XSS-Game Level 6

์„ค๋ช…(๋ฒˆ์—ญ) ๋ณต์žกํ•œ ์›น ์–ดํ”Œ๋ฆฌ์ผ€์ด์…˜์—๋Š” URL ๋งค๊ฐœ ๋ณ€์ˆ˜์˜ ๊ฐ’ ๋˜๋Š”. NET Framework์˜ ์ผ๋ถ€์— ๋”ฐ๋ผ javascript ๋ผ์ด๋ธŒ๋Ÿฌ๋ฆฌ๋ฅผ ๋™์ ์œผ๋กœ load ํ•˜๋Š” ๊ธฐ๋Šฅ์ด ์žˆ๋Š” ๊ฒฝ์šฐ๊ฐ€ ์žˆ์Šต๋‹ˆ๋‹ค. "location hash" ์ด๋Š” ๋งค์šฐ ๊นŒ๋‹ค๋กœ์šด ์ž‘์—…์ž…๋‹ˆ๋‹ค. ์Šคํฌ๋ฆฝํŠธ ๋˜๋Š” ๊ธฐํƒ€ ์ž ์žฌ์ ์œผ๋กœ ์œ„ํ—˜ํ•œ ๋ฐ์ดํ„ฐ๋ฅผ load ํ•  ๋•Œ ์‚ฌ์šฉ์ž ์ž…๋ ฅ์ด URL์— ์˜ํ–ฅ์„ ๋ฏธ์น˜๋„๋ก ํ—ˆ์šฉํ•˜๋ ค๋ฉด XMLHttpRequest ์ข…์ข… ์‹ฌ๊ฐํ•œ ์ทจ์•ฝ์„ฑ์„ ์œ ๋ฐœํ•ฉ๋‹ˆ๋‹ค. ์ž„๋ฌด๋ชฉํ‘œ: ํ•  ์ˆ˜์žˆ๋Š” ๋ฐฉ๋ฒ• ์ฐพ๊ธฐ ์‘์šฉ ํ”„๋กœ๊ทธ๋žจ์ด ์™ธ๋ถ€ ํŒŒ์ผ ์š”์ฒญํ•˜๊ฒŒ ๊ทธ๊ฒƒ์ด ์‹คํ–‰ํ•˜๊ฒŒ ๋ฉ๋‹ˆ๋‹ค. alert(). ํ•ด๋‹น ๋ฌธ์ œ์˜ ๊ฒฝ์šฐ URL ์ž…๋ ฅ๊ฐ’ ์ด์™ธ์—๋Š” ๋ณ„๋‹ค๋ฅธ ์ด๋ฒคํŠธ๊ฐ€ ์กด์žฌํ•˜์ง€ ์•Š์Šต๋‹ˆ๋‹ค. ์ „ ๋‹จ๊ณ„์—์„œ ์ถœ์ œ์ž์˜ ์˜๋„๋ฅผ ํŒŒ์•…ํ•˜์ง€ ์•Š๊ณ  ๋ฌด์ž‘์ • ์ฐ”๋Ÿฌ๋ดค๋˜ ๊ฒฝํ—˜์ด ์žˆ๊ธฐ์— ์ด๋ฒˆ์—๋Š” ์ถœ์ œ์ž์˜ ์˜๋„๋ฅผ..

