웹 애플리케이션 개발/운영 환경에서 공격자가 실행 가능한 언어로 작성된 공격 프로그램을 업로드한 후 원격 해당 파일에 접근하여 실행시키는 취약점이다. 1. 파일 업로드 해킹 방법1) 공격자가 실행 가능한 언어로 작성된 공격 프로그램을 업로드업로드 기능 이용개발/운영 환경 : JAVA / .NET / PHPJAVA 환경에서 실행 가능한 언어로 작성된 파일 : .jsp 등.NET 환경에서 실행 가능한 언어로 작성된 파일 : .asp 등PHP 환경에서 실행 가능한 언어로 작성된 파일 : .php 등.asp 환경임을 확인 2) 업로드한 악성 파일을 실행업로드 한 파일은 서버측 업로드 전용 폴더를 만들어 놓았을 때 보통 해당 폴더에 저장됨공격자는 업로드 파일 위치한 경로명(폴더 이름)을 알아내고, URL 직접 접..

XSS 취약점은 외부의 공격자가 클라이언트 스크립트를 악용하여 웹 사이트에 접속하려는 일반 사용자로 하여금 공격자가 의도한 명령이나 작업을 수행하도록 하는 공격이다. 공격자는 이 공격을 이용해서 악성 서버 유도, 사용자 쿠키 정보 추출을 통한 세션 가로채기 공격 등을 수행할 수 있다. SQL 구문이 아닌 스크립트를 악용하는 기법으로, 로그인 한 피해자의 쿠키 값을 탈취하거나 악성 서버로 유도 되어서 악성코드를 감염시킬 수 있다. 웹 페이지의 경우 개발 편의성이나 시간 단축 측면에서 효율적인 동적인 메커니즘으로 제작되는 경우가 많은데 변수를  활용하는 이런 동적인 페이지의 유연성은 XSS 취약점을 유발하는 원인이 되기도 한다.1. 취약성 및 위험성메시지를 매개변수로 받는 동적인 페이지 -> 개발 편의성 및..

이러한 실습은 항상 단순 실습용으로, 공부용으로만 진행하기! 실제 운영 중인 사이트에 시도조차 하지 말기!!! 철컹철컹 웹 서버와 DB 서버가 연동되는 웹 서비스 중 사용자의 입력을 받는 화면(로그인, 검색 입력 창 등)이 존재하고 입력 받는 문자열에 별도의 처리 없이 데이터베이스 조회를 위한 SQL 구문이 사용될 경우 정상적인 SQL 구문 인자 값의 변조를 통해 데이터베이스 접근 및 임의의 SQL Query문을 실행할 수 있다. ※ 이전 게시물에 이어 진행(여기서부턴 다시 진행하면서 캡처한 내용이 아닌, 캡쳐본을 따온 사진들이기 때문에 말끔하지 못함..)https://haksuperman.tistory.com/44 [Web Security] SQL Injection(1)_Burp Suite, 프록시 설..

웹 서버와 DB 서버가 연동되는 웹 서비스 중 사용자의 입력을 받는 화면이(로그인, 검색 입력 창 등) 존재하고 입력 받는 문자열에 별도의 처리 없이 데이터베이스 조회를 위한 SQL 구문이 사용될 경우 정상적인 SQL 구문 인자 값의 변조를 통해 데이터베이스 접근 및 임의의 SQL Query문을 실행할 수 있다. * Burp Suite와 Chrome 진행 예정1. Burp Suite  설치 및 기본 설정https://portswigger.net/burp/releases/professional-community-2024-4-4?requestededition=community&requestedplatform= Professional / Community 2024.4.4This release introduce..

1. 쇼단(Shodan)구글이 컨텐츠를 검색하는 웹 서비스라면, 쇼단(Shodan)은 인터넷에 연결된 장치를 검색하는 웹 서비스이다. https://www.shodan.io ShodanSearch engine of Internet-connected devices. Create a free account to get started.www.shodan.io로그인을 진행해야 완전한 Searching을 할 수 있다. 인터넷에 노출되어 있는 정보들을 가공해서 보기 편하게 모아 놓은 것(실제 해킹의 작업은 x) IP와 서버 종류들도 확인 가능(더 취약한 웹 서버의 경우 버전 정보까지도 나올 수 있음 -> 버전 별로 노출된 취약점 확인 가능) IP 혹은 IP 대역대로 검색할 때는 net: 을 붙여서 검색 2. Cen..

웹 해킹은 웹 서비스를 대상으로 발생하는 해킹을 말한다. 주로 웹 사이트 취약점을 이용하여 권한이 없는 시스템에 접근하거나 데이터 유출 또는 파괴와 같은 행위를 말한다. 1. 웹 해킹(Web Hacking)웹 서비스를 대상으로 하는 해킹웹 사이트 취약점을 이용하여 권한이 없는 시스템에 접근하거나 데이터 유출 및 파괴하는 행위 2. 종류웹 엔진을 이용한 해킹(Apache, IIS 취약점 등)웹 서버 및 미들웨어를 이용한 해킹(OS, JEUS, WebLogic, WebShere 취약점 등)주로 웹 애플리케이션을 이용한 해킹(SQL Injection, XSS, 파일 업로드/다운로드 취약점) 3. 웹 취약점의 위험성웹에서 이용되는 구간 전 범위에서 1차 피해 발생 가능웹 서비스 공격에서 2차 공격으로 인한 추가..