분류 전체보기
-
XSS challenge 풀이[1-10]#02. 기존공부/#02.3 웹해킹 2019. 4. 13. 22:02
1. 머릿말XSS Challenges 문제를 풀어본다. 2. 문제풀이(1) Stage #1상단에 보이는 그림과 같이 asdf 입력 시 그대로 출력해주는 것을 볼수 있다. 태그로 감싸져 있으니 그냥 풀면 된다. (2) Stage #2이건 봤을때 뭔의미인지 이해가 안갔다. asdf 입력 시 위와 같은 문구만이 출력될 뿐 별다른 반응이 없다. 힌트를 봤더니 태그를 닫고 SCRIPT 태그를 넣으라고 한다. " (4) Stage #4 ?? challenge 3이랑 같다. 그러나 동일한 방법으로 클리어를 시도하니 실패하였다. 다시 한번 소스코드를 살펴보자 아래와 같은 코드를 발견할 수 있었다.1234567891011Search a place: Choose a country: JapanGermanyUSAUnited ..
-
XSS-Game#02. 기존공부/#02.3 웹해킹 2019. 4. 12. 18:18
1. 머릿말 XSS-gmae.appspot.com 문제를 풀어본다. 2. 풀이 (1) level 1 답: (2) level 2 답: (3) level 3 풀이: [Image 1], [Image 2], [Image 3] 탭을 클릭할 시 chooseTb('1'), chooseTab('2'), chooseTab('3')을 호출한다. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 function chooseTab(num) { // 적절한 이미지를 동적으로 로드 var html = "Image " + parseInt(num) + ""; // HERE ATTACK VECTOR html..
-
XSS카테고리 없음 2019. 4. 11. 21:01
※개인학습을 위해 OWASP Top 10 문서를 번역한 내용 1. XSS 공격의 개요 OWASP TOP 10에 매년 이름을 올리는 원초적이나 보안이 쉽지 않은 공격기법이다. 악의적인 사용자가 공격 대상이 되는 사이트에 스크립트를 넣는 기법으로 공격 성공 시 공격자가 의도하는 행동을 수행 하도록 변조할 수 있다. 공격자가 입력한 구문이 TEXT가 아닌 언어와 구문으로 이해되며 발생하는 취약점이다. Ex) value 부분에 test" id="xss 라는 문자열을 삽입한다면 아래와 같은 변조가 가능할 것이다. Cookie, CSS, HTML 코드 등 여러가지 공격 벡터가 존재하며 다양한 우회방법이 존재한다. 2. 공격기법 ※ 필터링 없는 XSS 테스트 XSS 공격을 위한 기본구문이다. "의 경우 최근 브라우저..
-
[미완]인증제도#03. 개인정보 2019. 4. 1. 16:39
1. ISMS-P * 인증대상 - 정보통신망 서비스를 제공하는 자(ISP) - 집적정보통신시설 사업자(IDC) - 정보통신서비스 부문 전년도(법인인 경우에는 전 사업연도)매출액이 100억원 이상인 자 - 전년도 말 기준 직전 3개월 간의 일일평균 이용자 수가 100만 명 이상 - 연간 매출액 또는 세입이 1,500억 원 이상인 자 중에서 아래에 해당하는 경우 - (의료법 제3조의 4에 따른 상급 종합병원) - (직전연도 12월 31일 기준으로 재학생 수가 1만명 이상인 고등교육법 제 2조에 따른 학교) * 인증 심사 - 인증 신청 전 인증기준에 따른 정보보호 관리체계 구축 후 최소 2개월 이상 운영해야 한다. - 인증심사는 문서심사와 현장심사로 구성됨 - ISMS의 경우 하단 그림의 1.1과 1.2 여역..
-
2019.03.29 대형 포털사이트 워터링 홀#00. 보안기사 2019. 3. 31. 17:29
1. 기사 요약 보안 업체 트렌드 마이크로(가 한국 웹사이트 4곳을 침해한 워터링 홀 캠페인을 발견했다. 최초로 침해 사이트가 발견된 것은 3월 14일의 일이다. 해당 악성코드의 동작 순서는 아래와 같다. 0) 홈페이지에 악성 자바스크립트 삽입 1) 악성 자바스크립트 파일은 방문자의 프로파일을 만듦 2) 가짜 로그인 화면 로딩 3) HTTP 참조자 헤더 문자열 스캔 4) 여기에 인기높은 검색 엔진이나 소셜 미디어 사이트와 관련 있는 키워드가 포함되어 있는지 확인 5) 4)를 통해 방문자가 사람인지 봇인지 확인 6) 방문자의 장비와 OS 식별 7) 백그라운드에 남아 해당 사용자를 기다림 8) 해당 사용자가 6번째 로그인 시 가짜 로그인 양식을 로드 9) 사용자의 정보를 공격자의 서버에 전송 10) 웹사이트..
-
XSS#02. 기존공부/#02.3 웹해킹 2019. 3. 29. 14:19
XSS(Cross-Site Scripting)이라 불린다. CSS라고 불러야 하지만 이미 CSS라는 단어를 선점하고 있기에 XSS라고 명칭을 변경하였다. OWASP Top 10에 계속 이름을 올릴정도로 유명하지만 공격 벡터가 워낙 다양하여 막기가 쉽지 않은 공격이다. Cookie, CSS 등 사용자가 조작할 수 있는 모든 값이 공격 벡터로 작동한다. URL 인코딩, %00, concat, String.fromCharCode(), javascript:, HEX 변환 인코딩 방식에 따라 해당 인코딩을 활용하여 공격하는 것이 가능하다. 이벤트 핸들러를 이용하는 방법또한 존재한다. img, iframe 등의 태그를 사용하는 방법 또한 존재한다. (그러나 iframe의 경우 동일 출처 정책에 따라 외부 URL 및..
-
-