XSS Challenge_Level4

search와 country 입력란이 있다.

입력 값은 반사되어 출력 된다.

하지만 HTML 인코딩이 적용되어 공격되지 않는다. 나라 이름도 마찬가지다.

패킷을 뜯어보니 POST 인자가 하나 더 있다.

hidden 으로 있던 p3 값이다. hackme 문자열 대신 스크립트를 넣어보았다.

" type="text" onfocus=alert(document.domain) autofocus="autofocus" dummy=" 를 이용해 보려 했지만, type 속성이 필터링 되었다.

그냥 <script> 태그를 넣는 방식으로 진행했다.

Digital garden