태군 코드 : Security, travel & communication

이 도구를 이용하여 허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위 입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다. Formula Injection 취약점은 CSV 주입 공격이라고도 하며 저장된 데이터를 CSV 파일로 내보낼때 생성 된 CSV 파일안에 명령어를 삽입할수 있는 공격을 말합니다. https://www.owasp.org/index.php/CSV_Injection https://payatu.com/csv-injection-basic-to-exploit/ CVE-2014-3524https://www.openoffice.org/security/cves/CVE-2014-3524.html 사이트를 참고 하시기 바랍니다. For..

이 도구를 이용하여 허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위 입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다. XVWA 항목중 하나인 XPATH Injection에 대해서 알아 보도록 하겠습니다. XPATH Injection은 SQL Injection 과 마찬가지로 웹 사이트가 사용자 제공 정보를 사용하여 XML 데이터에 대한 Xpath 쿼리를 구성 할 때 발생 합니다. 의도적으로 조작 된 정보를 웹 사이트에 전송함으로써 공격자는 XML 데이터의 구조를 알 수 있으며 일반적으로 접근할수 없는 데이터에 접근을 할수 있습니다. 자세한 내용은 해당 사이트를 참고 부탁 드립니다. https://www.owasp.org/index...

이 도구를 이용하여 허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위 입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다. Command Execution은 '원격 명령 실행 취약점'을 말합니다. 이 공격을 사용하면 공격자는 자신이 실행하고자 하는 명령어를 서버에 원격으로 실행하여 악의적인 행위들을 할 수 있습니다. XVWA 웹 취약점 진단 항목의 하나인 OS Command Injection 화면 입니다. 소스코드를 보시면 해당경로의 home.php 파일을 참조하는걸 알수 있습니다. home.php 파일의 소스코드를 보시면 입력받은 값을 target 변수에 저장하고 shell_exec 함수를 이용하여 명령어를 실행하고 있습니다. 해당 ..

이 도구를 이용하여 허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위 입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다. Blind SQL Injection은 SQL Injection 과 같이 원하는 데이터를 가져올 쿼리를 삽입하는 공격 방법 입니다. 여기서 SQL Injection 과 다른점은 SQL Injection은 쿼리를 삽입하여 원하는 데이터를 한번에 얻어낼 수 있는 반면에 Blind SQL Injection은 참과 거짓, 쿼리가 참일때와 거짓일 때의 서버의 반응 만으로 데이터를 얻어내는 방식 입니다. XVWA 취약점 진단 페이지의 Blind SQL Injection 화면 입니다. 여기서는 버프스위트와, SQLMAP을 사용하..

이 도구를 이용하여 허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위 입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다. 저번 포스팅에서 XVWA 웹 애플리케이션 환경을 모두 구축 하였으니, 이번 부터는 XVWA 진단 항목에 대해서 살펴 보도록 하겠습니다. 제 블로그에서 DVWA 취약점 진단 실습을 하신 분들은 한번더 복습을 한다고 생각하시면 되실것 같습니다. 그럼 먼저 오토셋 매니저를 실행하신후 웹서버와 MySQL을 실행시켜 줍니다. 저는 미리 실행을 해놓은 상태 입니다. 모두 실행을 시키셨다면 웹브라이저에서 http://자신의 IP/xvwa 접속을 하여 줍니다. 정상접속을 하시면 다음과 같은 화면이 보입니다. XVWA 환경의 기본..

취약한 웹 애플리케이션의 하나인 XVWA(Xtreme Vulnerable Web Application) 테스트 환경을 구축해보도록 하겠습니다. ■ XVWA 소스코드 다운 해당 사이트를 접속하신후 ZIP 파일을 내려 받아 줍니다. ■ 오토셋 설정 - 오토셋 설정방법은 앞전에 설명드린 내용을 참고 바랍니다. 다운 받은 파일은 xvwa로 이름을 변경한 후 다음과 같이 경로 설정을 해줍니다. AutoSet9 - xvwa - xvwa 다음과 같은 경로에 파일을 넣어 주신후에 xvwa 폴더를 하나 더 만드신후 config.php 파일을 넣어 줍니다. config.php 파일을 다음과 같이 수정을 하여 줍니다. login.php 파일에서 include_once 부분을 수정하여 줍니다. 다 수정이 되었다면 오토셋 프로..