CHALLENGE
XSS-Game Level 5

์„ค๋ช…(๋ฒˆ์—ญ) ๊ต์ฐจ ์‚ฌ์ดํŠธ ์Šคํฌ๋ฆฝํŒ…์€ ๋ฐ์ดํ„ฐ๋ฅผ ์˜ฌ๋ฐ”๋ฅด๊ฒŒ ์ด์Šค์ผ€์ดํ”„ ํ•˜๋Š”๊ฒƒ๋งŒ ์ด ์•„๋‹™๋‹ˆ๋‹ค.๋•Œ๋•Œ๋กœ ๊ณต๊ฒฉ์ž๋Š” ์ƒˆ๋กœ์šด ์š”์†Œ๋ฅผ DOM์— ์‚ฝ์ž…ํ•˜์ง€ ์•Š๊ณ ๋„ ์•…์˜์ ์ธ ํ–‰์œ„๋ฅผ ํ•  ์ˆ˜ ์žˆ์Šต๋‹ˆ๋‹ค. ์ž„๋ฌด๋ชฉํ‘œ: alert() ์‘์šฉ ํ”„๋กœ๊ทธ๋žจ ์ปจํ…์ŠคํŠธ์—์„œ ํŒ์—… ์Šคํฌ๋ฆฝํŠธ๋ฅผ ์‚ฝ์ž…ํ•˜์‹ญ์‹œ์˜ค ๋งˆ์น˜ google ์—”์ง„๊ณผ ์œ ์‚ฌํ•œ ๊ฐ€์ž… ํŽ˜์ด์ง€๊ฐ€ ํ™•์ธ๋ฉ๋‹ˆ๋‹ค. URL์ด๋‚˜ email ์ž…๋ ฅ ํผ์— script ๊ตฌ๋ฌธ์„ ์‚ฝ์ž…ํ•ด๋„ ์•„๋ฌด๋Ÿฐ ๋ฐ˜์‘์ด ๋ณด์ด์ง€ ์•Š์Šต๋‹ˆ๋‹ค. .. .. .. .. ์†Œ์Šค์—์„œ ๋ญ”๊ฐ€ ์ •๋‹ต์ด๋‚˜ ์˜ฌ ๊ฒƒ ๊ฐ™์€ ์˜์—ญ์ด ์กด์žฌํ•ฉ๋‹ˆ๋‹ค. confirm.html ์†Œ์Šค ์•ˆ์— ๊ธฐ๋Šฅ์ ์œผ๋กœ ์‚ฌ์šฉ๋˜๋Š” ํ•จ์ˆ˜๊ฐ€ ๋ณด์ž…๋‹ˆ๋‹ค. ํ•ด๋‹น ์˜์—ญ์ด ์–ด๋–ค ์ƒ๊ด€๊ด€๊ณ„๊ฐ€ ์žˆ๋Š”์ง€ ํŒŒ์•…ํ•˜๊ธฐ ์œ„ํ•ด timeout / location / next ๋“ฑ์„ ํŒŒ์•…ํ•ด๋ด์•ผ ํ•ฉ๋‹ˆ๋‹ค. .. .. Next >> .. ....

CHALLENGE
XSS-Game Level 4

์„ค๋ช…(๋ฒˆ์—ญ) ์‚ฌ์šฉ์ž๊ฐ€ ์ œ๊ณต ํ•œ ๋ชจ๋“  ๋ฐ์ดํ„ฐ๋Š” ๋ฐ์ดํ„ฐ๊ฐ€ ํ‘œ์‹œ๋  ํŽ˜์ด์ง€์˜ ์ปจํ…์ŠคํŠธ์— ๋งž๊ฒŒ ์˜ฌ๋ฐ”๋ฅด๊ฒŒ ์ด์Šค์ผ€์ดํ”„ ๋˜์–ด์•ผ ํ•ฉ๋‹ˆ๋‹ค.์ด ์ˆ˜์ค€์€ ์ด์œ ๋ฅผ ๋ณด์—ฌ์ค๋‹ˆ๋‹ค. ์ž„๋ฌด๋ชฉํ‘œ : ์Šคํฌ๋ฆฝํŠธ๋ฅผ ์‚ฝ์ž… alert() ํ•˜์—ฌ ์• ํ”Œ๋ฆฌ์ผ€์ด์…˜์—์„œ JavaScript๋ฅผ ํŒ์—… ํ•ฉ๋‹ˆ๋‹ค. Create timer๋ผ๋Š” ํผ์— ํ•ด๋‹น ์ˆซ์ž๋ฅผ ์ž…๋ ฅํ•˜์—ฌ ํƒ€์ด๋จธ("์ดˆ"๋‹จ์œ„) ์‹œ๊ฐ„ ์ง€๋‚œ ํ›„ ๋‹ค์‹œ ๋ฆฌ๋‹ค์ด๋ ‰์…˜ ํ•ด์ฃผ๋Š” ํŽ˜์ด์ง€๋กœ ํ™•์ธ๋ฉ๋‹ˆ๋‹ค. URL์ด๋‚˜ Create timer ํผ์— ์•…์˜์ ์ธ ์Šคํฌ๋ฆฝํŠธ ๋ฌธ์„ ์‚ฝ์ž…ํ•ด๋„ ์‹คํ–‰์ด ๋˜์ง€ ์•Š๊ณ  ์žˆ์Šต๋‹ˆ๋‹ค. .. .. .. .. ํƒ€์ด๋จธ ํผ์„ ์ž…๋ ฅํ•ด๋ณด๋ฉด timer ๋ผ๋Š” ๋งค๊ฐœ๋ณ€์ˆ˜๊ฐ€ ์‚ฌ์šฉ๋˜๊ณ  ์žˆ๋Š” ๊ฒƒ์„ ํ™•์ธ .. .. .. .. ์†Œ์Šค๋ฅผ ํ™•์ธํ•ด๋ณด๋ฉด onload ์†์„ฑ์— ์ •์˜ํ•ด๋‘” startTimer ํ•จ์ˆ˜๊ฐ€ ํ˜ธ์ถœ๋˜๊ณ  timer ์ธ์ž ๊ฐ’์ด ๋“ค์–ด๊ฐ€ ..

