Reflected XSS : LAB [9]
DATE : 2024/1/17
Reflected XSS μ·¨μ½μ μ΄ μ‘΄μ¬νλ μ΄λ² LABμμλ μ λͺ©μ λμ μλ―μ΄
< > κΈ°νΈ, μμ λ°μ΄ν, ν° λ°μ΄ν, μ μ¬λμ¬μ λ°±ν±μ μ¬μ©ν μ μλ€.
λΈλ‘κ·Έ κ²μ κΈ°λ₯μ νμ©νλ κ²½μ°, μμ 보μ΄λ μ½λκ° μ€νλλ λ°
μ¬μ©μκ° μ λ ₯ν λ΄μ©μ΄ messageμ λ€μ΄κ° innerText μμ±μΌλ‘ ν λΉ λλ κ±Έ νμΈν μ μλ€.
μ½λ μμμλ λ³ λ€λ₯Έ μ μ½ μ¬νμ΄ μλ λ― λ³΄μ΄μ§λ§
LABμμ μ¬μ©ν μ μλ€κ³ ν λ¬Έμ 4κ°λ₯Ό μ λ ₯ν΄λ³΄λ unicode encoding λ κ²°κ³Όκ° λμ¨λ€..!
λ°±ν±κ³Ό μ μ¬λμ¬λ‘ λ£μ΄λ³Έ κ²°κ³Ό λͺ¨λ unicode encoding μ²λ¦¬ λκ³ μλ κ±Έ νμΈνλ€.
μ¦ μ΄λ² LABμμλ μ¬μ©ν μ μλ λ¬Έμκ° κ΅μ₯ν λ§λ€,,
ν.μ§.λ§
μ½λλ₯Ό λ€μ ν λ² μ 보면 message λ³μκ° ` ` λ°±ν±μΌλ‘ κ°μΈμ§ μνμΈ κ±Έ λ³Ό μ μλλ°
μ¬κΈ°μ μ΄ λ°±ν±μ νμ©ν μ μλ ${} place holderκ° λ±μ₯νλ€.
λ°±ν±μΌλ‘ κ°μΈμ§ λ¬Έμλ₯Ό μ½μ μ°½μ μ°μ΄λ³΄λ©΄
λ€μκ³Ό κ°μ΄ λμ€λ κ±Έ λ³Ό μ μλ€. μ΄λ μ£Όλͺ©ν λΆλΆμ λ°±ν±μΌλ‘ λ¬Έμμ΄μ μμ±ν λ
κ·Έ μμ ${ }λ₯Ό μ¬μ©ν μ μλ€λ μ μ΄λ€.
μμ μμμ²λΌ ${ } μμμ λ¬Έμμ΄μ λ§λ€κ³ μ νλ€λ©΄ λμΌνκ² λ°±ν±μ μ¬μ©νκ±°λ λ°μ΄νλ‘ μ¬μ©ν΄λ λλ€.
λ€λ§ ν¨μλ₯Ό νΈμΆν λλ λ°±ν±μ΄λ λ°μ΄νλ‘ κ°μΈλ κ±° μμ΄ κ·Έλ₯ ν¨μλ§ μμ±νλ€.
μ΄λ alert()μ λ¬Έμμ΄μ μμ±ν λλ λ°±ν±μ΄λ λ°μ΄νλ₯Ό μ¬μ©νλ©΄ λλ€.
μ΄ μ½λλ₯Ό λΈλΌμ°μ μμμ νμΈν΄λ³΄λ©΄
νμ μ°½μ΄ λ¬ νμ alert()λ λ¬Έμμ΄ μμμ μ¬λΌμ§κ³
κ·Έ μ리λ₯Ό undefinedκ° λ©κΎΈκ³ μλ κ±Έ λ³Ό μ μλ€.
λ§μ½ alert() ν¨μ μμ λ¬Έμμ΄μ΄ μλ κ·Έλ₯ μ«μλ₯Ό λ£κ±°λ λ³ λ€λ₯Έ λ΄μ© μμ΄ νΈμΆλ§ νλ€λ©΄
μ ν λλ λ¬Έμλ₯Ό μ¬μ©νμ§ μκ³ <script> tag μμ alert()λ₯Ό μ½μ ν μ μλ€.
μ΄μ κ°μ΄ μ€ν¬λ¦½νΈλ₯Ό κ²μ λ°μ μ λ ₯νκ² λλ©΄ message λ³μλ‘ μ€ν¬λ¦½νΈκ° λ€μ΄κ°κ² λλ©΄μ
Last updated