[ctf-d] 이벤트 예약 웹사이트를 운영하고… #A

 

주어진 압축 파일의 압축을 풀면 날짜가 적힌 폴더 안에 6개의 폴더가 들어 있다.

 

accounts

 

file

 

network

 

osinfo

 

process

 

weblog

 

정말 다양한 파일들이 존재한다....

 

일단 accounts 폴더에 있었던 history를 살펴보았다.

 

사용자가 입력했던 기록들인 것 같다.

 

11행부터 명령어를 입력한 것이라 어떤 의미인지 알 수가 없어 구글링과 다른 분들의 라이트 업 참고를 통해 의미를 알아내었다.

 

파일의 권한을 777으로 변경하면 누구든지 읽기, 쓰기, 실행이 가능하게 되는 것이기 때문에.... 유심히 볼 필요가 있을 것 같다.

 

weblog에는 서버가 처리하는 모든 웹 상의 요청에 대한 기록이 남겨져 있다고 해서 아까 의심되는 부분이었던 /upload/editor/image 부분을 검색해 찾아보았다.

 

총 11개가 나왔는데 그 중 3개의 기록이 Base64 인코딩이 되어 있었다.

 

bHMgLWFsICAvdmFyL3d3dy91cGxvYWQvZWRpdG9yL2ltYWdlLw

dGFyIC1jdmYgL3Zhci93d3cvdXBsb2FkL2VkaXRvci9pbWFnZS8xMzMwNjY0ODM4IC92YXIvd3d3Lw

cGhwIC1mIC92YXIvd3d3L3VwbG9hZC9lZGl0b3IvaW1hZ2UvcmV2ZXJzZS5waHA

 

디코딩을 하니 모두 명령어인 것을 알 수 있었고 그 중 웹페이지의 소스 코드를 유출시키는 reverse.php를 실행하도록 한 명령어는 php -f /var/www/upload/editor/image/reverse.php인 것을 확인했다.

 

따라서 해당 명령어를 실행시킨 시간을 확인하면 flag를 얻을 수 있다.

 

성공!

 

디스크 문제 많이 풀어 봐야지...