[bee-box 웹 모의해킹] 계좌 이체 - Transfer Amount

'csrf_2.php' 페이지의 개발자 도구에서 소스 코드를 확ㅇ니해 보면 소스 코드에 'account' 변수와 'amount' 변수가 노출되어 있다. => account 변수는 계좌번호, amount 변수는 이체할 금액

 

 

 

'xss_stored_1.php' 페이지로 이동하여 amount 변수의 값에 마이너스 값을 입력하여 계좌의 돈을 증가하게 하는 height, width가 0인 이미지 태그를 입력한다.

 

 

조작한 이미지 태그가 있는 블로그에 사용자들이 접근할 때마다 다음과 같이 계좌의 돈이 증가한다.

 

이 외에도 account 변수를 조작하여 원하는 계좌로 돈을 입금할 수 있다. amount 변수에 입력한 만큼 계좌에 있는 금액이 account 변수에 입력한 계좌로 이체된다.