모의해킹을 하다 보면 제일 많이 겪게되는 것이 방지대책에 막히게 되는 것일텐데요.
이전에 말씀드렸다시피 모의해킹은 취약점 점검이랑 달라서 우회기법도 포함하는 개념입니다.
상황이 이렇다 보니 모의해킹 진행 중 Server-Side Script 레벨이나 WAF(Web Application Firewall) 정책에 막히는 경우가 허다합니다.
오늘은 저희가 활용하고 있는 우회기법 중, 자바스크립트 'with' 구문을 사용하는 XSS 방지 우회 기법에 대해서 잠시 말씀드릴까 합니다.
여러가지 XSS 공격 방지 케이스들 중 본 페이지에서 우회를 시도하는 케이스는 다음과 같습니다.
<?php
// vuln.php
...
$msg = $_GET['msg'];
$pattern = '/document.cookie/i';
$output = preg_replace($pattern, '', $msg);
...
?>
위 케이스는 일반적으로 "document.cookie" 문자열을 삭제 해 버리는 코드로, 저희가 실제 우회했던 케이스는 WAF 정책이었으나, 설명을 하기 위해 PHP 코드로 구현해 보았습니다.
물론 많은 분들이 아시는 것 처럼 위 코드에는 다음과 같은 XSS 방지 우회 방안이 있을 수 있습니다.
vuln.php?msg=<script>alert(documendocument.cookiet.cookie);</script>
:= vuln.php?msg=<script>alert(document.cookie);</script>
필터링 후의 문자열 상태를 예상해 Payload를 구성하는 방법인데, 본 페이지에서 다룰 방법은 위와 같은 방법이 아니라 여기까지만 언급하도록 하겠습니다.
우회방안이나 공격방안을 구성할 때 제일 좋은 것은, 대상을 구성하고 있는 'Standard 한 규격'을 참조하고 이를 이용하는 경우입니다.
이를 위해 인터넷에서 자바스크립트 명세서(Specification; 줄여서 흔히 스펙문서라 부릅니다)을 검색해 보았습니다.
저희가 구할 수 있었던 자바스크립트 명세서는 96년 마지막으로 작성된 1.1 버전이었으며, 이를 참조하였습니다.
자바스크립트 명세서 1.1 버전 80페이지에 보면 6.4.8 The with Statement 라는 항목으로 with 구문을 설명하고 있습니다.
해당 항목의 일부를 발췌하면 다음 내용과 같습니다.
6.4.8 The with Statement
The with statement establishes the default object for a set of statements.
Within the set of statements, any property references that do not specify an
object are assumed to be for the default object.
... 생략 ...
Example
The following with statement specifies that the Math object is the default
object. The statements following the with statement refer to the PI property
and the cos and sin methods, without specifying an object. JavaScript assumes
the Math object for these references.
var a, x, y
var r=10
with (Math) {
a = PI * r * r
x = r * cos(PI)
y = r * sin(PI/2)
}
위 내용을 참조해 보면 with 구문 사용 시 특정 object를 명시하도록 되어있고, 이후의 블록안에서는 명시된 object의 멤버를 참조할 때, member 이름만 가지고도 접근 가능하도록 되어 있습니다.
with 구문에 대해 테스트 해 볼 요량으로 다음의 코드를 작성하였습니다.
<?php
Header("Set-Cookie: A3Security=TeamCR@K;");
$msg = $_GET['msg'];
$pattern = '/document.cookie/i';
$output = preg_replace($pattern, '', $msg);
echo "<html><body><head><title>XSS Test</title></head>";
echo "Code: " . htmlspecialchars($output) . "<BR>";
echo "Execution: $output<BR>";
echo "</body></html>";
?>
위 코드를 작성하고 실행하는 순간 다음과 같은 에러가 발생하였습니다.
[그림 1] XSS 방지 (IE)
웹 브라우져 차원에서 특정 URL을 요청하는 사용자 입력 값을 검사하여 XSS 공격 패턴을 차단하고 있는 기능입니다.
PHP 실행 레벨에서 document.cookie 문자열은 삭제되었지만 웹 브라우져 레벨에서 스크립트가 차단당하여 alert 창이 실행되지 않는 모습입니다.
해당 기능은 다음의 설정을 통해 비활성화 할 수 있습니다.
[그림 2] XSS 방지 기능 비활성화 방법 (IE)
'XSS 필터 사용' 항목을 '사용 안 함'으로 설정하면 XSS 방지 기능을 비활성화 시킬 수 있으나, XSS 취약점이 사용자 입력 값에만 의존하고 있지 않기 때문에 그냥 소스코드를 수정하는 방향으로 테스트 해 보았습니다.
다음은 XSS 공격 방지를 우회하기 위해 테스트 한 자바스크립트 코드입니다.
<script>with(document) { alert(cookie); }</script>
아래 화면은 IE에서 테스트 한 화면입니다.
[그림 3] with 구문을 사용한 XSS 공격 방지 우회 (IE)
[그림 4] with 구문을 사용한 XSS 공격 방지 우회 (Chrome)
