[CTF] Dreamhack 문제 풀이: php reg

31 Jan 2026 • CTF

phpreg

목록

  1. PHP 정규화 표현식
  2. Code
  3. Payload
    1. Step1
    2. Step2
  4. 참고

1. PHP 정규화 표현식

정규 표현식(regular expression): 은 문자열에서 특정한 규칙을 가지는 문자열의 집합을 찾아내기 위한 검색 패턴이다.

2. Code

step2.php

<?php
// POST request
if ($_SERVER["REQUEST_METHOD"] == "POST") {
  $input_name = $_POST["input1"] ? $_POST["input1"] : "";
  $input_pw = $_POST["input2"] ? $_POST["input2"] : "";

  // pw filtering: 영어 입력 X
  if (preg_match("/[a-zA-Z]/", $input_pw)) {
    echo "alphabet in the pw :(";
  }
  else{
    // 대소문자 구분 없이 "nyang"을 입력하면 빈문자열로 치환됨
    $name = preg_replace("/nyang/i", "", $input_name);
    // 정규표현 조건이 맞을 경우 "d4y0r50ng"로 치환함
    $pw = preg_replace("/\d*\@\d{2,3}(31)+[^0-8\"]\!/", "d4y0r50ng", $input_pw);
    
    // 이름이 "dnyang0310" 이고 비밀번호가 "d4y0r50ng+1+13"일 경우
    if ($name === "dnyang0310" && $pw === "d4y0r50ng+1+13") {
      echo '<h4>Step 2 : Almost done...</h4><div class="door_box"><div class="door_black"></div><div class="door"><div class="door_cir"></div></div></div>';

      $cmd = $_POST["cmd"] ? $_POST["cmd"] : "";

      if ($cmd === "") {
      // cmd 입력창 띄우기
        echo '
              <p><form method="post" action="/step2.php">
                  <input type="hidden" name="input1" value="'.$input_name.'">
                  <input type="hidden" name="input2" value="'.$input_pw.'">
                  <input type="text" placeholder="Command" name="cmd">
                  <input type="submit" value="제출"><br/><br/>
              </form></p>
        ';
      }
      // cmd filtering: "flag"가 들어가면
      else if (preg_match("/flag/i", $cmd)) {
        echo "<pre>Error!</pre>";
      }
      else{
        echo "<pre>--Output--\n";
        system($cmd);
        echo "</pre>";
      }
    }
    else{
      echo "Wrong nickname or pw";
    }
  }
}
// GET request
else{
  echo "Not GET request";
}
?>

첫 번째로 name과 pw를 입력 받고 있다. name의 경우 대소문자 구분 없이 nyang이라는 글자가 들어가 있으면 빈 문자열로 치환하고 있다. pw의 경우 \d*\@\d{2,3}(31)+[^0-8\"]\! 조건식을 충족할 경우

  • \d*: 숫자(0-9) 0개 이상
  • \@: @ 1개
  • \d{2,3}: 숫자 2~3개
  • (31)+: 문자열 "31"이 1회 이상
  • [^0-8\"]: 0~8 숫자 또는 "를 제외한 1글자
  • \!: ! 1개

d4y0r50ng로 치환하고 있다.

두 번째로 cmd를 입력 받고 있다. cmd의 경우 대소문자 구분 없이 flag가 입력되어 있는 경우 에러 메시지를 띄운다.

3. Payload

3.1. Step1

500x261

id: dnnyangyang0310 nyang이 빈 문자열로 바뀌면서 앞 뒤 문자가 붙어서 dnyang0310.이 된다.

pw: @45319!+1+13 @45319!가 치환되어 d4y0r50ng로 바뀌고 그 뒤에 +1+13이 붙어 d4y0r50ng+1+13이 된다.

3.2. Step2

500x261

flag의 위치는 ../dream/flag.txt이고, flag를 전부 다 작성할 경우 에러 메시지가 뜨므로 특수 문자열 *를 사용해 우회할 수 있다.

cat ../dream/f*.txt

500x282

참고

 TIL  WEB  CTF

Comments

Newest Posts