웹 해킹 bWAPP - 43. A3 - Cross-Site Scripting(XSS) - Reflected(JSON)

웹 해킹 bWAPP - 43. A3 - Cross-Site Scripting(XSS) - Reflected(JSON)

 

 

본 내용은 교육 과정에서 필요한 실습 목적으로 구성된 것이며, 혹시라도 개인적인 용도 및 악의적인 목적으로 사용할 경우, 법적 책임은 본인에게 있다는 것을 알려드립니다. 

 

 

1. Cross-Site Scripting(XSS)

 

 - OWASP Top10 A3 - 크로스 사이트 스크립팅

 - 자바 스크립트에 의해서 쿠키, 아이디/패스워드, 세션 정보를 획득하거나, 비정상적인 동작을 발생시키는 취약점이다.
 - Ex) 피싱 사이트 접속, 악성 프로그램 다운로드 및 설치, 랜섬 웨어, 쿠기 정보를 이용한 계정 접속

 

 

 

2. JSON(JavaScript Object Notation)

 

 - 자바스크립트 기반으로 개발됬으며, 여러 프로그래밍 언어에도 사용할 수 있는 독립형 언어
 - 웹 브라우저와 웹 서버 간 비동기 통신, 웹 서버 간의 데이터 교환 등에 주로 사용

 - Ex) 자바스크립과 PHP 간에 JSON으로 데이터 전달

 

 

3. Cross-Site Scripting(XSS) - Reflected(JSON)

 

 - 이 시나리오는 스크립트를 입력 폼에 인젝션하여 쿠키 정보 획득 또는 의도하지 않는 동작을 발생시키는 내용이다.

 

 

Ex1) Cross-Site Scripting(XSS) - Reflected(JSON) 이해 I

 

 

보안 레벨 선택 및 시나리오 선택

 

 

 

'Iron Man' 영화 제목 검색 실시 -> 메시지 확인

 

 

 

'cisco' 검색 실시 -> 메세지 확인(이런 영화는 없다고 나옴)

 

 

 

마우스 우클릭 -> '페이지 소스' 클릭

 

 

 

스크립트 내용 확인

 

 

 

43-0. 스크립트 인젝션 추가-1.txt

스크립트 인젝션 실시

 

 

 

prompt() 스크립트 확인

 

 

 

Ex2) 'xss_json.php' & 'functions_external.php' 파일 내용 확인

 

bee@bee-box:/var/www/bWAPP$ ls -l xss_json.php
-rw-rw-r-- 1 root www-data 6012 2014-11-02 23:52 xss_json.php

bee@bee-box:/var/www/bWAPP$ vi xss_json.php

~ 중간 생략 ~   include("functions_external.php");   if(isset($_GET["title"]) and $_GET["title"]) {       // Creates the movie table     $movies = array("CAPTAIN AMERICA", "IRON MAN", "SPIDER-MAN", "THE INCREDIBLE HULK", "THE WOLVERINE", "THOR", "X-MEN");       if($_COOKIE["security_level"] != "1" && $_COOKIE["security_level"] != "2")     {           // Retrieves the movie title         $title = $_GET["title"];       }     else     {           $title = xss_check_3($_GET["title"]);       }     // Generates the output depending on the movie title received from the client     if(in_array(strtoupper($title), $movies))         $string = '{"movies":[{"response":"Yes! We have that movie..."}]}';     else         $string = '{"movies":[{"response":"' . $title . '??? Sorry, we don't have that movie :("}]}'; }   else {           $string = '{"movies":[{"response":"HINT: our master really loves Marvel movies :)"}]}'; } :q!

 

 

bee@bee-box:/var/www/bWAPP$ gedit functions_external.php

~ 중간 생략 ~    function xss_check_3($data, $encoding = "UTF-8") {       // htmlspecialchars - converts special characters to HTML entities        // '&' (ampersand) becomes '&amp;'     // '"' (double quote) becomes '&quot;' when ENT_NOQUOTES is not set     // "'" (single quote) becomes '&#039;' (or &apos;) only when ENT_QUOTES is set     // '<' (less than) becomes '&lt;'     // '>' (greater than) becomes '&gt;'          return htmlspecialchars($data, ENT_QUOTES, $encoding);

 

 

 

[참고] 'htmlspecialchars' 함수

 - HTML 코드에 메타케릭터를 입력하여 다른것을 출력하거나 실행하는 것을 방지할때 사용하는 함수

 - 즉, HTML 메타케릭터가 HTML 태그로 적용되는 것을 방지하여 일반 문자로 처리해주는 기능 수행

 

Ex3) 보안 레벨 'High' 변경

 

 

보안 레벨 및 시나리오 선택

 

 

 

43-1. 스크립트 인젝션 추가-2.txt

스크립트 인젝션 실패

 

 

[유튜브] 동영상 강의 링크 (구독! 좋아요!!!)

 

웹해킹 43. A3 - bWAPP Cross-Site Scripting(XSS) - Reflected(JSON)   https://youtu.be/ngiWPOeTHnI