[Net-force] [Javascript] 4. Is this safe...?!?

저번 문제처럼 이번에도 input 2개를 원한다.

 

 

 

javascript 쪽을 보면, username을 디렉터리명, password를 html 파일명으로 하여, 존재하는 파일이면 그 곳으로 이동시킨다.

 

15번째 줄에 깨알같은 주석이 있는데, 저걸 입력값으로 하거나 추측해보라는 것 같다.

 

하지만 해보면 index 페이지로 가면서 안된다. 혹시나 directory listing 취약점이 있는지 확인해보았다.

 

 

 

역시 있었다. 이 파일을 읽어보면...

 

 

 

아래처럼 인증키를 획득할 수 있다.