power-girl0-0

해당 글은 CMS에 대한 간단한 개념을 정리하기 위해 작성한 글입니다. CMS ( Web Content Management, 콘텐츠 관리 시스템 ) : 이를 이용하면, 웹 사이트의 다양한 리소스 및 컨텐츠, 데이터를 보다 쉽게 관리할 수 있다. CMS 핵심기능 1. 콘텐츠 편집 2. 콘텐츠 저장 3. 콘텐츠 공유 4. 버전 관리 5. 다른 앱들과의 통합 6. 전자상거래 및 마케팅 기능 7. 대용량 콘텐츠 통합 8. 사용자 관리: 복수의 사용자 계정 생성, 각각 다른 권한 부여 등 장점 1. 누구나 간단하게 웹사이트를 쉽게 제작할 수 있다. html등의 지식이 없어도 만들어진 웹사이트에 콘텐츠를 작성할 수 있는 정도의 웹사이트 구축이 가능하다. 2. 시간 절약 간단한 코드 같은 것은 직접 만들지 않고, 작..

해당 글은 개념을 간단히 정리하고자 작성한 글로, 실습은 다른 글에서 진행하였습니다. 개요 웹 어플리케이션이 database에 접근하는 과정에서, 악의적인 사용자가 악의적인 SQL문을 실행시켜 데이터베이스를 비정상적으로 조작하는 해킹 방법이다. 로그인 요청을 하면, DB는 계정 정보가 있는 테이블에서 해당 계정이 존재하는지 확인해야 한다. 종류 1. Error based SQL Injection ( =논리적 에러를 이용한 SQL Injection ) 논리적 에러를 발생시킬 수 있는 패턴을 이용한 인증 우회 기법이다. SQL Injection에서 가장 많이 쓰이며 대중적인 공격기법이다. 2. union SQL injection union 키워드는 두 개의 쿼리문에 대한 결과를 통합해서, 하나의 테이블로 보..

Data URI Schema 란? Data URI Scheme는 이미지 같은 외부 데이터를 URI 형태로 표현하는 방법이다.이미지, 플래시, 텍스트 등의 데이터를 URI로 표현하는 방식이다. 이는 외부 호출 없이, 데이터를 웹 페이지에 정착(inline) 할 수 있다.cache에 저장하지 못하고, 사이즈가 증가하지만 서버의 응답 횟수를 단축하고 데이터가 저장된 경로를 은닉하며 일부 보안 프로그램의 필터링을 우회하기도 한다. 문법 data: [][;base64],- mediatype : MIME 타입으로, 생략시 기본값 text/plain;charset=US-ASCII- base64 : 데이터가 텍스트가 아닌 경우 base64 인코딩된 데이터가 필요하다.ex) data:,Hello%2C%20World! 간..

Beautify란? 코드 정렬을 예쁘게 정리해준다. 1. Visual Studio Code에서 Extensions로 들어가 Beautify를 설치해준다. 2. Feature Contributions에 들어가면, keyboard shortcuts가 있는 것을 보아 단축키 설정이 가능하다. 3. 단축키 설정 가능한 목록을 출력 경로 : file->preferences->keyboard shortcuts 4. 검색창에 파일 이름을 검색 후, 더블 클릭해서 원하는 단축키를 설정한다. (파일이름은 2번에서 봤던 곳에서 확인이 가능하다.) 이렇게 설정은 완료하였다. 5. 정렬이 엉망진창인 코드에서 설정했던 단축키를 눌러 예쁘게 정렬해준다. 사용 전 사용 후

반사된 xss에 대한 정의에 대한 내용은 아래 포스트에 설명되어 있습니다. 2020/12/27 - [웹해킹/Bee-Box] - 반사된 XSS( Reflected Cross-Site Scripting ) 비박스 환경을 활용한 웹 모의해킹 완벽 실습 책의 내용을 포함하고 있습니다. 스스로 공부하고 정리하기 위한 목적으로 올리는 것입니다. 1-1. JSON JSON은 클라이언트와 서버가 통신할 때 자료를 표현하는 방법으로, 특정 언어에 제한 없이 그대로 사용할 수 있다는 장점이 있고 여러 자료 구조를 JSON으로 표현할 수 있다. 1. 취약한 사이트를 선택한다. 해당 페이지는 JSON으로 객체를 선언하는 자바 스크립트 코드를 사용하여 검색한 영화 정보를 출력한다. 2. 실습 (1) 입력란에 아무 단어를 입력하..

비박스 환경을 활용한 웹 모의해킹 완벽 실습 책의 내용을 포함하고 있습니다. 스스로 공부하고 정리하기 위한 목적으로 올리는 것입니다. 1-1. 반사된 XSS란? 웹 페이지 URL에 존재하는 파라미터에 악의적인 스크립트 코드를 입력하여 사용자가 URL을 클릭하면 입력해둔 악성 스크리트 코드가 실행되는 공격이다. 해당 공격은 스크립트가 포함된 URL을 메일로 전송하거나 게시물로 등록하여 클릭을 유도한다. 2-1. GET 1. 취약한 사이트를 선택한다. 2. 간단한 스크립트를 입력하여 취약한 사이트인지 확인한다. First name 입력란에 스크립트를 입력하고 Last name입력란에는 아무 값이나 입력하였다. 실행 결과, 스크립트가 실행되어 [그림 1-4]와 같이 Succeed 메시지가 경고창으로 출력되는 ..

비박스 환경을 활용한 웹 모의해킹 완벽 실습 책의 내용을 포함하고 있습니다. 스스로 공부하고 정리하기 위한 목적으로 올리는 것입니다. 1-1. XSS란? 웹 사이트에서 입력 데이터가 적절한 값인지 검사하지 않고 웹 브라우저를 실행할 때 발생하는 취약점이다. 이 취약점은 서버에 전달되는 모든 변수 값에서 발생할 수 있으며, 공격자가 세션을 탈취하여 다른 사용자의 권한을 취득하거나 악성코드를 배포하기 위한 목적 또는 피싱하여 사용자의 중요한 정보를 획득하기 위한 목적으로 사용된다. 1-2. 저장된 XSS란? 그림1 출처 : https://cafe.naver.com/kkw7564/20 악의적인 스크립트 코드가 웹에 입력되면서 데이터베이스에 저장된다. 불특정 다수의 사용자가 공격자의 게시물에 접근하면 지속적으로..

GET방식과 달리 POST방식은 URL에 변수가 나타나지 않는다. 따라서, 이번에는 프락시 도구를 사용하여 변수를 확인하고 sql인젝션을 시도할 예정이다. 해당 글에서는 Burp suit 도구를 사용하였다. 1. burp suit를 사용하여 proxy를 켜준다. (burp suit에 대한 설명은 다 아는 것으로 간주하고 본 글에서는 따로 기재하지 않기로 한다.) 2. SQL Injection (POST/Search)를 선택해줍니다. 3. 작은따옴표(')를 입력하여 SQL 인젝션이 가능한지 알아본다. 작은따옴표는 데이터베이스에서 문자 데이터를 구분하는 것으로 입력창에 '를 입력시 다음과 같이 문법 오류가 발생이 일어난다. 입력결과 SQL 오류 메시지를 출력하는 것을 확인할 수 있다. (SQL 인젝션 취약점..