[Dreamhack] CSP Bypass Advanced wirte-up

📌 문제 해결 참고 사이트
- https://keyme2003.tistory.com/entry/CSP-Bypass-Advanced
- https://yun-2.tistory.com/entry/CSP-Bypass-Advanced

 

우선 문제 페이지에 접속하면 위와 같은 페이지를 확인할 수 있고 각 카테고리에 접속해보아도 별도로 확인할 수 있는 부분이 없으므로 문제에서 제공된 소스코드를 확인해보자.

 

def check_xss(param, cookie={"name": "name", "value": "value"}):
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    return read_url(url, cookie)

@app.after_request
def add_header(response):
    global nonce
    response.headers['Content-Security-Policy'] = f"default-src 'self'; img-src https://dreamhack.io; style-src 'self' 'unsafe-inline'; script-src 'self' 'nonce-{nonce}'; object-src 'none'"
    nonce = os.urandom(16).hex()
    return response

 

위와 같이 문제 코드를 확인해보면 base-src가 설정되지 않은 것을 알 수 있다.

이때, base-src는 설정되어 있지 않을 경우 default로 base 태그를 사용할 수 있다.

 

<base> 태그의 경우 HTML 문서 내에서 상대적인 URL 경로를 기준 URL로 설정하는 데 사용되는 태그로, 이 태그를 사용하면 모든 상대적인 URL이 기준 URL을 기준으로 해석되고 원하는 경로로 연결된다는 특징이 있다.

 

개발자 도구를 통해 HTML 스크립트를 확인해보면 <script src="/static/js/jquery.min.js" nonce></script> 경로로 jquery 라이브러리를 불러오고 있음을 확인할 수 있다.

 

위 과정을 통해 base 태그를 사용하여 공격을 해야한다는 것은 알 수 있었으나, 이후 접근 방법을 찾지 못해 여러 블로그를 찾아본 결과 개인 서버를 구축하여 경로를 구축한 개인 서버로 변경한 후 해당 스크립트 파일을 서버에 업로드 해주는 방식으로 해결해야 한다.

 

따라서, 아래와 같이 개인서버를 구축해주었다. 이때, 유의할 점은 개인서버는 public으로 만들어주어야 하며 private으로 만들경우 정상적으로 생성 및 공격 시도에 실패할 수 있다.

📌 깃허브 개인서버 구축 방법
- 참고 링크: Github.io 페이지 만들기

 

이후 공격을 위한 스크립트 구문을 작성하고

 

파라미터에 base 태그를 활용해서 경로를 변경하여 작성한 스크립트 코드를 입력한 후

 

memo 페이지로 다시 돌아가면

여러번의 많은 시도 끝에 플래그 값을 볼 수 있었다..

 

문제 해결-!