#client-side-trust

캔버스로 달고나 뽑기를 하는 웹 문제. 서버 코드는 24줄뿐이고 flag 를 주는 POST /api/stage5/clear 에는 검증이 한 줄도 없다. 레벨 해금은 localStorage, 90% 판정은 game.js 안. 게다가 5단계는 도형 그리는 함수 자체가 없어 브라우저로는 깰 수 없다. 게임을 건드리지 않고 API 만 한 번 때려 flag 를 받았다.

가짜 브라우저 창 안에 "403 Forbidden"이 떠 있는 페이지. 제목부터 대놓고 "403 우회"를 암시하니 자연스럽게 X-Forwarded-For, 경로 트릭 같은 고전적인 헤더 우회 기법부터 시도하게 된다. 그런데 그 화면 속 "/secret"이라는 보호된 경로는 애초에 서버에 존재하지도 않는 눈속임이었다. view-source로 스크립트를 열어보면 진짜 취약점은 전혀 다른 곳에 있었다 — 클라이언트가 "정답 조건"을 스스로 판단해서 보내는 POST 요청을, 서버가 그 어떤 맥락도 검증하지 않고 그대로 받아준다는 사실.