webhacking.kr 23번

level 23 첫화면

스크립트 코드를 공격하라는 것 같은데.., 소스코드에도 스크립트 코드는 없다 ㅠ

 

<script>alert(1);</script>를 입력해봤더니 no hack이라고 출력되었다.

입력창에 이것저것 입력하고 제출해보니, 알파벳 2글자 이상이면 no hack이 출력되는 것을 알 수 있었다.

(한글이나 숫자는 제대로 출력됨)

 

문자 사이사이에 공백을 추가하고 제출했더니 문자열이 출력되었다 !

연속된 알파벳만 필터링하는 것을 보니, 공백을 우회해서 문제를 해결해야할 것같다.

url에 공백이 +로 대체된 것을 보고, +를 %0a로 바꿔서 입력해봤지만 똑같이 공백으로 인식하고 문자열이 출력됐다ㅜㅜ

 

연속된 문자열을 필터링하는 함수를 우회하는 방법 중 NULL값을 문자열 사이사이에 입력하면 된다는 것을 보고, 띄어쓰기 대신 %00(NULL의 url인코딩 값)를 입력하였다.

code=<s%00c%00r%00i%00p%00t>a%00l%00e%00r%00t(1);</s%00c%00r%00i%00p%00t>

그랬더니 문제 해결 !

 

 

참고

>>https://4rgos.tistory.com/18