rinnw 님의 블로그

http://127.0.0.1:8080/WebGoat/ 사이트 자체가 며칠동안 잘 들어가지지 않아 많이 헤멨습니다 😥 2장1 - General 프록시: 클라이언트 PC와 통신하고자 하는 서버의 중간에서 서로 간의 요청과 응답을 중개해 주는것 프록시 서버: 프록시 기능을 수행하는 서버 HTTP 프록시 : HTTP프로토콜을 중개하는 프록시 Burp Suite : 대표적인 웹 애플리케이션 보안 테스트 도구. 스캐닝을 포함해 다양한 유형의 보안 테스트 수행이 가능. [ HTTP Proxies 모의 해킹 실습 ]p.71-73 : x [ Developer Tools ]p.75-77 : Network에서 파일을 찾고, response로 이동 후 발견.p. 77-78 : x (시도 사진) CIA Tri..

OWASP Top 10 OWASP(Open Web Application Security Project): 웹 애플리케이션의 취약점을 연구하는 비영리 재단3~4년마다 해커가 악용할 수 있는 고위험 취약점의 공격 가능성과 영향도 등을 기준으로 순위 정해 상위 10개를 발표웹 애플리케이션을 개발하는 서비스 제공자에게는 보안성 확보를 위한 척도를 제공, 취약점을 연구하는 보안 업계에는 공격 트렌드를 확인하는 정보를 제공 OWASP Top 10 (2017)OWASP Top 10 (2021)2017-Injection2021- Broken Access Control2017-Broken Authentication2021-Cryptographic Failures2017-Sensitive Data Exposure2021..

Web Hacking  -  File Vulnerability ServerSide: File Vulnerability 파일 업로드 취약점 (File Upload Vulnerability): 파일 업로드 기능이 존재하는 웹 상에서 업로드 파일에 대한 적절한 검증을 수행하지 않아 서버에서 실행될 수 있는 스크립트 파일 (asp, jsp, php 등)이 업로드되어 실행될 수 있는 취약점.이용자가 파일의 이름을 임의로 정할 수 있을 때 발생.CGI로 실행되는 파일을 업로드에 시스템에 임의 명령어 실행, HTML로 해석되는 파일 업로드해 XSS공격 수행.Path Traversal: 업로드에 있는 제약 우회해, 임의 디렉터리에 파일을 업로드할 수 있는 취약점.악성 파일 업로드Path Traversal 취약점이 존재..

Web Hacking  -  Cross-site Request Forgery (CSRF) ClientSide: CSRFCSRF (Cross Site Request Forgery): 사이트 간 요청 위조. 이용자가 자신의 의지와는 무관하게 공격자가 의도한 행위를 특정 웹사이트에 요청하게 만드는 공격. HTML img 태그 공격 코드 예시: Javascript 공격 코드 예시: window.open('http://bank.dreamhack.io/sendmoney?to=Dreamhack&amount=1337'); /* 새 창 띄우기 */location.href = 'http://bank.dreamhack.io/sendmoney?to=Dreamhack&amount=1337'; /* 현재 창 주소 옮기기 */..

Web Hacking  -  웹 기초 지식Background - Web 통신: 정보를 전하는 것 웹: HTTP를 이용하여 정보를 공유하는 서비스 (정보공간) 웹 서버: 정보를 제공하는 주체 웹 클라이언트: 정보를 받는 이용자 (정보 요구 주체) HTTP: 통신을 위해 정해둔 규칙 프론트엔드: 이용자의 요청을 받는 부분 백엔드: 요청을 처리하는 부분 웹 리소스: 웹에 갖춰진 정보 자산. 프론트엔드는 이용자에게 직접 보여지는 부분으로, 웹 리소스라는 것으로 구성됨, 보이고 있는 정보 모두 여기에 명시되어 있음 대표적 웹 리소스: HTML(뼈와 살) CSS(생김새) JS(동작) 등   과정 간략화(클라이언트) 이용자가 브라우저를 이용하여 웹 서버에 접속합니다.(클라이언트) 브라우저는 이용자의 요청을..