CHALLENGE
XSS-Game Level 3

์„ค๋ช…(๋ฒˆ์—ญ) ์ด์ „ ์ˆ˜์ค€์—์„œ ๋ณด์•˜ ๋“ฏ์ด ์ผ๋ฐ˜์ ์ธ JS ํ•จ์ˆ˜ ์ค‘ ์ผ๋ถ€๋Š” ์‹คํ–‰ ์‹ฑํฌ๋กœ ๋ธŒ๋ผ์šฐ์ €๊ฐ€ ์ž…๋ ฅ์— ๋‚˜ํƒ€๋‚˜๋Š” ๋ชจ๋“  ์Šคํฌ๋ฆฝํŠธ๋ฅผ ์‹คํ–‰ํ•˜๋„๋ก ํ•ฉ๋‹ˆ๋‹ค. ์‚ฌ์‹ค์€ ๋‚ด๋ถ€์ ์œผ๋กœ ์ด๋Ÿฌํ•œ ๊ธฐ๋Šฅ ์ค‘ ํ•˜๋‚˜๋ฅผ ์‚ฌ์šฉํ•˜๋Š” ์ƒ์œ„ ์ˆ˜์ค€ API์— ์˜ํ•ด ์ˆจ๊ฒจ์ง‘๋‹ˆ๋‹ค. ์ด ์ˆ˜์ค€์˜ ์‘์šฉ ํ”„๋กœ๊ทธ๋žจ์€ ์ด๋Ÿฌํ•œ ์ˆจ๊ฒจ์ง„ ์‹ฑํฌ๋ฅผ ์‚ฌ์šฉํ•˜๊ณ  ์žˆ์Šต๋‹ˆ๋‹ค. ์ž„๋ฌด ๋ชฉํ‘œ : ์ด์ „๊ณผ ๋งˆ์ฐฌ๊ฐ€์ง€๋กœ ์Šคํฌ๋ฆฝํŠธ๋ฅผ ์‚ฝ์ž… alert() ํ•˜์—ฌ ์•ฑ์—์„œ JavaScript๋ฅผ ํŒ์—… ํ•ฉ๋‹ˆ๋‹ค. ์• ํ”Œ๋ฆฌ์ผ€์ด์…˜์˜ ์–ด๋Š ๊ณณ์—๋„ ํŽ˜์ด๋กœ๋“œ๋ฅผ ์ž…๋ ฅํ•  ์ˆ˜ ์—†์œผ๋ฏ€๋กœ ์•„๋ž˜ URL ํ‘œ์‹œ ์ค„์—์„œ ์ฃผ์†Œ๋ฅผ ์ˆ˜๋™์œผ๋กœ ์ˆ˜์ •ํ•ด์•ผ ํ•ฉ๋‹ˆ๋‹ค. ํ•ด๋‹น ํŽ˜์ด์ง€๋Š” ๋ณ„๋‹ค๋ฅธ ์ปจํ…์ธ ๋‚˜ ์ด๋ฒคํŠธ์ ์ธ ์š”์†Œ๊ฐ€ ๋ณด์ด์ง€ ์•Š๋Š” ์ •์ ์ธ ํŽ˜์ด์ง€์ž…๋‹ˆ๋‹ค. ์ด๋Ÿฌํ•œ ํŽ˜์ด์ง€์˜ ๊ฒฝ์šฐ " Reflected " ๊ฐ™์€ ๋ฐ˜์‚ฌํ˜• ๊ณต๊ฒฉ์„ ์‹œ๋„ํ•ด์•ผ ํ•ฉ๋‹ˆ๋‹ค. ๋ณดํ†ต ์ด๋Ÿด๊ฒฝ์šฐ ์ƒ๋‹จ ..

