-
Xss game level 6 write upWebHacking/Xss-game Write-Up 2018. 7. 17. 18:31
Xss game level 6 write up - 마지막
#번역
미션 설명 : 복잡한 웹 응용 프로그램에는 URL 매개변수의 값 또는 일부의 값에 따라 Javascript 라이브러리를 동적으로 로드할 수 있는 location.hash 기능있습니다.
스크립트를 비롯한 잠재적으로 위험한 유형의 XMLHttpRequest 데이터를 로드할 때마다 심각한 취약점을 초래할 수 있수 있기에 사용자 입력이 url에 영향을 미치도록 허용하는 것은 매우 까다로운 작업입니다.
미션 목표 : 응용 프로그램이 외부 파일을 요청하도록 하여 alert()를 실행하도록 하시오.
#분석
우선 미션 설명에서 얻을 수 있는 정보는 url를 이용해야 되고 그 중 js라이브러리를 동적으로 로드할 수 있는 함수 중 location.hash를 사용해야 된다는거!
그럼 소스에서 location.hash를 찾아보자.
<!doctype html><html><head><!-- Internal game scripts/styles, mostly boring stuff --><scriptsrc="/static/game-frame.js"></script><linkrel="stylesheet"href="/static/game-frame-styles.css"/><script>function setInnerText(element, value) {if (element.innerText) {element.innerText = value;} else {element.textContent = value;}}function includeGadget(url) {var scriptEl = document.createElement('script');// This will totally prevent us from loading evil URLs!if (url.match(/^https?:\/\//)) {setInnerText(document.getElementById("log"),"Sorry, cannot load a URL containing \"http\".");return;}// Load this awesome gadgetscriptEl.src = url;// Show log messagesscriptEl.onload = function() {setInnerText(document.getElementById("log"),"Loaded gadget from " + url);}scriptEl.onerror = function() {setInnerText(document.getElementById("log"),"Couldn't load gadget from " + url);}document.head.appendChild(scriptEl);}// Take the value after # and use it as the gadget filename.function getGadgetName() {return window.location.hash.substr(1) || "/static/gadget.js";}includeGadget(getGadgetName());// Extra code so that we can communicate with the parent pagewindow.addEventListener("message", function(event){if (event.source == parent) {includeGadget(getGadgetName());}}, false);</script></head><bodyid="level6"><imgsrc="/static/logos/level6.png"><imgid="cube"src="/static/level6_cube.png"><divid="log">Loading gadget...</div></body></html>index.html 전체 소스
// Take the value after # and use it as the gadget filename.function getGadgetName() {return window.location.hash.substr(1) || "/static/gadget.js";}위에는 location.hash가 포함된 부분이다. 주석에는 #을 사용한 후에 gadget 파일을 사용한다고 한다.
#뒤의 내용을 출력해주고 있다.
#? hint를 보면 #에 대한 언급이 있다.
hint
1. 위치 #의 값이 로드된 스크립트의 url에 어떻게 영향을 미치는지 확인하세요.
2. Gadgets의 url 보안검사가 정말로 안전한가요?
3. 때때로 좌절감을 느낄때 비명을 지르고 싶다(??????이거 진짜임?)
4. 악의적인 JS파일을 쉽게 호스팅할 수 없다면, google.com/jsapi?callback=foo가 여기에 도움이 되는지 확인을 하세요. -> 스크립트 파일을 서버에 올려서 사용하라는 말이란다...음..
foo는 heap에서 공부할 때도 많이 나왔는데 그냥 빈칸 채우기 용인가???
검색해보니까 재밌는게 있어서 첨부함. http://aroundck.tistory.com/956
빈칸 채우기용 foo! 왜인지 heap 공부할 때 이해안되서 쳐보니까 아무것도 안 나오더라~~~
url을 보면 https://xss-game.appspot.com/level6/frame#/static/gadget.js 이렇게 구성이 되어있다. # 뒤에 있는 내용이 화면에 출력된다.
#익스
서버 사용하기 귀찮아서 data url scheme으로 풀게 되었다.
데이터를 url로 변경해서 data:[자료타입],[데이터] 이렇게 넣으면 된다.
https://xss-game.appspot.com/level6/frame#data:text/javascript,alert('yeali');
이렇게 넣으면 성공.
pps. http://jeonyoungsin.tistory.com/480
이런식으로 푸는 방법도 있다.
'WebHacking > Xss-game Write-Up' 카테고리의 다른 글
Xss game level 5 write up (0) 2018.07.17 Xss-game level 4 write up (0) 2018.07.17 Xss game level 3 write-up (0) 2018.07.17 Xss-game level 2 write_up (0) 2018.07.17 Xss-game level 1 write-up (0) 2018.07.17
