[Bee-box] Broken Auth. - Insecure Login Forms

이번 포스팅은 'Broken Auth. - Insecure Login Forms' 입니다.

 

실습하는 모든 공격은 실제로 사용하시면 안됩니다.

허용받지 않은 서비스 대상에 해킹을 시도하는 행동은 금지하며,

모든 법적 책임은 사용자에게 있는 것을 명심해주세요.

 

 

---

 

안전하지 않은 로그인 형식

'ba_insecure_login_1.php' 페이지에서는 웹 페이지가 안전하지 않은 로그인 형식을 사용하는지 점검한다.

 

 

난이도 하

 

 

페이지를 클릭해준다. (위 두 공격은 새로 업그레이드 된 공격실습 인것 같았다.)

 

 

 

 

페이지에 들어와서 보니, 로그인 하는 페이지이다.

이 페이지의 소스 코드를 개발자도구[F12]로 확인한다.

 

'main'에서 POST방식으로 전송하는 form 태그를 찾아서 보면, login이라는 레이블 밑에 흰색으로 지정한 태그가 있다.

 

 

 

 

이걸 black으로 바꿔준다.

 

 

 

 

숨겨져있던 글씨가 보인다.

 

 

 

이대로 로그인을 해봤다. (보이는 대로 입력 해서)

 

 

 

로그인 성공..(?!) 

너무 쉬운 방법이다.. 노출된 로그인 정보로 로그인 하기

-> clear

 

 

 

사실 드래그 해도 보인다...

 

 

 

 

난이도 중

 

 

난이도를 중으로 하면  '난이도 하' 와는 다르게 Name칸에 이미 'brucebanner' 이라는 name이 입력되어 있다.

따라서 이 사용자로 로그인하기 위하여 웹 페이지에서 취약한 부분을 찾는다.

 

 

 

코드를 개발자도구로[F12] 확인해보자.

 

 

 

 

아이디는 노출하고 있지만, 비밀번호는 노출하지 않는다.

변수명은 passphrase이고, unlock 버튼을 클릭(onclick)하면 unlock_secret()함수를 호출한다.

password를 알아내기 위해 소스 코드를 한번에 봐보자.

 

 

 

 

 

마우스 우클릭 하면 페이지 소스 보기 라는 메뉴가 있다. 

메뉴 클릭 후 Ctrl+F 로 (찾기 명령어)

 

passphrase(비밀번호 입력 값을 저장하는 변수)를 찾아본다.

이 저장한 값과 secret이 같다면 로그인에 성공한다.

 

 

( . . . 난독환줄)

 

 

코드 해석을 위해 조금 윗 코드부터 살펴보았다.

 

 

 

 

코드는 javascript 

맨 마지막 줄을 잘 살펴보면 secret 변수에 d,j,k,q ... 되는 문자가 대입되어 있다.

 

secret변수는 unlock_secret()함수 내부에 정의되어 있고, 

이 함수는 charAt 함수를 호출하는 함수이다.

 

charAt함수에대해 잠깐 설명하자면,

이 함수는 문자열 객체에서 문자 하나만 반환하는 함수로, 정수를 인자로 받아 해당하는 순서의

문자를 출력하며, 순서는 (인덱스) 0부터 시작한다.

 

예제는 아래 클릭 ▼

출처 : developer.mozilla.org/ko/docs/Web/JavaScript/Reference/Global_Objects/String/charAt

 

 

다시 코드를 해석해보자. 

secret변수에 대입된 값은 문자가 아닌, var 타입으로 선언된 변수이다.

같은 변수 명이 여러 번 등장하는 것으로 보아, 변수에 입력한 값을 계속 덮어쓰고 있다.

 

 

가장 마지막에 선언된 변수에 해당하는 값으로 원래 secret (비밀번호) 값을 찾아본다.

 

 

 

값은 이런식으로 대입해서 찾아보면 된다.

var bWAPP라는 문자열은 총 28글자!(공백포함) 이 값으로 진짜 값을 찾는것이다.

 

var secret에서 d = charAt(23)즉, bWAPP 문자열의 24번째의 존재하는 문자 'h' 이다. (0부터 시작하므로)

 

 

bash update killed my shells!

0123456789..이런식으로 번호를 찾아가면 됨.

 

 

이렇게 나머지들도 차례대로 찾아서 반환하는 값을 찾아본다.

 

d=23, j= 5, k=14, q=12, x=4, t=2, o=19, g=1, h=2, d=23, p=28

(처음에 방향이 헷갈렸는데 코드에서 '<--'  이방향으로 읽어나가시면 됩니다.)

 

총 pw길이는 11글자

반환 값을 대입해보면,

 

hulk smash!

 

 

찾은 값을 비밀번호에 입력해보니, 로그인이 되었다.

 

 

대응방안

 

난이도 상 에서는 아무 것도 보이지 않는다.

 

 

코드를 살펴봤더니, login_3.php 로 form 태그를 보내고 있으며, method방식도 post이다.

이전 단계들과 다르게 흰색으로 숨겨놓은 태그도 보이지 않으며, 

소스 코드에 대한 힌트도 노출되어 있지 않다.

 

즉 다른 페이지로 넘겨 보이지 않게 처리 해주는 것이다.