CHALLENGE
XSS-Game Level 2

์„ค๋ช…(๋ฒˆ์—ญ) ์›น ์‘์šฉ ํ”„๋กœ๊ทธ๋žจ์€ ์ข…์ข… ์‚ฌ์šฉ์ž ๋ฐ์ดํ„ฐ๋ฅผ ์„œ๋ฒ„ ์ธก์— ๋ณด๊ด€ํ•˜๊ณ  ์ ์  ๋” ํด๋ผ์ด์–ธํŠธ ์ธก ๋ฐ์ดํ„ฐ๋ฒ ์ด์Šค์— ๋ณด๊ด€ํ•˜๊ณ  ๋‚˜์ค‘์— ์‚ฌ์šฉ์ž์—๊ฒŒ ํ‘œ์‹œํ•ฉ๋‹ˆ๋‹ค. ์ด๋Ÿฌํ•œ ์‚ฌ์šฉ์ž ์ œ์–ด ๋ฐ์ดํ„ฐ์˜ ์ถœ์ฒ˜์— ๊ด€๊ณ„์—†์ด ์‹ ์ค‘ํ•˜๊ฒŒ ์ฒ˜๋ฆฌํ•ด์•ผ ํ•ฉ๋‹ˆ๋‹ค. ์ด ์ˆ˜์ค€์€ ๋ณต์žกํ•œ ์•ฑ์—์„œ XSS ๋ฒ„๊ทธ๊ฐ€ ์–ผ๋งˆ๋‚˜ ์‰ฝ๊ฒŒ ๋„์ž…๋  ์ˆ˜ ์žˆ๋Š”์ง€ ๋ณด์—ฌ์ค๋‹ˆ๋‹ค. ์ž„๋ฌด ๋ชฉํ‘œ : alert() ์‘์šฉ ํ”„๋กœ๊ทธ๋žจ ์ปจํ…์ŠคํŠธ์—์„œ ํŒ์—… ์Šคํฌ๋ฆฝํŠธ๋ฅผ ์‚ฝ์ž…ํ•ฉ๋‹ˆ๋‹ค. ์ฐธ๊ณ  : ์‘์šฉ ํ”„๋กœ๊ทธ๋žจ์€ ๊ฒŒ์‹œ๋ฌผ์„ ์ €์žฅํ•˜๋ฏ€๋กœ ๊ฒฝ๊ณ ๋ฅผ ์‹คํ–‰ํ•˜๊ธฐ ์œ„ํ•ด ์ฝ”๋“œ๋ฅผ ์‚ด์ง ์ž…๋ ฅํ•˜๋ฉด ๋‹ค์‹œ ๋กœ๋“œํ•  ๋•Œ๋งˆ๋‹ค์ด ์ˆ˜์ค€์ด ํ•ด๊ฒฐ๋ฉ๋‹ˆ๋‹ค. Level 2 ์—์„œ๋Š” " " ํƒœ๊ทธ๋ฅผ ๋ง‰๊ณ  ์žˆ์Šต๋‹ˆ๋‹ค. ๋˜ํ•œ ์‚ฌ์ง„์— ๋ณด์ด๋Š” ๊ฒƒ์ฒ˜๋Ÿผ HTML ํผ์— ์•…์˜์ ์ธ ์Šคํฌ๋ฆฝํŠธ ๊ตฌ๋ฌธ์„ ์‚ฝ์ž…ํ•˜์—ฌ ํ•ด๋‹น ํŽ˜์ด์ง€์— ์ ‘๊ทผํ•˜๋Š” ๋ชจ๋“  ์‚ฌ์šฉ์ž ๋“ค์„ ํƒ€๊นƒ์œผ๋กœ ํ•˜๊ณ  " Persi..

