728x90 보안28 공격 및 취약점 용어 0. web fuzzing 웹 퍼징 취약점을 탐지학 위해 여러 입력값을 보내는 기법 1. SYN 패킷 - 서버에 연결 요청을 하는 패킷 EX)해당 출발지 IP (Google Cloud 대역)에서 목적지 IP로 syn 패킷 요청에 의한 timeout 패킷 탐지되어 영향도 없음 2.SSRF란? Server Side Request Forgery 서버측 요청 위조(SSRF라고도 함)는 공격자가 서버측 애플리케이션이 의도하지 않은 위치에 요청하도록 유도할 수 있는 웹 보안 취약점입니다. 일반적인 SSRF 공격에서 공격자는 서버가 조직의 인프라 내에서 내부 전용 서비스에 연결하도록 만들 수 있습니다. 다른 경우에는 서버가 임의의 외부 시스템에 연결하도록 강제하여 권한 부여 자격 증명과 같은 민감한 데이터를 유출할 .. 2023. 6. 18. 취약점 모음집(보안장비 탐지내역) 1. 유니코드 해석해보면, 대부분 단순 문자열 오탐인 경우가 많다. *보안장비 직접 확인결과 다수 Generic XSS evasion - unicode characters 이벤트로 확인되며, 유니코드를 이용한 XSS 필터 우회 공격을 탐지하기 위한 이벤트이나, 정상통신 트래픽으로 확인됨 XSS 공격이 아닌 유니코드로 인한 단순 문자열 일치로 확인되어 오탐인 경우 다수 ---------------------------------------------------------------------------------------------------------------------------------------------------------------- 정탐(올바르게 탐지된 것 = 실제 공격) 2. WebS.. 2023. 6. 18. 알아야 할 공격명령 문구 (5월) 1. exec의 의미는 '조건을 가지고 찾은 파일들을 대상으로 다음 명령어를 실행하라' 2./etc/passwd에는 시스템에 등록된 사용자의 정보들이 담겨있는 파일(로컬 사용자 목록) -/etc와 /usr/etc 디렉토리는 시스템의 부팅, 셧다운 시에 필요한 파일들과 시스템의 전반에 걸친 설정 파일들 및 초기 스크립트 파일들이 있다. ex) 목적지 URL seventimg.auction.co.kr 에 대해 디렉토리 순회를 통한 /etc/passwd(로컬 사용자 목록 = 사용자 정보) 접근 시 탐지된 것으로 확인 3.javascript:movepage - 페이지 이동 2023. 6. 18. DB SQL Injection select schema.tables % SQL 인젝션이 통하는지 확인 -> 3) order by 이용 칼럼 수 찾기 -> 4) data 출력 위치 파악 -> 5) 데이터베이스 이름 알기 -> 6) 테이블 이름 알아내기 -> 7) 칼럼 이름 알아내기 -> 8) data추출하기 저는 그중 일반적인 updatexml 을 활용하겠습니다 쓰는 방법은 1' and updatexml(null,concat(0x3a,'test'),null) and '1' = '1 입니다. 어렵게 생각하지 마세요! 그저 가운데 concat만 보시면 돼요! concat은 문자열을 붙이는 거잖아요? 0x3a는 :을 뜻합니다 즉! 이 문은 :test을 확인하는 질의문이라 보시면 돼요! 해보겠습니다. 아스키코드 0x7e - .. 2023. 6. 18. 웹 해킹 강좌 ① - 네이버 서버 시간 웹 파싱 (Web Hacking Tutorial #01) 웹 파싱 - 특정한 정보를 자기가 원하는 형태로 분석하는 것. 네이버 정보 불러오기 F12를 눌러서 봐도 된다. 특정 정보를 불러와서 내가 원하는 형태로 시각화 등 하자. https://www.youtube.com/watch?v=OuPjoiXq9gg&list=PLRx0vPvlEmdDQxb41uc1G4ecjV-hklFDM&ab_channel=%EB%8F%99%EB%B9%88%EB%82%98 2023. 6. 18. HTTP 구조 HTTP는 헤더와 본문(BODY)으로 구성되어 있다. 본문에는 실제로 통신 과정에서 주고받을 컨텐츠가 담겨져 있다. 헤더는 HTTP메시지(요청/응답)와 본문에 대한 정보를 말해주고 있다. (=요약본) HTTP Method 2023. 6. 17. 이전 1 2 3 4 5 다음 728x90
