anonymous?

요약취약점 유형Command ExecutionCVSS 점수7.8(HIGH)취약점 공개 날짜2024/06/16설명langchain_experimental (LangChain 실험 기능)의 0.0.61 이전 버전에서는 Python REPL(또는 “dangerous code”) 접근이 사용자의 명시적 동의 없이 활성화될 수 있어, 원격/로컬 컨텍스트에서 임의 코드 실행을 허용할 수 있음 배경지식Python REPL(Read-Eval-Print Loop)사용자가 입력한 파이썬 코드를 즉시 실행하고 결과를 출력하는 상호작용 환경LangChain에서는 LLM이 생성한 파이썬 코드 조각을 실행하여 복잡한 계산이나 데이터 처리 등을 처리할 수 있게 하는 도구로 제공함예) LLM이 "10번째 피보나치 수를 계산해 주세요..

ANALYSIS/Vulnerability Analysis 2025. 12. 23. 16:33

배경 지식config.json모델 구조(아키텍처): 모델 구조와 하이퍼파라미터를 명세한 JSON 파일 (hidden_size, num_attention_heads, intermediate_size, vocab_size 등)from_pretrained(path_or_name)가 모델 객체를 초기화할 때 어떤 레이어 구조로 만들지 알려줌가중치 파일(tf_mode.h5 등)은 수치값만 담고, config.json이 구조를 담당함tf_model.h5Transformers에서 save_pretrained()로 TensorFlow(TF) 모델 저장 시 생성되는 전체 TF 모델 파일HDF5 포맷(.h5)으로, 모델의 모든 변수(레이어 가중치들)가 포함됨TFAutoMode.from_pretrained(local_dir..

ANALYSIS/Vulnerability Analysis 2025. 11. 7. 16:27

Wargame Tutorial은 압축해제 시 flag.txt만 주어져서 해당 플래그를 입력하면 된다.하지만 이 문제의 경우, 수많은 하위 디렉토리에 fake flag.txt가 있어서 fake가 아닌 단 하나를 찾아야 한다. for root, dirs, files in os.walk(base_dir): import os를 해서 os.walk를 통해 현재 base_dir를 기준으로 root, dirs, files를 탐색하는데,files만 궁금한 것이므로 해당 files 내 file을 열어서 "HA"가 있으면 continue하고 없으면 출력하도록 코드를 구성하였다. 그 결과, 위와 같이 진짜 플래그를 출력할 수 있었다.

카테고리 없음 2025. 8. 25. 23:08

CTF pwnable python으로 검색해보니..N-CTF 2019에서 출제된 Python Jailbreak 문제와 유사했다.def filter_code(user_input): # You cannot use those words. banned_word=['eval', 'exec', 'import', 'open', 'os', 'read', 'system', 'write', 'sh', 'break', 'mro', 'cat', 'flag'] for i in range(0,len(banned_word),1): x=banned_word[i] if x in user_input: return False return True현재 13가지가 block된 상황..

SYSTEM HACKING/Dreamhack 2025. 7. 24. 22:39

취약점 분석NUMBER_RANGE = (0, 10000)TARGET_NUMBER = random.randint(*NUMBER_RANGE)def flag(): try: FLAG = open("./flag", "r").read() except: FLAG = "[**FLAG**]" return FLAG@app.route('/')def index(): return render_template('index.html', range=NUMBER_RANGE)@app.route('/guess', methods=['POST'])def guess_number(): user_guess = int(request.form['guess']) if user_guess ..

WEB HACKING/Dreamhack 2025. 7. 24. 06:48

일단 IDA로 보면 스택 구조를 알 수 있다.name 부분은 read로 0xA만 입력받기 때문에 영향을 받지 않고, v5부터 넣는 부분이 scanf를 사용하기 때문에 BOF가 발생한다.구조는 rbp-0x30으로 어떤 스택 구조인지 알 수 있다.근데 check에서 길이 검증을 하긴 하는데, \x00으로 길이를 0xF로 제한하는 것을 우회하면 된다.local에서는 정상적으로 쉘이 따짐하지만 get_shell의 시작주소를 그대로 주면 remote에서 쉘이 안 따지는 문제가 있는데..return address를 덮는 주소를 stack을 설정하는 push rbp move rbp, rsp 이후로 설정해봤다. (stack align 문제가 있을 수 있다고 해서)정상적으로 remote에서 진짜 플래그를 얻을 수 있었다.

