전체 글 (25) 썸네일형 리스트형 Command Injection & SSRF Command Injection - 이용자의 입력을 시스템 명령어로 실행하게 하는 취약점 - 시스템 함수를 사용하면 이용자의 입력을 소프트웨어의 인자로 전달할 수 있다. ex):os.system(“cat [user-input]”) 파일을 읽는 함수 - 이용자의 입력을 제대로 검사하지 않으면 임의 명령어가 실행될 수도 있다. - 시스템 함수는 셸 프로그램에 명령어를 전달하여 실행하는데, 셸 프로그램은 다양한 메타 문자를 지원하기 때문. 메타문자 예시 `` 명령어 치환 ``안에 들어있는 명령어를 실행한 결과로 치환된다. $() 명령어 치환 $()안에 들어있는 명령어를 실행한 결과로 치환, 이 문자는 위와 다르게 중복 사용이 가능하다. && 명령어 연속 실행 한 줄에 여러 명령어를 사용하고 싶을 때 사용, 앞.. OWASP ZAP & Web Crawring(Web Scrapping) Web Crawling(Web Scraping) 애플리케이션에서 공격하는 과정에서 첫번째 단계는 공격 대상에 대한 주요 정보들을 모으고 검사하는 것이며 정보 수집을 통해서 애플리케이션의 공격 가능성을 검토하고, 좀 더 공략 가능한 취약점을 찾기 위한 후속 진단 작업을 수행할 가장 유력한 대상 영역 확인이 가능하다. Web Crawring(Web Scrapping)은 웹 페이지를 방문하고 그 내용을 분석하여 원하는 데이터를 추출하는 것이며 이를 통해 정보를 모을 수 있다. Spidering 스파이더링은 크롤링의 한 종류로, 웹 크롤러가 웹 사이트를 자동으로 탐색하는 과정을 말한다. 스파이더링은 일반적으로 웹 사이트의 메인 페이지부터 시작하여 링크를 따라가며 다른 페이지를 발견하고 크롤링하는 방식으로 작동한.. 버프 스위트(Burp Suite) 사용 및 조작 (Proxy & Intruder) 버프 스위트란? - 웹 애플리케이션 보안 테스팅 도구로서, 보안 전문가 및 개발자들이 웹 애플리케이션의 취약점을 검사하고 평가하는 데 사용되며 다양한 기능과 도구를 제공하여 웹 애플리케이션 보안 테스트 및 분석을 수행함. 설치는 아래 게시물을 참고하여 설치했다. 버프 스위트(Burp Suite) - 1. 기본 설치 및 사용 방법 (tistory.com) 버프 스위트(Burp Suite) - 1. 기본 설치 및 사용 방법 0. 버프 스위트 (Burp Suite) 란 대표적인 웹 애플리케이션 보안 테스트 도구로 스캐닝을 포함하여 다양한 유형의 보안 테스트 수행이 가능합니다. 주요 기능 중 하나는 웹 브라우저와 대상 애플리 seo-security.tistory.com 버프 스위트 다운로드 Download Bu.. XSS 실습 먼저 XSS 실습에 사용할 페이지를 구축해봤다. 1. mysql을 통해서 board라는 테이블을 위와 같은 요소로 구성 위는 입력한 테이블을 확인한 모습이다. 2. 서버를 구성하는 파일을 작성했다. File download & upload vunerablity 정리 File Upload Vulnerability - 공격자의 파일을 웹 서비스의 파일 시스템에 업로드하는 과정에서 발생하는 보안 취약점이며 파일 시스템 상 임의 경로에 원하는 파일을 업로드하거나 악성 확장자를 갖는 파일을 업로드할 수 있을 때 발생함. - 원하는 시스템 커맨드를 실행하는 원격 코드 실행 취약점을 유발 가능. 1. Path Traversal - 업로드에 존재하는 이러한 제약을 우회하여, 임의 디렉토리에 파일을 업로드할 수 있는 취약점 예시 문제 package main import ( "net/http" "os" "os/exec" "path/filepath" "regexp" "github.com/gin-gonic/gin" "github.com/google/uuid" ) func main() {.. 이전 1 2 3 4 5 다음
