Offensive Security & Automation

Break.Understand.Ship it.

공격 기법을 재현하고 · 시스템을 자동화하고 · 기록합니다

위협 데이터 수집 중…

Recent

멀티파트 요청 하나로 PHP 코어를 무너뜨린다 (CVE-2026-109618 / 109619): PHP2Shell 언인증 RCE 공격자 시점 해부 이미지 업로드 하나로 서버 파일을 읽는다 (CVE-2026-66066): Rails Active Storage를 리얼 쉘로 뚫기 [🥇 Gold 2] 출력 함수가 하나도 없는 바이너리에서 libc 를 흘리는 법 — DreamHack validator-revenge 풀이

Research

최근 리서치

CVE 분석 · 공격 재현 · 시스템 실험

전체 보기 →

Latest Research

멀티파트 요청 하나로 PHP 코어를 무너뜨린다 (CVE-2026-109618 / 109619): PHP2Shell 언인증 RCE 공격자 시점 해부

2026년 10월, 웹 요청을 처리하는 거의 모든 PHP 8.x가 인증 없이 원격 코드 실행에 뚫렸다. PHP2Shell(CVE-2026-109618·109619, CVSS 9.2, CISA KEV)은 session.upload_progress 기본 On과 멀티파트 파서, 그리고 OOM 시 longjmp로 빠져나가는 코어 메모리 관리가 겹친 결함이다. 격리 랩(취약 php:8.3.35 ↔ 패치 php:8.3.36)에서 근본원인(bailout 상태손상 → rfc1867 멀티파트 UAF)을 공식 패치 커밋 diff로 1차 확정하고, 공격자 정찰·CVSS 분해·타임라인·노출 규모·탐지 룰(Snort PCRE 비손상 검증)까지 실제 터미널로 추적한다. ※본 글은 공개 직후·대량 악용 윈도우를 고려해 동작하는 무기화 트리거/셸 코드는 비포함하고, 근본원인·탐지·방어에 집중한다.

#security#cve#php

분석 읽기→2026-10-29

이미지 업로드 하나로 서버 파일을 읽는다 (CVE-2026-66066): Rails Active Storage를 리얼 쉘로 뚫기

Ruby on Rails Active Storage의 임의 파일 읽기 겸 RCE(CVE-2026-66066, 'KindaRails2Shell', CVSS 9.5)를 공격자 관점으로 재현한다. Rails는 DB에 저장된 content_type만 보고 blob을 이미지로 취급하지만 libvips는 디스크 바이트로 파서를 고른다. MAT 스니퍼(앞 10바이트)와 libmatio(124바이트 버전 필드)의 불일치를 파고들어 크래프트한 MAT/HDF5 파일 하나가 임의 파일 읽기 오라클이 되고, /proc/self/environ에서 SECRET_KEY_BASE를 회수해 변형 서명을 위조하면 무인증 RCE로 이어진다. 격리 Kali 타겟 + 로컬 공격 워크스테이션으로 파일 읽기·HTTP 의사 셸·리버스 셸·직접 만든 메타스플로잇 모듈·8.1.3.1 패치 대조까지 실제 터미널로 추적한다.

#security#cve

2026-08-09

설정 한 줄이 실행 명령이 된다 (CVE-2026-57572): Crawl4AI 언인증 RCE를 리얼 쉘로 뚫기

LLM용 크롤러 Crawl4AI의 Docker API 언인증 원격 코드 실행(CVE-2026-57572, CVSS 10.0)을 공격자 관점으로 재현한다. /crawl 요청 본문의 browser_config.extra_args가 Chromium 런치 인자에 그대로 흘러가, --no-zygote와 --renderer-cmd-prefix 한 쌍이면 인증 없이 요청 한 번으로 컨테이너에서 명령이 실행된다. 0.8.9의 프록시 전용 denylist가 왜 실행 스위치를 못 막는지, 격리 Kali 타겟 + 로컬 공격 워크스테이션으로 HTTP 의사 셸·리버스 셸·직접 만든 메타스플로잇 모듈·0.9.0 패치 대조까지 실제 터미널로 추적한다.

