<Root-me> HTTP - Verb tampering

HTTP - Verb tampering

문제 페이지에 접속하면 alert로 로그인창이 뜬다.

 

취소를 누르면

인증이 필요하다고 한다.

하지만 로그인할 사용자이름과 비밀번호에 대한 단서가 보이지 않는다.

 

문제 이름인 HTTP Verb tampering은 HTTP Verb(HTTP Method) 인증 및 접근 제어 메커니즘의 취약점을 악용하는 공격이다. 만약 관리자가 GET 또는 POST Method를 차단되도록 설정한다면, 사용자는 GET 또는 POST Method로 요청할 시

차단되지만 다른 Method 요청은 차단되지 않는다.

Burp Suite를 이용해 요청 헤더에서 HTTP Method를 POST로 바꿔도 인증이 되지 않는다.

 

HTTP Method에는 GET, POST외에도 HEAD, PUT, DELETE, OPTIONS, TRACE, CONNECT, PATCH가 있다.

이 중에서 CONNECT, HEAD, OPTIONS, PUT, DELETE, PATCH Method를 사용하면 비밀번호를 획득할 수 있다.