[Hackthebox] - Manager(Mobile) Writeup(문제풀이)

문제 요약 : 파라미터 변조

 

이번 문제는 솔직히 소스코드 분석조차도 필요 없는 문제였습니다.

우선 Mobile.apk 를 디버깅 툴로 열어보면 주 Activity 는 총 4가지가 있었습니다.

RegisterActivity, LoginActivity, EditActivity, MainActivity 입니다.

동일한 순서로 회원가입, 로그인, 비밀번호 수정, 회원정보 출력 액티비티입니다.

그리고 각 Activity 의 공통적인 특징으로는 서버에 POST 요청을 한다는 것입니다.

아래는 비밀번호 수정 activity 에 대한 update 함수입니다.

특이하게 어떤 세션이나 쿠키도 사용하지 않고 있었고, 파라미터 위변조 또는 사용자 계정 위변조에 대한 검증 절차가  클라이언트 단이나 서버 단이나 모두 전혀 없었습니다.

 

그래서 단순히 비밀번호 변경 시에 password 뿐만 아니라 username을 admin 으로 하고서 변경해보았습니다.

프록시 툴로 모바일 HTTP Request 요청을 중간에 가로채고, username 부분을 test 에서 admin으로 변경하고,

전송해보았습니다.

그랬더니 아래와 같이 성공했다고 나왔습니다.

이제 다시 admin 계정으로 로그인을 해보았습니다.

그랬더니 아래와 같이 관리자의 정보를 출력하는 것을 볼 수 있었습니다.

엄청 간단한 취약점이면서, 실제로 상용화된 사이트에서도 이런 경우가 가끔 있었던 걸로 기억하는만큼

매우 대중적인 취약점에 대한 문제였던 것 같습니다.

 

- 끝 -