kielo in note kielo in note

Xss game level 5 write up #번역 미션 설명 : XSS는 데이터를 올바르게 이스케이프 처리하는거에 멈추지 않습니다. 때로는 공격자가 Dom에 새 요소를 주입하지 않고도 나쁜일을 할 수 있습니다. 미션 목표 : alert()를 넣어서 팝업 스크립트를 삽입하시오. #분석 Dom에 스크립트를 삽입하지 않고 푸는 문제라는게 무슨 뜻일까?? 풀면 알 듯하다. hint1. 제목이 힌트이다.2. 가입 프레임의 소스를 보고 URL 매캐 변수가 어떻게 사용되는지 살펴보는것이 좋다.3. onclick 핸들러를 사용하지 않고 링크를 클릭하여 javascript를 실행하게 하려면 어떻게 해야 되는가?4. 진짜 안 풀리면 IETF 초안을 살펴보자. (https://tools.ietf.org/html/draf..

xss game level 4 write up #번역 미션 설명 : 사용자가 제공한 모든 데이터는 표시도리 페이지의 내용에 맞게 올바르게 이스케이프되어야 합니다. 미션 목표 : alert()로 팝업하는 스크립트를 삽입하세요. #분석 hint1. startTimer 함수가 호출되는 방법을 살펴봅시다. 2. 브라우저가 태그 속성을 구문 분석할 때 먼저 HTML 값을 디코딩합니다. 는 get방식임을 확인할 수 있고, timer.html에서 onload로 입력한 time이 들어감을 확인할 수 있다. url은 https://xss-game.appspot.com/level4/frame 이렇게 구성되어있는데, get방식으로 timer를 불러오니까 뒤에 스크립트를 추가하면 된다. #익스 기존 url : https://..

Xss game level 3 write up #번역 미션 설명 : level 2에서 보았듯이 일부 일반적인 js기능은 실행입니다. 즉, 브라우저가 입력에 나타는 스크립트를 실행하게 됩니다. 때로는 이러한 사실은 상위 수준의 API에 의해서 기능이 숨겨집니다. 이 레벨의 응용 프로그램은 그러한 숨겨진 싱크를 사용하고 있습니다. 미션 목표: 이전과 마찬가지로 alert()를 사용한 팝업 스크립트를 삽입하세요. 애플리케이션의 어느 위치에든 페이로드를 입력할 수 없으므로 아래의 url 표시줄에서 수동으로 주소를 편집해야 합니다. #분석 function chooseTab(num) { // Dynamically load the appropriate image. var html = "Image " + parseIn..

Xss game level 2 write up #번역 미션 설명 : 웹 응용 프로그램은 종종 사용자 데이터를 서버 측 및 클라이언트 측 데이터베이스에 보관하고 나중에 사용자에게 표시합니다. 그러한 사용자 제어 데이터의 출처가 무엇이든 관계없이 신중하게 처리해야 합니다. 복잡한 응용 프로그램에서 xss 버그를 얼마나 쉽게 도입할 수 있는지 알 수 있습니다. 미션 목표 : alert() 응용 프로그램의 내용 안에 팝업 스크립트를 삽입하세요.참고 : 응용 프로그램에서 게시물을 저장하므로 코드를 몰래 사용하여 경고를 실행하면 다시 로드할 때마다 수준이 해결됩니다. #분석 구문이 먹히지 않음으로 필터링하고 있음을 알게 되었다. (필터링 하는 법 공부 예정) hint로 onerror를 사용하라고 했는데, onerr..

XSS game Level 1 Write up # Analysis 번역)미션 설명사용자 입력이 적절한 이스케이프 처리없이 페이지에 직접 포함되는 크로스 사이트 스크립팅의 일반적인 원인을 보여준다. 아래의 취약한 응용 프로그램 창과 상호 작용하고 원하는 JavaScript를 실행하는 방법을 찾아라. 취약한 창 내부에서 작업을 수행하거나 URL 표시 줄을 직접 편집 할 수 있다. 미션 목표아래 프레임에 JavaScript alert()를 삽입하시오! 알림을 표시하면 다음 단계로 넘어갈 수 있습니다. ** escape/이스케이프 : 번역을 하면 탈출이라는 뜻. 값을 에러없이 전달하기 위해서 사용된다. 제어 문자로 인식될 수 있는 특정 문자 왼쪽에 슬래시를 붙이거나 URL 또는 HTML 엔티티 등으로 인코딩하여..

Webhacking 공부를 위해서 Webhacking.kr로 문제를 풀어보고자 합니다. 목표는 하루에 하나씩인데, 꼭 지켜졌으면 좋겠습니다!!ㅎㅎ 우선 링크로 들어오면 검은색 화면의 로그인창이 보입니다. 로그인을 하려면 회원가입을 해야 되는데, 보이지가 않네요...안 보이게 만들어놓은 것 같으니, 보이게 만들어보죠! 개발자 도구[F12]를 누르게 되면 페이지 소스가 보이게 됩니다. 그 다음에 회원가입이 있을것만 같은 저 빈공간에 마우스를 가져가면, 관련 소스가 있는 곳을 찾을 수 있습니다. 모두 주석처리가 되어있는 것을 확인할 수 있습니다. 이제 주석을 없애고 버튼을 보이게 해봅시다! 주석을 없애면 Register가 이쁘게 뜬 것을 확인할 수 있습니다. 이제 회원가입을 해볼까요?! 회원가입을 하려고 하니..