[SK shieldus Rookies 19기] bWAPP Bee.Box - Cross-Site Scripting - Reflected (GET)

[SK쉴더스 Rookies 19기] 클라우드 기반 스마트 융합보안 과정

---

01. XSS - Reflected

성과 이름을 입력하면

입력했던 값이 출력에 사용되는 모습

 

각각 스크립트를 넣어보면

 

모두 alert가 뜨는 모습 = 처리가 안됨 = XSS 

 

first <script> alert(document.cookie) </script>

쿠키 값이 뜨게 스크립트 작성

 

쿠키 값 alert

 

해당 url

http://bee.box/bWAPP/xss_get.php?firstname=first+%3Cscript%3E+alert%28document.cookie%29+%3C%2Fscript%3E&lastname=last&form=submit 

을 공격에 사용

 

다른 pc에서 해당 url을 클릭하게 유도(로그인은 된 상태에서..)

하면 해당 사용자의 쿠키 값 뜨는 모습