태군 코드 : Security, travel & communication

이 도구를 이용하여 허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다. A8 - CSRF (Transfer Amount) csrf_2.php 페이지는 이체금액을 조작할 수 있는 CSRF 취약점을 제공하고 있습니다. Transfer 버튼을 누르면 URL에 변수가 노출되는 것을 확인할 수 있습니다. 개발자 도구 및 마우스 우 클릭을 눌러 페이지 소스 보기를 눌러 살펴 보아도 변수가 그대로 노출이 되어 있고, account 변수와 amount 변수를 확인할 수 있으며, account 변수는 계좌번호 amount 변수는 이체할 금액이라는 것을 알 수 있습니다. Transfer Amount 해당..

이 도구를 이용하여 허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다. A8 - CSRF (Change Secret) csrf_3.php 페이지는 현재 사용자의 비밀번호 힌트를 변경하는 페이지입니다. 크롬 개발자 도구로 웹 페이지의 소스 코드를 확인해 보면 hidden 타입으로 login 변수가 확인되고 해당 변수 안에는 현재 사용자의 아이디 값이 입력되어 있는 것을 확인할 수 있습니다. 버프 스위트를 통하여 확인해 보면 세 개의 변수를 사용하여 연결 요청을 하는 것을 알 수 있습니다. secret 변수는 새로운 비밀번호 힌트를 입력받고, login 변수는 사용자의 아이디, action..

이 도구를 이용하여 허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다. A8 - CSRF (Change Password) 난이도 하 csrf_1.php 페이지를 살펴보면 접속한 사용자의 패스워드를 변경할 수 있는 기능을 제공하고 있습니다. 여기서는 패스워드 변경 시 아무런 검증을 하지 않고 변경할 패스워드에 관해서만 검증을 하고 있다는 것을 알 수 있습니다. New password 입력란에 값을 입력하고 [Change] 버튼을 누르면 URL에 변수가 노출하는것을 확인할 수 있으며, 그 변수는 password, password_conf라는 것을 알 수 있습니다. 그럼 URL을 복사한 뒤 ..

이 도구를 이용하여 허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다. A8 - Cross-Site Request Forgery (CSRF) 크로스 사이트 요청 변조 (Cross-Site Request Forgery, CSRF)는 공격자에 의해 사용자가 의도하지 않은 악의적인 행위를 서버에 요청하는 취약점 공격입니다. 사회 공학의 약간의 도움(예: 이메일 또는 채팅을 통한 링크 전송)으로 공격자는 웹 응용 프로그램 사용자를 속여 공격자가 선택한 작업을 실행하도록 할 수 있습니다. 피해자가 일반 사용자인 경우 성공적인 CSRF 공격은 사용자가 자금 이체, 이메일 주소 변경 등과 같은 상태..

이 도구를 이용하여 허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위 입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다. XSS(Cross-site Scripting)는 웹 상에서 가장 기초적인 취약점 공격 방법 입니다. 크로스 사이트 스크립팅(XSS)은 애플리케이션에서 브라우저로 전송하는 페이지에서 사용자가 입력하는 데이터를 검증하기 않거나, 출력 시 위험 데이터를 무효화 시키지 않을 때 발생하게 됩니다. 공격자는 의도적으로 브라우저에서 실행될 수 있는 악성 스크립트를 웹 서버에 입력 또는 출력 될수 있게 공격을 할수 있습니다. XSS 취약점을 이용한 공격 방법은 크게 3가지로 분류됩니다. 1. XSS(Stored) - 저장 XSS..

이 도구를 이용하여 허용받지 않은 서비스 대상으로 해킹을 시도하는 행위는 범죄 행위 입니다. 해킹을 시도할 때에 발생하는 법적인 책임은 그것을 행한 사용자에게 있다는 것을 명심하시기 바랍니다. DVWA 취약점 진단 항목인 CSRF 공격에 대하여 알아보도록 하겠습니다. CSRF(Cross Site Request Forgery)는 "크로스 사이트 요청 변조 공격"을 말합니다. 이 공격은 공격자가 GET, POST와 같은 HTTP 메소드로 사용자 모르게 공격자의 의도된 행위를 수행하게 하여 피해를 주는 공격 입니다. 게시판이나 공지사항등에 스크립트가 삽입되는 XSS 취약점에 의하여 스크립트 발생과 함께 요청을 하거나 공격자가 올려놓은 악성 링크를 요청할수 있습니다. 해당화면은 CSRF 취약점 진단의 메인화면이..