DreamHack [web] command-injection-1

web 워게임입니다.

문제 화면

 

접속 화면

 

 

ping 페이지 접속

ip를 입력하면 ping을 보내는 형태

 

;를 넣어서 다중 명령 전달

실패

 

pattern속성을 통해 형식 지정

pattern = " [A-Z a-z 0-9 .] {5, 20} "

해당 패턴은 정규 표현식이다.

알파벳 대소문자, 숫자, 마침표만으로 이루어진 길이가 5이상 20이하는 문자열을 의미한다.

 

그렇기에 ;와 같은 메타 문자는 요청한 형식과 일치하지 않는다는 문구가 뜨는 것임을 알 수 있다.