easyxss

“/“ 경로에 있는 분기문이 존재하므로 “/“ 경로에서는 hostname에 web-noob.kr이 들어가야하고, bot.js의 URL.href에는 “/flag”경로가 들어가야 flag를 딸 수 있을 것 같은데, 어떤 방식을 써야 경로에 따라 hostname을 각각 다르게 값을 넣을 수 있을까요?

조건문 부분은 통과했는데, render될 때 html entity 코딩되어 들어가니 let url = '' 부분에서 빠져 나올 수가 없네요. 도와주시면 감사하겠습니다

파싱되는 key의 value들에 대해 쿼터 삽입이나 여러가지 방법을 시도해보고 있습니다. 여기서 막혀서 그런데 힌트나 도움을 받을 수 있을까영 ㅜㅜ

아직 초보라 모르는 점이 많습니다. 이 점 유의해주시고 질문에 답을 해주시면 감사하겠습니다.ㅠ 1./report에서 입력하면 /bot에 있는 await page.goto(http://127.0.0.1:80/?blog=${URL.href}); 이 줄의 ${URL.href}에 들어가는게 맞나요..? 1번 질문이 맞다면 /report에서 /flag 쪽으로 xss를 하여도 출력 값을 확인할 방법이 따로 없나요??(나름 최대한 다양한 방법을 시도해 봤지만 확인이 안되어서 이게 맞나 싶네요.. ) 고수분들, 이 초보를 위하여 약간의 코멘트 해주시면 감사하겠습니다.

blog 페이지 원래 안들어가지는게 정상인건가요???

주어진 도커파일로 환경 세팅하는 중인데, 빌드 과정에서 아래와 같은 이슈가 발생합니다. E: Unable to locate package conf-service E: Unable to locate package libappindicator1 The command '/bin/sh -c apt-get install -y conf-service libasound2 libatk1.0-0 libc6 libcairo2 libcups2 libdbus-1-3 libexpat1 libfontconfig1 libgcc1 libgconf-2-4 libgdk-pixbuf2.0-0 libglib2.0-0 libgtk-3-0 libnspr4 libpango-1.0-0 libpangocairo-1.0-0 libstdc++6 libx11-6 libx11-xcb1 libxcb1 libxcomposite1 libxcursor1 libxdamage1 libxext6 libxfixes3 libxi6 libxrandr2 libxrender1 libxss1 libxtst6 ca-certificates fonts-liberation libappindicator1 libnss3 lsb-release xdg-utils wget libgbm1' returned a non-zero code: 100 구글링을 통해 해결해보려 했는데 끝가지 안돼서 여기에 올립니다. 고수님들 어떻게 해결할 수 있을까요?

(hostname === 'web-noob.kr' && user['username'] === 'hello') 첫 번째 조건은 user['username']이 'hello'와 같은지 비교하는데 (hostname === 'web-noob.kr' && username === 'world') 두 번째 조건은 username이 'world'와 같은지 비교하네요 이건 이유가 있나요? 아니면 풀이와 상관없는 단순 실수인가요?

ReferenceError: username is not defined at /app/api/index.js:12:104 at Layer.handle [as handle_request] (/app/node_modules/express/lib/router/layer.js:95:5) at next (/app/node_modules/express/lib/router/route.js:137:13) at Route.dispatch (/app/node_modules/express/lib/router/route.js:112:3)

XSS포인트를 찾았고 어드민 봇에게 url을 주면 정상적으로 webhook에 리다이렉팅이 되는것을 확인했습니다. 그런데 httponly옵션 이슈인지 세션은 출력이 안되고 우회하려고 검색했는데 방법이 딱히 보이지 않았습니다. 여기서 제가 놓친부분이 있나요? 답변해주시면 감사하겠습니다!!