location.hash를 사용하면 url “https://xss-game.appspot.com/level3/frame#1”에서 #1을 가져오게 된다. 따라서 location.hash.substr(1)은 1을 가져오는 함수이다.

 또한 그렇게 가져온 값이 num에 들어간다. 그 값으로 “<img src=’/static/level3/cloud” + num + “./jpg’/>”; 문장이 완성되게 된다. 문제를 해결하기 위해서는 존재하지 않는 이미지를 띄우고 onerror 처리를 해야한다. 따라서 num의 값으로 src의 ‘를 닫고, onerror 코드를 추가하면 된다.

 따라서 #2.jpg’ onerror=’alert()’/>// 라 입력을 하면 num에 2.jpg’ onerror=’alert()’/>//가 들어가게 된다. html 변수에 <img src=’/static/level3/cloud2.jpg’ onerror=’alert()’/>//./jpg’/>;가 추가된다. 이렇게 입력할 경우 image2가 출력된다. onerror는 이미지가 존재하지 않을 경우 실행되므로 존재하지 않는 이미지(0또는 4부터)를 입력하면 문제가 풀린다.

 힌트를 보면 <script> tag는 작동하지 않으니 JavaScript attribute ‘onerror’를 사용하라고 알려줬다. onerror는 이미지 태그와 함께 쓰이고, 이미지를 불러오는데 에러가 발생하면 실행되는 명령이다.

 ‘<img src=”hello” onerror=”alert()”>’라 글을 작성하면 “hello”라는 이미지를 찾고 이미지를 열 수 없으면 alert() 명령을 실행하게 된다. hello라는 이미지는 존재하지 않으므로 문제가 해결된다.

 아무 글자도 입력하지 않고 search를 누르면 주소창에 ‘https://xss-game.appspot.com/level1/fra

me?query=Enter+query+here…’라고 뜬다.

 query의 뒤에 ‘<script>alert()</script>’를 붙였더니 문제가 풀렸다.

※ 작년 말 ~ 올해 초에 작성한 라이트업으로 사이트 개편 전의 문제가 섞여있습니다.  ※ 

 admin을 입력하야 하는데 admin이 필터링 되어있다. 따라서 reverse 함수를 이용하여 nimda로 아이디를 설정해야 한다.

※ 작년 말 ~ 올해 초에 작성한 라이트업으로 사이트 개편 전의 문제가 섞여있습니다.  ※ 

 ls를 검색하면 파일 리스트를 볼 수 있고, flag를 검색하면 ‘permission denied… admin only!’라고 뜬다.

콘솔창에 다음과 같이 입력하면 admin으로 flag를 검색하고, FLAG를 출력한다.

 또 다른 방법으로는 burp suite를 활용해서 guest를 admin으로 바꿔줘도 FLAG가 출력된다.

※ 작년 말 ~ 올해 초에 작성한 라이트업으로 사이트 개편 전의 문제가 섞여있습니다.  ※ 

 admin의 readme는 ‘access denied’가 뜨고 guest의 hi~는 ‘hello~’가 뜬다. ‘access denied’가 뜨는 readme의 내용을 예측해야 한다.

 제일 먼저 guest에 있는 ‘hello~’를 그대로 입력하면 guest가 뜬다. 또한 readme에 있을 것으로 예측되는 flag를 입력하면 readme가 뜬다.

 또한 와일드카드를 사용할 수 있는데, _는 총 몇 글자인지 알 수 있다. 따라서 6개 이상의 _를 입력할 경우 guest가 사라지는데 이를 늘려가면서 admin이 사라질 때를 확인하면 admin의 글자를 확인할 수 있다. 또한 %는 숫자 상관없이 항상 값을 출력한다. 따라서 코드를 짤 때 %는 고려하지 않도록 하였다.

 코드를 설명하자면 일단 코드에는 flag의 값이 들어있을 것이므로 시작을 f로 두어 flag를 찾고자 하였다. %가 나올 경우는 건너뛰고, 만약 기존의 result에 특정 값을 추가해서 입력했을 때 admin이 출력되면 result를 갱신했다. 따로 글자의 숫자를 계산해보지 않아서 끝나는 설정은 해주지 못했지만 flag는 다행히 정상적으로 출력되었다. 우측은 출력된 결과이고 flag_himiko_toga_is_cute_dont_you_think_so?_라고 출력이 되었다. flag의 형식에 맞게 flag{himiko_toga_is_cute_dont_you_think_so?}라고 입력하니 문제가 풀렸다.

※ 작년 말 ~ 올해 초에 작성한 라이트업으로 사이트 개편 전의 문제가 섞여있습니다.  ※ 

 문제에 들어가면 FLAG가 읽기 힘든 속도로 한 문자 씩 나타난다.

 코드의 ‘=‘를 ‘+=‘로 바꿔서 FLAG가 한 글자 씩 나타나지 않고 모든 FLAG가 출력될 수 있도록 자바 스크립트를 콘솔에 입력하면 FLAG가 출력된다.