본문 바로가기
728x90

정보보안/WebHacking

[정보보안][웹해킹] Burp Suite를 이용한 File Upload 공격
정보보안/WebHacking 2023. 7. 30. [정보보안][웹해킹] Burp Suite를 이용한 File Upload 공격 1. Burp Suite란? Local Proxy도구 외부로 전송하기 전에 수정이 필요하다면 여기서 수정한 후 전송 가능 https://portswigger.net/burp Burp Suite - Application Security Testing Software Get Burp Suite. The class-leading vulnerability scanning, penetration testing, and web app security platform. Try for free today. portswigger.net Bufp Suite를 사용하기 전 구글링을 통해 자신의 운영체제에 맞는 Proxy 설정을 해야한다. 2. DVWA에 사진 및 웹 셸 업로드 웹 셸을 업로드하기에 앞서 간단한 사진업로드를 ..
[정보보안][웹해킹] Reflected, Stored XSS(Cross-site Scripting)과 SecureCoding
정보보안/WebHacking 2023. 7. 29. [정보보안][웹해킹] Reflected, Stored XSS(Cross-site Scripting)과 SecureCoding 1. XSS란? 초기에는 관리자의 쿠키를 도용하는 방식의 스크립트를 사용 개인정보를 유출하기 위한 피싱사이트로 접속을 유도하는 스크립트도 많았음 최근에는 랜섬웨어를 다운로드 하도록 유도하는 스크립트를 사용 script를 사용한 클라이언트를 향한 공격 2. XSS Reflected - 사용자가 입력한 값이 화면에 반영(Reflect)되는 취약점을 이용한 공격 ex) 이번에는 DVWA의 Level에 따라 다양한 공격을 설명한다. 1. Low Level 스크립트가 그냥 실행된다. 2. Medium Level 스크립트를 실행하면 화면에 내용이 출력된다. 페이지의 소스를 보자. 성공했다. 이 밖에도 다양한 방법을 정리해봤다.
[정보보안][웹해킹] DVWA를 통한 Blind SQL Injection
정보보안/WebHacking 2023. 7. 29. [정보보안][웹해킹] DVWA를 통한 Blind SQL Injection 1. Blind SQL Injection이란? 쿼리의 결과를 참과 거짓으로만 출력할 때 사용 출력 내용이 참과 거짓밖에 없으므로 데이터베이스의 내용을 추측하여 쿼리를 조작한다. 2. DVWA Exploit DVWA 설치는 이곳 https://walk-cat-dev.tistory.com/119 [정보보안][웹해킹] DVWA를 통한 SQL Injection 1. SQL Injection 방법 1. 주석의 활용 - MySQL, MariaDB : #을 주석으로 사용 - Oracle, MS-SQL : --을 주석으로 사용 2. where 조건절이 참이 되도록 만듦 - --> '참'은 모든 데이터를 의미함 ex) id='admin' and pw=''or 1=1 # walk-cat-dev.tistory.com 1. ..
[정보보안][웹해킹] DVWA를 통한 SQL Injection
정보보안/WebHacking 2023. 7. 25. [정보보안][웹해킹] DVWA를 통한 SQL Injection 1. SQL Injection 방법 1. 주석의 활용 - MySQL, MariaDB : #을 주석으로 사용 - Oracle, MS-SQL : --을 주석으로 사용 2. where 조건절이 참이 되도록 만듦 - --> '참'은 모든 데이터를 의미함 ex) id='admin' and pw=''or 1=1 #' 3. 중첩문을 사용 SELECT ~~~ UNION SELECT ~~~ 앞의 SELECT 문에서 요청한 컬럼의 개수와 뒤의 SELECT문에서 요청하는 컬럼의 개수가 같아야 한다. SELECT ~~~~~~ '; UPDATE ~~~~~ 위와 같이 SELECT 문을 닫고 UPDATE문을 작성할 수도 있다. 2. SQL Injection SQL Injection을 사용하기에 앞서 DVWA 가상환경을 다운로드 받..
[정보보안][웹해킹] 인터넷의 시작과 Web의 기초, HTML
정보보안/WebHacking 2023. 7. 25. [정보보안][웹해킹] 인터넷의 시작과 Web의 기초, HTML 1. 인터넷과 WWW, HTTP 1. 인터넷의 시작 - 1974년에 arpa의 연구원 로버트 칸, 빈트 서프가 개발 - 초기에는 주로 터미널에서 명령어를 입력하는 방식으로 사용 - Gopher, Archie, Telnet등을 이용 2. WWW의 등장과 확대 - 1990년대 초반에 팀 버너스리가 개발 - CERN에서 사진, 텍스트, 하이퍼텍스트, 링크 등이 필요함 - HTML형식으로 사진, 텍스트, 하이퍼텍스트, 링크가 있는 문서를 개발 - HTML을 전송할 수 있는 HTTP라는 프로토콜을 개발 ----> 확대 - 기업들이 회사 소개 및 상품 소개를 위해 많이 사용하게 됨 - 쇼핑몰이 사용되면서 DB, 스크립트, 웹언어, 동영상 등이 계속 추가되기 시작 - 기능이 많아질수록 취약점이 증가하고 개인정보 유출..
728x90

티스토리툴바