power-girl0-0

비박스 환경을 활용한 웹 모의해킹 완벽 실습 책의 내용을 포함하고 있습니다. 스스로 공부하고 정리하기 위한 목적으로 올리는 것입니다. 1-1. 반사된 XSS란? 웹 페이지 URL에 존재하는 파라미터에 악의적인 스크립트 코드를 입력하여 사용자가 URL을 클릭하면 입력해둔 악성 스크리트 코드가 실행되는 공격이다. 해당 공격은 스크립트가 포함된 URL을 메일로 전송하거나 게시물로 등록하여 클릭을 유도한다. 2-1. GET 1. 취약한 사이트를 선택한다. 2. 간단한 스크립트를 입력하여 취약한 사이트인지 확인한다. First name 입력란에 스크립트를 입력하고 Last name입력란에는 아무 값이나 입력하였다. 실행 결과, 스크립트가 실행되어 [그림 1-4]와 같이 Succeed 메시지가 경고창으로 출력되는 ..

GET방식과 달리 POST방식은 URL에 변수가 나타나지 않는다. 따라서, 이번에는 프락시 도구를 사용하여 변수를 확인하고 sql인젝션을 시도할 예정이다. 해당 글에서는 Burp suit 도구를 사용하였다. 1. burp suit를 사용하여 proxy를 켜준다. (burp suit에 대한 설명은 다 아는 것으로 간주하고 본 글에서는 따로 기재하지 않기로 한다.) 2. SQL Injection (POST/Search)를 선택해줍니다. 3. 작은따옴표(')를 입력하여 SQL 인젝션이 가능한지 알아본다. 작은따옴표는 데이터베이스에서 문자 데이터를 구분하는 것으로 입력창에 '를 입력시 다음과 같이 문법 오류가 발생이 일어난다. 입력결과 SQL 오류 메시지를 출력하는 것을 확인할 수 있다. (SQL 인젝션 취약점..