일 | 월 | 화 | 수 | 목 | 금 | 토 |
---|---|---|---|---|---|---|
1 | 2 | |||||
3 | 4 | 5 | 6 | 7 | 8 | 9 |
10 | 11 | 12 | 13 | 14 | 15 | 16 |
17 | 18 | 19 | 20 | 21 | 22 | 23 |
24 | 25 | 26 | 27 | 28 | 29 | 30 |
- pwnable
- webhacking.kr
- Operating System
- LOB
- OS
- 운영체제
- Buffer Overflow
- Spring MVC
- 워게임
- Pwnable.kr
- Spring
- Payload
- 네트워크
- system hacking
- webhacking
- hacking
- 해킹
- 정보보안기사
- 정보처리기사 실기
- BOF
- SQL
- 웹해킹
- wargame
- Shell code
- stack overflow
- Spring Framework
- System
- Lord of BOF
- PWN
- 정보보안기사 실기
- Today
- Total
목록IT 보안/Web (3)
DongDD's IT
HTTP Response Splitting (HTTP 응답분할) HTTP Response Splitting- HTTP Request에 있는 파라미터가 HTTP Response 헤더로 다시 전달되는 경우 파라미터내에 CR, LF가 있는 경우 HTTP 응답 분할이 일어날 수 있음- CRLF를 통해 응답을 2개 이상으로 분리 ref) CRLF - 보통 HTTP 헤더의 끝 라인에 들어가 각 라인을 구분하는 구분자로 사용- CR : Carriage Return (%0D)-> 커서의 위치를 맨 앞으로 옮김- LF : Line Feed (%0A)-> 새로운 라인을 만듬 HTTP 응답 분할 Injection- CRLF를 이용해 생기는 취약점을 통해 HTTP Response에 악의적인 코드나 스크립트를 삽입해 XSS를 ..
Cross Site Scripting (XSS) Cross Site Scripting- SQL Injection과 마찬가지로 기초적인 웹 어플리케이션의 취약점 중 하나- 악의적인 의도를 가진 해커가 웹 페이지에 악성 스크립트를 삽입할 수 있는 취약점- 사용자의 정보를 얻어내거나, 비정상적인 기능을 수행하게 만들 수 있음 Cross Site Scripting 종류1) Stored XSS- Data 입력 폼을 통해 script를 삽입하는 방법- 이 입력 폼을 통해 script를 삽입하면 다른 사용자가 이 script가 삽입된 페이지를 읽을 경우 script가 수행되게 된다. Example) PHP로 구현된 간단한 게시판에서 TEST PHP로 구현한 게시판에서 다음과 같이 script를 삽입해보았다.아무런 필..
SQL Injection SQL- 데이터베이스의 Data를 관리하기 위한 특수한 목적의 프로그래밍 언어 SQL Injection- 웹 어플리케이션이 Database에 접근하는 과정에 일반적이지 않은 query를 공격자가 악의적으로 임의의 query 구문을 실행하는 기법- Code 인젝션 기법 중 입력 값을 조작하여 데이터베이스에 접근, 공격할 수 있는 기법- 악의적인 SQL을 실행시키면서 데이터베이스를 조작할 수 있는 Code 인젝션 SQL Injection 종류1) 논리적 에러를 이용하는 SQL Injection- 논리적 에러를 발생시킬 수 있는 패턴을 이용한 인증 우회 기법 Example) SELECT * FROM user WHERE user_id='$id' AND user_pw = '$pw' - 위..