[Root Me] HTTP - Cookies - 웹해킹 / 쿠키변조

 

20점짜리 HTTP - Cookies 문제

 

난이도(레벨)을 보면 중간으로 표시되어있는데

 

사실 이 문제는 굉장히 쉬운 문제이다.

 

반응형

Bob 이라는 사람이 사용자 이메일을 수집하기 위해 PHP 스크립트를 작성했다고 한다.

 

 

문제페이지에 접속하면 이렇게 Email을 입력하는 칸이 있다.

 

 

시험삼아 test@test.com 이라고 입력하고 

 

 

send 버튼을 눌러보니 Email saved 라는 문구가 출력이됐다.

 

 

Saved email adresses 버튼을 눌러보니

 

You need to be admin 이라는 문구가 출력됐다.

 

해당 내용은 admin만 확인이 가능한 것 같다.

 

 

f12를 눌러 개발자 도구를 통해 HTML 내용을 살펴보니

 

중간에 주석으로 처리된 SetCookie("ch7", "visiteur"); 부분이 보였다.

 

지금 쿠키값이 admin이 아니라 visiteur 이기 때문에 원하는 내용에 접근이 불가능한 것이다.

 

쿠키라는것은 클라이언트의 상태 정보를 저장하는 특정한 문자열을 말한다.

 

특히나 네이버나 구글같은 웹사이트에 로그인을 하면

 

로그인한 정보를 저장하기 위해서 쿠키라는 값을 생성하게 된다.

 

 

쿠키값은 쉽게 수정이 가능하다.

 

쿠키값을 수정할 때는 ModHeader 라는 크롬 확장프로그램을 사용했다.

 

https://chrome.google.com/webstore/search/modheader?hl=ko 이곳에서 다운로드 받을 수 있다.

 

 

Modheader에서  Request header의 Cookie를 ch7=admin 으로 입력해준 뒤

 

 

Saved email adresses 버튼을 누르면 비밀번호를 확인할 수 있다.