보안청의 정보보안 끄적끄적

webhacking.kr 개요 https://webhacking.kr/ PHP를 기반으로 한 기초적인 웹 해킹의 다양한 실습이 가능한 사이트입니다. 해킹 기법을 꿈꾸시고 계신 비전공자부터 해킹을 연마하신 숙련자 분들까지 꾸준히 문제를 푸신다면 기본적인 웹 해킹 기술부터 네트워크 기술 까지 얻으실 수 있으실 껍니다. 그럼 바로 1번부터 분석해 보겠습니다. 1번 문제를 클릭하자 View-soucre 라는 클릭 문구가 뜹니다. 1번 문제답게 대놓고 소스 코드 분석하라는 힌트를 줍니다. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27

POC Site : www.webdbg.com/sandbox/shop Program : burpsuit 목표 정말 쉽게 파라미터 변조를 통해서 결과값을 보고 어떠한 로직으로 결과를 내는지 파악 하는 것이 목표입니다. 실습 해당 홈페이지에서 파라미터 변조 취약점을 실행 해보겠습니다. 해당 checkout을 하면 1개 구입 후 $1095 달러에 구매가 완료 된것을 알 수 있다. 해당 페이지를 새로 고침하여 burpsuit을 통해서 패킷을 잡아 보았더니 lbQuantity를 통해서 갯수에 대한 정보를 넘기는 것을 확인 하였다. 이를 2로 변경해 보았습니다. 해당 변조를 통해서 1개로 요청 했던 값이 2개로 요청되어 총 $2190 달러로 변경 된 것을 알 수 있습니다.

OWASP? OWASP(The Open Web Application Security Project) : 2004년 부터 현재까지 3~4년에 한번씩, 주로 웹에 관한 취약점 중에서 빈도,위협 등을 기준으로 영향력 TOP10을 선정하여 발표 하고 있는 보안 프로젝트입니다. #2013년도와 2017년도 비교 OWASP는 주로 3~4년 주기로 발표가 되고. 오늘자 기준(20.9.3)으로 2017년이 최근 문서입니다. 2017년에 A7, A10이 새롭게 추가되었고, 2013년도의 A4, A7이 합쳐져서 2017년도의 A5가 되었습니다. #OWASP TOP 10 2017년도 RC1 과 RC2 비교 가장 최근에 발표된 2017년 RC1과 RC2입니다 총 3가지의 변경점이 있었는데요 1.XML 외부 개체 2.안전하지 ..

모의 해킹 Pentest (Penetration testing) 기업 서비스 및 시스템에 대한 합법적인 점검 승인 취득하여 해커의 관점으로 침투 테스트를 하는 행위 모의 해커 보안 컨설턴트 기업에 침투 테스트를 수행하고 보안 자문을 해주는 직업 기업 보안 담당자 기업의 기술적, 관리적, 물리적 보안을 담당 버그 헌터 서비스 버그 바운티를 운영하는 기업에 취약점 신고하고 보상을 받는 직업 레드팀 규모가 큰 기업 조직 내부에서 침투 테스트 등 공격적인 보안을 담당 침투 테스트와 취약점 진단의 다른 점? 침투 테스트 목표 : 기업 주요 시스템 침투 특징 : 시나리오를 가지고 기업 중요 자산에 접근할 수 있는지 점검하고 과정시에 발견되는 취약점을 보고하고 문제점 해결 취약점 진단 목표 : 다수의 취약점 발견 특..

# 정의 정보 형태나 형식을 표준화, 처리 속도 향상, 저장 공간 절약 등을 위해서 다른 형태나 형식으로 변환 하는 처리 혹은 그 처리 방식을 말한다. # 종류 1. ASCII 인코딩 - 영문자를 컴퓨터가 해석할 수 있는 숫자로 변환 - 7bit 인코딩으로 33개의 출력 불가능한 제어 문자 및 공백을 비롯한 95개의 출력 가능한 문자로 총 128개로 이루어 짐 2. URL / HTML 인코딩 - URL 인코딩 : ASCII코드에 없는 영어를 제외한 외국어와 ASCII코드에서 표현하지 않는 특수 문자를 표현하기 위해서 사용 - (특징) 앞에 %문자가 포함된다. - HTML 인코딩 : HTML문서안에는 스크립트와 같이 특수 기능을 하는 문자가 포함되어 있음, 이에 악의적인 기능을 하는 특수 기능을 막기 위해..

# 정의 웹 페이지의 입력값인 파라미터 값에 SQL 쿼리를 주입하여 데이터 베이스의 데이터 조작을 가능케 하는 취약점 #특징 웹 해킹도가 매우 높은 취약점으로 OWASP (웹 애플리케이션 10대 취약점)에서도 지금까지 한번도 누락된적이 없다. 또한, 이 취약점은 갈수록 위험도가 높아지고 있으며 2010년 이후로 1순위를 유지 하고 있다. #사례 해당 사이트에서는 196만명의 회원정보인 로그인 아이디, 비밀번호, 생년월일, 닉네임 등 개인정보가 유출되는 사고가 발생했다. 미래부는 민관합동조사단을 꾸려 웹 로그 약 10만건과 개인정보 데이터 베이스 로그 2890만건등을 분석하여 해킹 방법 및 정보 탈취에 악용된 보안 취약점등을 확인하였다. 분석 결과 해커는 홈페이지 구조 및 취약점을 파악하고 ,비정상적인 D..