CTF ওয়াকথ্রু: স্যান্ডবক্সড XSS

১ · চ্যালেঞ্জ পরিস্থিতি — টয় গেস্টবুক

কল্পনা করুন একটি অনুমোদিত CTF প্ল্যাটফর্মে একটি ছোট্ট চ্যালেঞ্জ আছে: একটি সাধারণ গেস্টবুকGuestbookএকটি ওয়েব পেজ যেখানে ভিজিটররা মন্তব্য জমা দিতে পারে এবং সেগুলো পরে অন্য ভিজিটরদের কাছে প্রদর্শিত হয় — Stored XSS শেখানোর জন্য একটি ক্লাসিক টয় উদাহরণ। অ্যাপ, যেখানে ভিজিটররা একটি মন্তব্য জমা দিতে পারে এবং সেটি সাথে সাথে "রেন্ডার" হয়ে দেখানো হয়। চ্যালেঞ্জের ফ্ল্যাগ পাওয়ার শর্ত: এমন একটি ইনপুট জমা দিন যাতে আপনার <script> ট্যাগ HTML-এস্কেপ না হয়ে হুবহু আউটপুটে থেকে যায় — এটিই প্রমাণ করে যে অ্যাপটি Stored XSS-এর জন্য দুর্বল (L26-এর মূল সংজ্ঞা অনুযায়ী)।

২ · একজন CTF সলভারের চিন্তাপ্রক্রিয়া

একটি বাস্তব CTF চ্যালেঞ্জে হাতে বসে একজন সলভার সাধারণত এই ধাপগুলো অনুসরণ করেন —

1. ধাপ ১ · বেসলাইন পরীক্ষা — প্রথমে একটি নিরীহ ইনপুট (যেমন সাধারণ টেক্সট) জমা দিয়ে দেখুন অ্যাপটি স্বাভাবিকভাবে কাজ করছে কি না।
2. ধাপ ২ · প্রোবিং — একটি ছোট্ট বিশেষ ক্যারেক্টার (যেমন < বা ") দিয়ে দেখুন সেটি এস্কেপ হয়ে < হয়ে যাচ্ছে, নাকি হুবহু থেকে যাচ্ছে।
3. ধাপ ৩ · ক্লাসিক পেলোড — যদি এস্কেপিং না দেখেন, তাহলে ক্লাসিক টেস্ট পেলোড <script>alert('XSS')</script> জমা দিন।
4. ধাপ ৪ · যাচাই — রেন্ডার হওয়া আউটপুট পরীক্ষা করে দেখুন পেলোডটি হুবহু (unescaped) আছে কি না — বাস্তব CTF-এ এখানেই একটি হেডলেস ব্রাউজার-চেকার alert() ফায়ার হলো কি না তা স্বয়ংক্রিয়ভাবে যাচাই করে "solved" মার্ক করে।

৩ · কোড দিয়ে সমাধান — ইনসিকিউর বনাম সিকিউর রেন্ডারার

নিচে L26-এর ঠিক একই render_comment() প্যাটার্নের দুটি ভার্সন আছে — একটি ইনসিকিউর (raw স্ট্রিং ফেরত দেয়), একটি সিকিউর (html.escape() ব্যবহার করে)। সাথে আছে একটি ctf_check_solved() ফাংশন যা রেন্ডার হওয়া আউটপুটে raw <script> ট্যাগ আছে কি না তা যাচাই করে — এটিই এই সিমুলেশনে আমাদের "স্বয়ংক্রিয় CTF checker"।

import html

# টয় "গেস্টবুক" — CTF চ্যালেঞ্জের ব্যাকএন্ড, ইন-মেমরি লিস্ট (L26-এর প্যাটার্ন)
guestbook = []

def render_comment_insecure(comment):
    """ইনসিকিউর ভার্সন — raw string ফেরত দেয়, কোনো এস্কেপিং নেই।"""
    guestbook.append(comment)
    return f"<div class='comment'>{comment}</div>"

def render_comment_secure(comment):
    """সিকিউর ভার্সন — html.escape() দিয়ে আউটপুট এনকোড করা।"""
    return f"<div class='comment'>{html.escape(comment)}</div>"

def ctf_check_solved(rendered_output):
    """CTF checker সিমুলেশন — বাস্তব CTF-এ এটি হেডলেস ব্রাউজারে alert() ফায়ার
    হলো কি না চেক করে; এখানে real ব্রাউজার নেই বলে raw <script> ট্যাগ
    unescaped অবস্থায় আউটপুটে আছে কি না তা যাচাই করছি।"""
    return "<script>" in rendered_output

payload = "<script>alert('XSS')</script>"

print("ধাপ ১ · পেলোড জমা দেওয়া হলো:", payload)
print()

insecure_output = render_comment_insecure(payload)
print("ইনসিকিউর গেস্টবুকে রেন্ডার হলো:", insecure_output)
print("CTF checker ফলাফল:", "SOLVED" if ctf_check_solved(insecure_output) else "NOT SOLVED")
print()

secure_output = render_comment_secure(payload)
print("সিকিউর গেস্টবুকে রেন্ডার হলো:  ", secure_output)
print("CTF checker ফলাফল:", "SOLVED" if ctf_check_solved(secure_output) else "NOT SOLVED")

৪ · কেন এটি শুধুই একটি সিমুলেশন

বাস্তব CTF প্ল্যাটফর্মে একটি স্বয়ংক্রিয় হেডলেস ব্রাউজার (যেমন Puppeteer বা Selenium) সত্যিই আপনার জমা দেওয়া পেলোড রেন্ডার করে এবং alert() বা document.cookie-এর মতো কোনো সাইড-ইফেক্ট সত্যিই ঘটেছে কি না তা মনিটর করে ফ্ল্যাগ ইস্যু করে। এই পাঠে কোনো real ব্রাউজার নেই বলে আমরা সেই পুরো প্রক্রিয়াকে একটি সরল স্ট্রিং-চেক দিয়ে সরলীকৃত করেছি — যুক্তিটা (unescaped payload = vulnerable) হুবহু একই থাকে।