#security#cve

2026-08-08

검증인데 실행한다 (CVE-2026-9198): Langflow 언인증 RCE 체인을 리얼 쉘로 뚫기

자기호스팅 AI 플랫폼 Langflow의 언인증 원격 코드 실행(CVE-2026-9198, CVSS 9.8)을 공격자 관점으로 재현한다. 무인증 auto_login이 superuser 토큰을 뿌리고(CVE-2026-9103), '검증'용 엔드포인트 validate/code가 함수 정의를 exec해서(CVE-2026-8481) 함수를 부르지도 않았는데 코드가 도는 전체 흐름을, 격리 Kali 타겟 + 로컬 공격 워크스테이션으로 HTTP 의사 셸·리버스 셸·메타스플로잇·1.10.1 패치 대조까지 실제 터미널로 추적한다.

#security#cve

2026-08-08

전체 보기 →

Blog

최근 블로그

운영 기록 · 자동화 메모 · 실전 노트

전체 보기 →

[🥇 Gold 2] 출력 함수가 하나도 없는 바이너리에서 libc 를 흘리는 법 — DreamHack validator-revenge 풀이

puts 도 printf 도 write 도 없고 GOT 는 Full RELRO 로 잠겨 있다. 그런데 main 이 ret 하는 순간 RDI 에는 fflush(stdout) 이 남긴 FILE 포인터가 아직 들어 있다. memset 이 RDI 를 보존한다는 성질 하나로 libc 주소를 모르는 채 FILE 구조체 앞머리를 제자리에서 고쳐 쓰고, 매직 검사가 없는 fflush 로 libc .data 211바이트를 받아낸다.

#dreamhack#ctf

2026-10-30

[🥈 Silver 2] 응답이 두 문장뿐인 SQL 인젝션 — DreamHack Bookwish 풀이

책 신청 폼 하나가 전부인 서비스다. 입력은 INSERT 문에 그대로 이어 붙는데, 목록 화면도 검색도 없어서 빼낸 값을 보여 줄 곳이 없다. 돌아오는 건 "Thank you!" 와 "Error occurred." 두 문장뿐. 제목 끝에 해시 한 글자를 붙여 쿼리 뒷부분을 통째로 주석 처리하면 INSERT ... SELECT 의 두 번째 컬럼 자리가 열리고, 거기에 IF(조건, 1, 1/0) 을 놓는 순간 그 두 문장이 참/거짓 1비트가 된다. 249번 요청으로 36자 플래그를 한 글자씩 이분탐색했다.

#dreamhack#ctf

2026-10-30

[🥈 Silver 4] 아직 안 연 가게의 뒷문 — DreamHack 슉슉 버거 풀이

소스가 공개되지 않는 블랙박스 웹 문제다. robots.txt 가 스스로 /admin 을 가리키고, 그 페이지 CSS 주석과 display:none 안에 임시 로그인 폼이 들어 있다. 폼 입력이 SQL 문자열에 그대로 이어 붙어서 따옴표 하나로 비밀번호 검사가 통째로 주석이 된다. 성공·실패 두 화면을 참/거짓 오라클로 삼아 SQLite 라는 것, 테이블 구조, 저장된 자격증명까지 830번 요청으로 긁어낸다. 마지막에 드러나는 건 저장된 sha256 같은 문자열이 사실상 평문 비밀번호였다는 점이다.

#dreamhack#ctf

2026-10-29

[🥉 Bronze 2] 지우는 걸 깜빡한 평가기 — DreamHack Gyul_Console 풀이

/console 이 받은 문자열을 그대로 eval 에 넘긴다. 필터도 없고 globals 인자도 안 주기 때문에 app.py 의 모듈 전역과 내장 함수가 통째로 열린다. 다만 eval 은 식만 받아서 import 문은 파싱 단계에서 죽고, __import__ 와 open 으로 돌아가야 한다. 배포본에 박힌 관리자 계정과 쿠키 이름은 라이브에서 값이 다른 미끼였고, 그 사실은 RCE 로 app.py 를 꺼내 배포본과 diff 해 봐야 보인다.

#dreamhack#ctf

2026-10-29

전체 보기 →

Lab

실험실

게임 · 보안 도구 · 인코딩 변환기

전체 보기 →

Games

브라우저 게임 6종

테트리스, 스네이크, 2048, 벽돌깨기, 미로탈출

플레이하기→

Dev Tools

인코딩 & JSON

URL / Base64 / ASCII 변환, JSON 포맷터

사용하기→

전체 보기 →