_encode($val_pw);
  }
  $val_id=str_replace("1","!",$val_id);
  $val_id=str_replace("2","@",$val_id);
  $val_id=str_replace("3","$",$val_id);
  $val_id=str_replace("4","^",$val_id);
  $val_id=str_replace("5","&",$val_id);
  $val_id=str_replace("6","*",$val_id);
  $val_id=str_replace("7","(",$val_id);
  $val_id=str_replace("8",")",$val_id);

  $val_pw=str_replace("1","!",$val_pw);
  $val_pw=str_replace("2","@",$val_pw);
  $val_pw=str_replace("3","$",$val_pw);
  $val_pw=str_replace("4","^",$val_pw);
  $val_pw=str_replace("5","&",$val_pw);
  $val_pw=str_replace("6","*",$val_pw);
  $val_pw=str_replace("7","(",$val_pw);
  $val_pw=str_replace("8",")",$val_pw);

  Setcookie("user",$val_id,time()+86400,"/challenge/web-06/");
  Setcookie("password",$val_pw,time()+86400,"/challenge/web-06/");
  echo("<meta http-equiv=refresh content=0>");
  exit;
}
?>

이 부분은 인코딩하여 cookie값을 설정하는 부분이다. 위에서부터 순서대로 해석해보자

 

1. $val_id 에 guest 값을 세팅하고, $val_pw 에 123qwe 를 세팅한다.

2. for문을 보면 $val_id , $val_pw 을 base64인코딩하여 다시 $val_id , $val_pw 에 저장한다. 이 과정을 20번 반복한다.

3. base64 인코딩을 20번 반복한 결과를 가지고 1은 !, 2는 @, 3은 $,... 등으로 변환한다.

4. 변환한 값을 cookie값으로 저장한다.

 

코드 해석2 - decoding

<?php
$decode_id=$_COOKIE['user'];
$decode_pw=$_COOKIE['password'];

$decode_id=str_replace("!","1",$decode_id);
$decode_id=str_replace("@","2",$decode_id);
$decode_id=str_replace("$","3",$decode_id);
$decode_id=str_replace("^","4",$decode_id);
$decode_id=str_replace("&","5",$decode_id);
$decode_id=str_replace("*","6",$decode_id);
$decode_id=str_replace("(","7",$decode_id);
$decode_id=str_replace(")","8",$decode_id);

$decode_pw=str_replace("!","1",$decode_pw);
$decode_pw=str_replace("@","2",$decode_pw);
$decode_pw=str_replace("$","3",$decode_pw);
$decode_pw=str_replace("^","4",$decode_pw);
$decode_pw=str_replace("&","5",$decode_pw);
$decode_pw=str_replace("*","6",$decode_pw);
$decode_pw=str_replace("(","7",$decode_pw);
$decode_pw=str_replace(")","8",$decode_pw);

for($i=0;$i<20;$i++){
  $decode_id=base64_decode($decode_id);
  $decode_pw=base64_decode($decode_pw);
}

echo("<hr><a href=./?view_source=1 style=color:yellow;>view-source</a><br><br>");
echo("ID : $decode_id<br>PW : $decode_pw<hr>");

if($decode_id=="admin" && $decode_pw=="nimda"){
  solve(6);
}
?>

 이 부분은 디코딩하는 부분이다. 앞에서 세팅한 cookie값을 디코딩하여 페이지에 출력하는 부분이다. 즉, 문제 페이지에 처음들어가면 출력되어있는 ID, PW를 계산하는 파트이다. 간단히 보면, 디코딩과정은 앞의 인코딩 과정을 반대로 실행한다고 볼 수 있다.

 

1. 앞에서 세팅한 cookie값을 각각 $decode_id , $decode_pw 에 세팅한다.

2. 인코딩과정에서 1은 !, 2는 @,... 로 변환하였으므로, 다시 반대로 !는 1, @는 2,.. 로 다시 변환한다.

3. for문에서는 인코딩 과정에서 20번 인코딩하였으므로, 디코딩과정에서 다시 20번 base64디코딩을 한다.

 

위의 코드에서 중요한 부분은

🌟 if($decode_id=="admin" && $decode_pw=="nimda"){ solve(6); }

이 부분인데, 디코딩한 결과에서 $decode_id == "admin" , $decode_pw == "nimda" 이면 문제가 해결되는 것을 알 수 있다.

 

문제 해결

 

 쿠키값을 디코딩하여 그 결과가 user == admin, password == nimda 이면 문제가 해결되므로, admin, nimda를 인코딩 과정을 거쳐 쿠키값으로 세팅하면 문제가 해결된다. 파이썬을 이용하여 위의 인코딩 과정을 코딩하여 문제를 해결하였다.

import base64

id = "admin"
pw = "nimda"
id = id.encode('ascii')
pw = pw.encode('ascii')
for i in range(0,20):
    id = base64.b64encode(id)
    pw = base64.b64encode(pw)

id = id.decode('ascii')
pw = pw.decode('ascii')

id.replace("1","!")
id.replace("2","@")
id.replace("3","$")
id.replace("4","^")
id.replace("5","&")
id.replace("6","*")
id.replace("7","(")
id.replace("8",")")

pw.replace("1","!")
pw.replace("2","@")
pw.replace("3","$")
pw.replace("4","^")
pw.replace("5","&")
pw.replace("6","*")
pw.replace("7","(")
pw.replace("8",")")

print(id)
print('\n')
print(pw)