power-girl0-0

GET방식과 달리 POST방식은 URL에 변수가 나타나지 않는다. 따라서, 이번에는 프락시 도구를 사용하여 변수를 확인하고 sql인젝션을 시도할 예정이다. 해당 글에서는 Burp suit 도구를 사용하였다. 1. burp suit를 사용하여 proxy를 켜준다. (burp suit에 대한 설명은 다 아는 것으로 간주하고 본 글에서는 따로 기재하지 않기로 한다.) 2. SQL Injection (POST/Search)를 선택해줍니다. 3. 작은따옴표(')를 입력하여 SQL 인젝션이 가능한지 알아본다. 작은따옴표는 데이터베이스에서 문자 데이터를 구분하는 것으로 입력창에 '를 입력시 다음과 같이 문법 오류가 발생이 일어난다. 입력결과 SQL 오류 메시지를 출력하는 것을 확인할 수 있다. (SQL 인젝션 취약점..