CHALLENGE
XSS-Game Level 1

์„ค๋ช…(๋ฒˆ์—ญ) XSS ( ๊ต์ฐจ ์‚ฌ์ดํŠธ ์Šคํฌ๋ฆฝํŒ… ) ๋ฒ„๊ทธ๋Š” ์›น ์‘์šฉ ํ”„๋กœ๊ทธ๋žจ์—์„œ ๊ฐ€์žฅ ์ผ๋ฐ˜์ ์ด๊ณ  ์œ„ํ—˜ํ•œ ์œ ํ˜•์˜ ์ทจ์•ฝ์  ์ค‘ ํ•˜๋‚˜์ž…๋‹ˆ๋‹ค. ์ด๋Ÿฌํ•œ ์„ฑ๊ฐ€์‹  ๋ฒ„๊ฑฐ๋Š” ์ ์ด ์•ฑ์—์„œ ์‚ฌ์šฉ์ž ๋ฐ์ดํ„ฐ๋ฅผ ํ›”์น˜๊ฑฐ๋‚˜ ์ˆ˜์ •ํ•  ์ˆ˜ ์žˆ๋„๋ก ํ—ˆ์šฉํ•  ์ˆ˜ ์žˆ์œผ๋ฉฐ, ์ด๋Ÿฌํ•œ ์•…์˜์ ์ธ ์Šคํฌ๋ฆฝํŠธ๋ฅผ ๋ณด๋‚ด๋Š” ๋ฒ•์„ ๋ฐฐ์›Œ์•ผ ํ•ฉ๋‹ˆ๋‹ค Google์—์„œ๋Š” ์ด๋Ÿฌํ•œ ๋ฒ„๊ทธ๊ฐ€ ์–ผ๋งˆ๋‚˜ ์ค‘์š”ํ•œ์ง€ ์ž˜ ์•Œ๊ณ  ์žˆ์Šต๋‹ˆ๋‹ค. ์‹ค์ œ๋กœ Google์€ XSS ๋ฌธ์ œ๋ฅผ ์ฐพ๊ณ  ์ˆ˜์ •ํ•˜๋Š” ๋ฐ ๋งค์šฐ ์ง„์ง€ ํ•˜์—ฌ ๊ฐ€์žฅ ๋ฏผ๊ฐํ•œ ์ œํ’ˆ์—์„œ ๋ฐœ๊ฒฌ๋œ ์œ„ํ—˜ํ•œ XSS ๋ฒ„๊ทธ์— ๋Œ€ํ•ด ์ตœ๋Œ€ 7,500 ๋‹ฌ๋Ÿฌ๋ฅผ ์šฉ๋ณ‘์—๊ฒŒ ์ง€๋ถˆํ•˜๊ณ  ์žˆ์Šต๋‹ˆ๋‹ค. ํ•ด๋‹น ๊ฒŒ์ž„์„ ํ†ตํ•ด XSS ๋ฒ„๊ทธ๋ฅผ ์ฐพ๊ณ  ํ™œ์šฉํ•˜๋Š” ๋ฐฉ๋ฒ•์„ ๋ฐฐ์›๋‹ˆ๋‹ค. ์ด ์ง€์‹์„ ์‚ฌ์šฉํ•˜์—ฌ ์• ํ”Œ๋ฆฌ์ผ€์ด์…˜์—์„œ ์ด๋Ÿฌํ•œ ๋ฒ„๊ทธ๊ฐ€ ๋ฐœ์ƒํ•˜๋Š” ๊ฒƒ์„ ๋ฐฉ์ง€ํ•˜์—ฌ ์ ์„ ํ˜ผ๋ž€์Šค๋Ÿฝ๊ฒŒ ํ•˜๊ณ  ๋ถ„๋…ธํ•˜๊ฒŒ ํ•  ๊ฒƒ์ž…๋‹ˆ๋‹ค. ์‹œํ—˜..

