XSS Challenges 1

์„ค๋ช…(๋ฒˆ์—ญ) Level 0์„ ์ด์–ด์„œ ๋‹ค์Œ ๋‹จ๊ณ„์ธ Level 1์„ ํ•ด๊ฒฐํ•ด๋ณด๋„๋ก ํ•˜๊ฒ ์Šต๋‹ˆ๋‹ค. ์ „ ๋‹จ๊ณ„์—์„œ ์‚ฌ์šฉํ–ˆ๋˜ ๊ธฐ๋ณธ ๊ตฌ๋ฌธ์„ ์‚ฝ์ž…ํ•ด๋ณด๋ฉด javascript ๊ฐ€ ์‹คํ–‰๋˜์ง€ ์•Š๊ณ  ์žˆ์Šต๋‹ˆ๋‹ค. ์ž…๋ ฅํ–ˆ๋˜ ์ฝ”๋“œ๊ฐ€ ์–ด๋–ป๊ฒŒ ์‚ฝ์ž…๋˜์–ด ์žˆ๋Š”์ง€ ํ™•์ธํ•ด๋ณด๋ฉด ์ฝ”๋“œ๊ฐ€ ์ œ๋Œ€๋กœ ๊ตฌ๋ถ„๋˜์–ด ์žˆ์ง€ ์•Š์Šต๋‹ˆ๋‹ค. ๋ณดํ†ต XSS ์ทจ์•ฝ์ ์„ ์ฐพ์„ ๋•Œ ์ž์ฃผ ์‚ฌ์šฉํ•˜๋Š” ๊ธฐ๋ฒ•์ธ "> ํด๋กœ์ง• ํƒœ๊ทธ๋ฅผ ์‚ฌ์šฉํ•ด์„œ ์ด์ „ ๊ตฌ๋ฌธ์„ ๋‹ซ์•„์ฃผ๊ณ  ์ง€๊ธˆ๋ถ€ํ„ฐ ์ž…๋ ฅ๋œ ๊ตฌ๋ฌธ์„ ์„ ์–ธํ•˜๊ฒ ๋‹ค๋Š” ๋ฐฉ์‹์„ ์ด์šฉํ•˜๋ฉด ๋ฉ๋‹ˆ๋‹ค. ํŒ์—…์ฐฝ์ด ์„ฑ๊ณต์ ์œผ๋กœ ๋–ด์œผ๋ฉด ํŽ˜์ด์ง€ ์†Œ์Šค๋ฅผ ํ†ตํ•ด ๊ตฌ๋ฌธ์ด ์–ด๋–ป๊ฒŒ ๋˜์—ˆ๋Š”์ง€ ํ™•์ธํ•ด ๋ณผ ์ˆ˜ ์žˆ์Šต๋‹ˆ๋‹ค. alert("guleum");์œผ๋กœ ๋ช…ํ™•ํ•˜๊ฒŒ ๊ตฌ๋ถ„์ด ๋˜์—ˆ์Šต๋‹ˆ๋‹ค. Exploit Code ">

CHALLENGE
XSS Challenges 0

์„ค๋ช…(๋ฒˆ์—ญ) 2016๋…„ "nopernik"์— ์˜ํ•ด ๋งŒ๋“ค์–ด์ง„ XSS ์ฑŒ๋ฆฐ์ง€์ž…๋‹ˆ๋‹ค. ์ƒ๋Œ€์ ์œผ๋กœ ๋งŒ๋“ค์–ด์ง„ ์ง€ ์˜ค๋ž˜๋˜์ง€ ์•Š์•˜๊ธฐ ๋•Œ๋ฌธ์— ํ’€์ด๊ณผ์ •์„ ์ฐพ์•„๋ณด๊ธฐ ํž˜๋“  ๊ฒŒ์ž„์ž…๋‹ˆ๋‹ค. ๋˜ํ•œ ํžŒํŠธ์กฐ์ฐจ ์ œ๊ณต๋˜์ง€ ์•Š๊ธฐ ๋•Œ๋ฌธ์— ๋„์ „์ž๋“ค์ด ์ ์ฐจ ๋งŽ์•„์งˆ ๊ฒƒ์œผ๋กœ ํŒ๋‹จํ•˜๊ณ  ์žˆ์Šต๋‹ˆ๋‹ค. ํ’€์ด ๋ฐฉ๋ฒ•์€ ๊ฐ„๋‹จํ•ฉ๋‹ˆ๋‹ค. javascript ์ฝ”๋“œ๊ฐ€ ํฌํ•จ๋œ ๊ฐ„๋‹จํ•œ HTML ํผ์„ ๋„์›Œ์ฃผ๋ฉฐ Input Output์„ ํ™•์ธํ•ด๊ฐ€๋ฉด์„œ ํŒจํ„ด์„ ํ™•์ธ ํ›„ Escape ์‹œํ‚ค๋ฉด ๋ฉ๋‹ˆ๋‹ค. ์–ด๋Š ์ฑŒ๋ฆฐ์ง€๋‚˜ ๋งˆ์ฐฌ๊ฐ€์ง€์ง€๋งŒ ์ฒซ๋ฒˆ์งธ ๋‹จ๊ณ„๋Š” ๊ธฐ๋ณธ์ ์ธ ์ฝ”๋“œ๋กœ ์„ฑ๊ณต์ด ๊ฐ€๋Šฅํ•ฉ๋‹ˆ๋‹ค. ํ˜„์žฌ ํฌ๋กฌ์„ ๋‹คํฌ ๋ฒ„์ „์œผ๋กœ ์‚ฌ์šฉํ•˜๊ธฐ์— ์ž…๋ ฅ ํผ์ด ์ œ๋Œ€๋กœ ์•ˆ ๋ณด์ด์ง€๋งŒ Subscribel์ด๋ผ๋Š” ๊ณณ์— ์ž…๋ ฅ์„ ํ•ด์ฃผ์‹œ๋ฉด ๋ฉ๋‹ˆ๋‹ค. javascript๋ฅผ ์„ฑ๊ณต์ ์œผ๋กœ ์‹คํ–‰์‹œํ‚ฌ ๊ฒฝ์šฐ ํ•˜๋‹จ์˜ ์ด๋ฏธ์ง€์ฒ˜๋Ÿผ alert๊ฒฝ๊ณ ์ฐฝ์ด ๋œจ๊ฒŒ ๋ฉ..

CHALLENGE