[Web Hacking / 웹 해킹] CTF, 워게임 문제풀이 : XSS 1 - write up

해당 글은 XSS 공격 기법을 실제로 적용해보는 ctf 문제풀이 글 입니다.
XSS 공격 기법에 대한 개념을 알고싶으신 분은 하단의 게시글을 먼저 보고 와주세요 :)
https://yubi323.tistory.com/76

[Web Hacking / 웹 해킹] XSS 크로스 사이트 스크립팅 공격기법이란?

 

 

<마이페이지 XSS 가능 여부 확인>

브라우저 및 버프 스위트 출력 확인
-> 출력O

특수문자 < ' " > 삽입 테스트
-> Response에 출력 안됨
--> XSS 불가능

 

<공지 사항 XSS 가능 여부 확인>

1. 공지 사항 게시판에 글 작성

제목: kkkk
내용: kkkk

브라우저 출력

버프 응답 출력

 

2. 특수문자 삽입 확인

버프 요청 입력

1) 요청 히스토리 찾기

2) Repeater로 보내서 특수문자 <'"> 출력 테스트

브라우저 출력

버프 응답 출력

kkkk<'"> 게시글을 클릭 후 해당 history 확인

title 부분에 kkkk<'"> 가 출력되는 것을 확인!

-> 타이틀 부분에 XSS 공격 코드를 삽입할 수 있다.

 

3. XSS 공격 코드 삽입

title 부분에 특수문자가 그대로 출력됨을 확인했으니,
title 부분에 공격 스크립트를 삽입해준다.

kkkk<script>alert("XSS attack")</script>

 

공격코드를 삽입 후 브라우저에서 해당 게시글 클릭

 

공격 코드가 제대로 동작하여 XSS 공격이 성공했다는 alert이 뜸을 확인!