XSS Challenges 7

해당 문제의 경우 hohoho라는 문자열을 지정해두고 클릭 시 링크 태그(<a href)를 통해 --> http://localhost/?로 넘어가도록 로직이 구성되어 있습니다.

 

해당 문제를 해결하기 위해선 Your_Payload 영역에 팝업창을 띄울 수 있는 문자열을 삽입해야 됩니다.

 

..
..

<p>
<a href="http://localhost/?Your_Payload ">hohoho!!!</a>
</a>

..
..

몇 번의 시도를 해보면서 필터링하고 있는 패턴을 먼저 확인해야 됩니다. 자바스크립트 이벤트 핸들러인 "onmouseover"의 경우 <x>가 삽입되어서 사용을 금지시키고 있습니다.

 

또한 <script> 태그가 삽입시 --> 제거를 하고 있어서 아무래도 localhost 문자열을 이어서 작성해야 될 것 같습니다.

 

*<scri<scriptpt> 방식으로 혼돈화시킬경우 <script> 태그 제거하는 방식을 무력화시킬 가능성도 존재합니다.

 

해결방법

1. <a href="http://localhost/? 식으로 더블 쿼터로 열려만 있고 닫혀 있지는 않습니다. --> "(더블 쿼터) 하나만 선언하여 링크 주소 마무리

2. blank(공백)를 한 칸 띄워서 문자열 구분을 해주고 필터링하지 않는 이벤트 핸들러 선언

 

이러한 로직이 구현된 페이지의 경우 굳이 이미지 태그나 스크립트 태그 같은걸 사용하지 않아도 지정된 문자열의 흐름에 따라 구분하여 팝업창이 실행되도록 시도해볼 수 있습니다.

 

"onclick" 말고도 "onfocus"라는 자바스크립트 이벤트 핸들러도 검증하지 않고 있어서 동일하게 팝업창을 띄울 수 있습니다. 뒷부분의 x= " " 이외에도 //(다중 주석)  >(클로징) 등을 통해 문장을 마무리만 잘해주면 자바스크립트가 실행되는데 문제가 발생하지 않습니다.

 

* onfocus : 수동적인 형태로 hohoho!! 영역에 이벤트가 발생시 실행

 

<a href=를 "(더블 쿼터) 로 닫아서 마무리하고 blank를 통해 문장구분 을 해줍니다.

 

그다음 이벤트 핸들러인 onfocus 를 alert 로 연계하여 팝업창을 띄워주고 코드 끝에 "더블쿼터가 자동으로 붙으니 특정 변수인 x=를 지정하여 더블쿼터 하나만 더 작성해주면 x="" 형태로 구분 지어줄 수 있게 됩니다.

 

Exploit Code

" onclick=alert("Guleum!!")>clickme

" autofocus onfocus=alert("guleum")> --> 클로징

" autofocus onfocus=alert("guleum")// --> 다중주석

" onfocus=alert("guleum") x="

 

autofocus 가 지정될 경우 웹페이지가 로드될 때 포커스를 --> hohoho!! 영역으로 자동으로 설정되기에 방문할 때마다 실행됩니다.