JS challenge인것 같다.
스크립트를 끼워넣는건 XSS의 기본이므로 고심해보기로 하자
당연한 말이지만 그대로 넣으면 안된다. no hack이 우리를 반겨준다.
문제는 뭘 의미하는지 뻔하다. 브라우저의 똑똑함을 이용하는 것이다. 브라우저라는 놈은 원체 똑똑하면서 멍청해서, <scrip+t> 이런것도 그냥 script로 인식해서 돌려준다. 따라서 필터링 되있다면 그사이에 쓸데없는 단어를 끼워넣어 패스해볼것이다. 요컨데 이런 모양이다
<s c r i p t > alert(1);</ s c r i p t >
혹시 하는 마음에 <scri+pt> 로 해도 안된다. 뭐가 막혔을까? 전부 개행시켜줘봐도 안된다. 이정도 되면 공백이 필터링 됐다고 봐야한다.
그치만 우리는 urlencode hardware 로 뭔가 뛰어넘어본 사람들이다. 안쓰던걸 막 넣어서 돌려보자
<%00s%00c%00r%00i%00p%00t%00>alert(1);</%00s%00c%00r%00i%00p%00t%00>
대략 이런 느낌으로 만들어준다. alert도 땡기면 막 넣어준다.
뭐가 됐는진 모르겠는데 이미 패스했단다. 허무하다... 디버거툴을 쓰면 이런일이 발생한다....... 하여튼 패스.....