power-girl0-0

주소 : https://webhacking.kr/old.php Webhacking.kr webhacking.kr [ 풀이 ] admin페이지가 출력되지만, auth버튼을 눌렀을 시, 아래와 같이 권한이 없다고 출력된다. view-source를 클릭하여, 소스코드를 확인해보자. 위 코드를 보고, 아래와 같은 조건문을 발견할 수 있다. val라는 변수값을 GET방식으로 받아와서, go라는 변수에 저장한다. 2 - + from _ = \s(공백) * / 등을 필터링하고 있다. rand변수에 랜덤값을 받아와서, 쿼리문을 랜덤으로 실행하고 있다. elseif를 조건문에 적힌 것과 같이, data[0]이 2이면 Hello admin이 출력되면서 문제가 클리어된다. 즉, data[0]에 2값을 넣으면 된다. 따라서 ..

비박스 환경을 활용한 웹 모의해킹 완벽 실습 책의 내용을 포함하고 있습니다. 스스로 공부하고 정리하기 위한 목적으로 올리는 것입니다. 1-1. 반사된 XSS란? 웹 페이지 URL에 존재하는 파라미터에 악의적인 스크립트 코드를 입력하여 사용자가 URL을 클릭하면 입력해둔 악성 스크리트 코드가 실행되는 공격이다. 해당 공격은 스크립트가 포함된 URL을 메일로 전송하거나 게시물로 등록하여 클릭을 유도한다. 2-1. GET 1. 취약한 사이트를 선택한다. 2. 간단한 스크립트를 입력하여 취약한 사이트인지 확인한다. First name 입력란에 스크립트를 입력하고 Last name입력란에는 아무 값이나 입력하였다. 실행 결과, 스크립트가 실행되어 [그림 1-4]와 같이 Succeed 메시지가 경고창으로 출력되는 ..