Reflected XSS : LAB [5]
DATE : 2024/1/12
Last updated
DATE : 2024/1/12
Last updated
์ด๋ฒ LAB์์๋ ๋ชจ๋ ํ๊ทธ๊ฐ ์ฐจ๋จ ๋๋ ์์ค Reflected XSS๋ฅผ ์ํํ๋ ๊ฒ์ด ๋ชฉํ์ด๋ค.
์ด์ LAB์์๋ ๊ทธ๋๋ ์ผ๋ถ ํ๊ทธ๋ ์ฌ์ฉํ ์ ์์๋๋ฐ,, ์ด๋ฒ์ ๋ชจ๋ ์ฐจ๋จ๋๋ค๊ณ ํ๋ค.
ํ์ง๋ง ์ฐ๋ฆฌ์๊ฒ ์์ง ํฌ๋ง์ด ๋จ์์๋ค!
HTML tag๋ผ ํ๋ฉด p, div, input ์ฒ๋ผ ์ง์ ๋์ด์๋ ํ๊ทธ๋ฅผ ๋ ์ฌ๋ฆฌ๊ธฐ ๋ง๋ จ์ด์ง๋ง
tag๋ฅผ ์ง์ ๋ง๋ค ์ ์๋ค๊ณ ํ๋ค.
์๋ฅผ ๋ค์ด search parameter์ custom-tag๋ผ๋ ์ด๋ฆ์ ํ๊ทธ๋ฅผ ์ ๋ ฅํ๊ฒ ๋๋ฉด
์ด๋ HTML์์ ์ ๊ณตํ๋ ํ๊ทธ๊ฐ ์๋ ์ฌ์ฉ์๊ฐ ๋ง๋ ํ๊ทธ์ด๊ธฐ ๋๋ฌธ์ ์ฐจ๋จ๋์ง ์๊ณ
Response ์์ ๋ฐ์๋๊ณ ์๋ ๊ฑธ ๋ณผ ์ ์๋ค.
๋ฐ๋ผ์ ์ฐ๋ฆฌ๋ custom tag๋ฅผ ๋ง๋ค์ด์ ์คํฌ๋ฆฝํธ๋ฅผ ์ฝ์ ํ๋ฉด ๋๋ค๋ ์๊ธฐ!
์ด๋ฒ LAB์ ์ฌ์ฉ์ ๋ธ๋ผ์ฐ์ ์์ cookie ์ ๋ณด๋ฅผ ํ์ ์ฐฝ์ผ๋ก ๋์์ผ ํ๊ธฐ ๋๋ฌธ์
์ต์ข ์ ์ผ๋ก ์คํํ๊ณ ์ ํ๋ ์คํฌ๋ฆฝํธ๋ ์์ ๊ฐ๋ค.
์ด ์ํ์์ ์ฌ์ฉ์๊ฐ ์ทจ์ฝ์ ์ด ์กด์ฌํ๋ ํ์ด์ง๋ก ์ด๋ํ์ฌ ์คํฌ๋ฆฝํธ๋ฅผ ์คํํ๋๋ก ๋ง๋ค๊ธฐ ์ํด์
location์ ์ฌ์ฉํ๋ค.
์ด๋ ๋ ์ฌ๊ฒจ๋ณผ ๋ถ๋ถ์ id & # ์ธ๋ฐ ํ์ฌ custom-tag์ ์ฌ์ฉํ event handler๋ onfocus๋ก
์ด๊ฑธ ์ค์ ํด๋ element๊ฐ ์ฌ์ฉ์์ ์ํด ์ ํ๋์์ ๋ ๋์ํ๋ค.
์คํฌ๋ฆฝํธ๋ฅผ ์ฝ์ ํ custom-tag๊ฐ focus ๋์ด์ผ๋ง event handler๊ฐ ๋์ํ๋ฉด ์คํฌ๋ฆฝํธ๊ฐ ์คํ๋๋๋ฐ
์ฌ์ฉ์๊ฐ ์ด ํ๊ทธ๋ฅผ ๊ฑด๋ค ๋๊น์ง ๋ง๋ฅ ๊ธฐ๋ค๋ฆฌ๊ณ ์์ ์ ์๊ธฐ ๋๋ฌธ์
#๋ฅผ ์ด์ฉํด ์๋์ผ๋ก id๊ฐ here์ธ element์ focus ๋๋๋ก ์คํฌ๋ฆฝํธ๋ฅผ ์์ฑํ ๊ฒ์ด๋ค!
์คํฌ๋ฆฝํธ๋ฅผ ์ ์ฅํ๊ณ ํผํด์์๊ฒ ๋งํฌ๋ฅผ ์ ๋ฌํ๊ฒ ๋๋ฉด ์๋ํ ๋ฐ์ ๊ฐ์ด
์ฌ์ฉ์ ๋ธ๋ผ์ฐ์ ์๋ ํ์ ์ฐฝ์ด ๋ธ์ผ๋ก์จ ๊ณต๊ฒฉ์๊ฐ ์์ฑํ ์คํฌ๋ฆฝํธ๊ฐ ์ ์ ์คํ ๋์์์ ํ์ธํ ์ ์๋ค.