CHALLENGE
๋ฒ„ํผ ์˜ค๋ฒ„ํ”Œ๋กœ์šฐ(Buffer Overflow) ์ทจ์•ฝ์ 

๊ฐœ์š” ์›น ์• ํ”Œ๋ฆฌ์ผ€์ด์…˜ ์ฆ‰ ํ”„๋กœ๊ทธ๋žจ์ด ๋ณ€์ˆ˜์˜ ํ• ๋‹น๋œ ๊ณต๊ฐ„์— ์ €์žฅ๋  ๋ฐ์ดํ„ฐ์˜ ํฌ๊ธฐ(๋ฒ„ํผ)๋ฅผ ๊ฒ€์‚ฌํ•˜๊ฑฐ๋‚˜ ์ œํ•œํ•˜์ง€ ์•Š๊ฒŒ ๋  ๊ฒฝ์šฐ ๋ฐ˜ํ™˜ ์ฃผ์†Œ ๋ผ ๋ถˆ๋ฆฌ๋Š” Return Address(RET)์— ๋ฎ์–ด ์”Œ์›Œ์ ธ ํ•ด๋‹น ๊ธฐ๋Šฅ์ด ์ค‘์ง€๋˜๊ฑฐ๋‚˜ RET ๊ฐ’์— ๊ณต๊ฒฉ์ฝ”๋“œ๋ฅผ ์˜๋„์ ์œผ๋กœ ์‚ฝ์ž…๋˜๊ฒŒ ํ•˜์—ฌ ๊ณต๊ฒฉ์ž๊ฐ€ ์‹คํ–‰ํ•˜๊ณ ์ž ํ•˜๋Š” ์ฝ”๋“œ๋ฅผ ์‹คํ–‰์‹œํ‚ฌ ์ˆ˜ ์žˆ๋Š” ์‹ฌ๊ฐํ•œ ์ทจ์•ฝ์ ์ž…๋‹ˆ๋‹ค. ์Šคํƒ(Stack), ํž™(Heap) ๋“ฑ ๋‹ค์–‘ํ•œ ์šด์˜์ฒด์ œ์— BOF ๊ฐ€ ๋ฐœ์ƒํ•  ์ˆ˜ ์žˆ์Šต๋‹ˆ๋‹ค. ์šฐ์„  Linux ํ™˜๊ฒฝ์—์„œ ์‹ค์Šต์„ ์ง„ํ–‰ํ•ด๋ณผ ๊ฒƒ์ด๊ธฐ์— ํ”„๋กœ๊ทธ๋žจ ์‹คํ–‰ ์‹œ ์‚ฌ์šฉ๋˜๋Š” ๋ฉ”๋ชจ๋ฆฌ ๊ตฌ์กฐ๋ฅผ ๋ณด๊ฒ ์Šต๋‹ˆ๋‹ค. Stack : ํ›„์ž…์„ ์ถœ ์ธ Last In First Out ํŠน์„ฑ์„ ๊ฐ€์ง€๊ณ  ์žˆ์œผ๋ฉฐ, ํ•จ์ˆ˜์— ๋งค๊ฐœ๋ณ€์ˆ˜๋ฅผ ์ „๋‹ฌํ•˜๋Š” ๋“ฑ ํ•จ์ˆ˜ ํ˜ธ์ถœ๊ณผ ๊ด€๋ จ๋œ ์ •๋ณด๋ฅผ ๊ฐ€์ง€๊ณ  ์žˆ์Œ Heap : ๋™์ ํ• ๋‹น ์‹œ ์‚ฌ์šฉ D..

WEB