[Root Me] HTTP - Headers - 웹해킹 / 헤더변조

 

15점짜리 HTTP 헤더변조 문제

 

문제 설명을 읽어보면 웹페이지의 관리자 권한으로 접근하라고 한다.

 

반응형

 

우선 문제페이지에 접속해본다.

 

 

접속을 하면 이런 화면이 나온다.

 

Content is not the only part of an HTTP response! 라는 문구가 보이는데

 

콘텐츠가 HTTP 응답의 모든 부분이 아니라는 말이다.

 

문제 제목이 Header 이기 때문에 헤더를 먼저 살펴보도록 하자.

 

 

f12를 눌러 개발자도구에 들어간 후 네트워크 탭을 선택한다.

 

그상태에서 웹페이지를 새로고침 하면 위처럼 요청/응답 패킷을 볼 수 있는데

 

응답 패킷의 헤더를 살펴보니 

 

Header-RootMe-Admin 라는 이름의 헤더가 보이고, 

 

그 값이 none 인걸 확인할 수 있다.

 

해당 헤더를 변조시켜 보자.

 

https://chrome.google.com/webstore/search/modheader?hl=ko

 

Chrome 확장프로그램 설치페이지로 가서 modheader 라고 검색하면 설치할 수 있다.

 

 

설치가 완료되면 이렇게 주소창 옆에 아이콘이 생긴다.

 

 

해당 아이콘을 클릭한 후, Request headers 에서

 

Header-RootMe-Admin / true 를 입력해준다.

 

 

그리고 나서 문제페이지를 새로고침 해주면

 

비밀번호를 획득할 수 있다.