SYSTEM HACKING/Dreamhack 2025. 7. 7. 22:32

def filter_cmd(cmd): alphabet = list(string.ascii_lowercase) alphabet.extend([' ']) num = '0123456789' alphabet.extend(num) command_list = ['flag','cat','chmod','head','tail','less','awk','more','grep']...@app.route('/flag', methods=['POST'])def flag(): # POST request if request.method == 'POST': key = request.form.get('key', '') cmd = request.form.get('cmd_in..

WEB HACKING/Dreamhack 2025. 5. 12. 17:59

fd = open("./flag", 0); read(fd, buf, 0x45uLL);buf에 flag 내용을 복사한다. if ( !strcmp(s1, "a0b4c1d7") ) { puts("Congrats!"); puts((const char *)buf); }s1이 a0b4c1d7과 동일하면 flag 내용을 출력한다.s1은 a0b4c1d7이어야 한다. snprintf(s, 9uLL, "%08x", v6 ^ v7); for ( i = 0; i s = v6 ^ v7 (v6: rand_num, v7:input num)인데, s의 7번 인덱스부터 0번 인덱스를 s1에 넣으므로, 즉 역순으로 넣은 결과이므로 s는 7d1c4b0a이다.a ⊕ b = c일 때XOR 연산은 a = b ⊕ c, b..

REVERSING/Dreamhack 2025. 4. 30. 16:24

맥북 유저가 된지 5년..아이맥까지 1년 넘게 쓰면서 이제는 포너블 문제를 디버깅 없이는(디버깅 없는 푸는 것도 좋긴 하지만..) 풀기 힘들어졌다.(윈도우놑북도 맛이 감..ㅠㅠ)이제는 설치해야 한다.. x86_64 Ubuntu를..UTM에서 최신 버전의 macOS 가상화도 지원하는데, x86_64도 있지 않을까? 싶어서 찾아봤더니 정말 있다. Ubuntu iso 이미지 다운로드iso 이미지 용량이 5GB가 넘으니 먼저 다운로드를 진행해주자. UTM 설치https://mac.getutm.app/ UTMSecurely run operating systems on your Macmac.getutm.app해당 사이트에서 download를 누르면 UTM.dmg가 다운로드된다. Create a New Virtual..

TOOLS/TIPS 2025. 4. 29. 19:32

https://gosecure.github.io/unicode-pentester-cheatsheet/ Characters that byͥte gosecure.github.io위 사이트를 참고하거나, 맥의 경우 유니코드 창에서 검색창에 c,a 등 입력하면 대응하는 유니코드를 확인할 수 있다.문제는 %s로 단순 출력이라 이 방법으로는 플래그가 출력되지 않는다. render_template_stringFlask 기본 템플릿 렌더링(render_template_string)에 사용자 입력을 바로 집어넣고 있으므로, Jinja2 SSTI(Server Side Template Injection)으로 os.popen("cat /home/hangul/flag").read() 실행SSTI는 템플릿을 사용하여 웹 애플리..

WEB HACKING/Dreamhack 2025. 4. 29. 15:18

코드 분석int __fastcall __noreturn main(int argc, const char **argv, const char **envp){ char buf[32]; // [rsp+0h] [rbp-130h] BYREF char s1[10]; // [rsp+20h] [rbp-110h] BYREF __int16 v5; // [rsp+2Ah] [rbp-106h] int v6; // [rsp+2Ch] [rbp-104h] char v7[240]; // [rsp+30h] [rbp-100h] BYREF _QWORD v8[2]; // [rsp+120h] [rbp-10h] BYREF v8[1] = __readfsqword(0x28u); strcpy(s1, "ifconfig"); s1[9] = ..

SYSTEM HACKING/Dreamhack 2025. 4. 21. 12:26

취약점 분석ifstream 객체의 read는 C언어의 read 함수와 동일함. null byte를 추가하지 않으면 memory leak이 가능하다. read_buffer[64], flag[64]로 연속되게 할당된다.IDA로 확인해보면 readbuffer, flag, writebuffer가 연속되게 위치하는 것을 알 수 있다.만약 readbuffer를 null byte 없이 64byte를 꽉 채운다면, 출력 시 연이은 flag까지 출력할 수 있는 취약점이 있다. 익스플로잇 코드from pwn import *context.log_level='debug'p = remote('host3.dreamhack.games', 12914)def read_file(): p.sendlineafter(b'[*] inpu..

SYSTEM HACKING/Dreamhack 2025. 4. 21. 12:15