시큐렛

SQL Injection이란? 웹 및 응용프로그램에서 데이터를 조회나 처리할 경우 데이터베이스에 명령을 하는데 이때 처리할 데이터에 악의적인 SQL문을 삽입하여 비정상적으로 데이터베이스를 조작하는 공격 방법이다. 이번 글은 POST방식으로 요청을 받을 경우의 SQL Injection을 다룬다. 메인 페이지에는 인풋 박스에 영화 제목을 입력 시 영화의 정보가 나오는 것을 확인할 수 있다. 메소드 타입을 POST형식으로 보내기 때문에 URL에 요청하는 키와 벨류 값이 보이지 않는다. 버프 슈트로 잡고 인풋 박스에 iron을 입력하고 Search버튼을 클릭 시 title과 액션에 입력한 iron과 search를 담아서 보내는 것을 확인할 수 있다. 삽입 코드 : 'union select 1,load_file(..

SQL Injection이란? 웹 및 응용프로그램에서 데이터를 조회나 처리할 경우 데이터베이스에 명령을 하는데 이때 처리할 데이터에 악의적인 SQL문을 삽입하여 비정상적으로 데이터베이스를 조작하는 공격 방법이다. 메인 페이지는 찾을 영화를 검색하라는 인풋 박스가 나오고 Search버튼을 클릭 시 DB에 저장되어 있는 영화 제목이 출력되는 것을 확인할 수 있다. like문을 사용하여 요청한 문자열을 포함한 문자열을 찾는 방식으로 추측할 수 있다. 소스코드 확인 시 GET형식으로 title을 받아서 sql에 SELECT문을 사용하여 like % title%를 묻고 그 결과를 출력하는 것을 확인할 수 있다. "'"를 입력하여 오류 메시지가 출력되었고 오류 메시지에는 MySQL을 사용한다는 정보 노출까지 보인다..

SSI injection이란? HTML 페이지에 동적으로 생성한 페이지를 추가하는 SSI에 악의적인 코드를 삽입하여 서버의 파일을 추가, 삭제, 변경 등 명령을 할 수 있는 삽입 공격이다. SSI Injection 페이지 접근시 Firstname과 Last name을 입력하라는 페이지가 나온다 입력 시 Hello Firstname Lastname Your IP address is : 자신의 아이피 주소가 출력되는 걸 확인할 수 있다. 소스코드 확인 시 post로 firstname과 lastname을 받아 변수 $line에 저장 후 fput을 사용하여 ssii.shtml을 만들고 저장된 $line을 넣은 후 header를 ssii.shtml로 넣어주는 것을 확인할 수 있다. 입력되어 생성된 ssii.sht..

비박스를 처음 설치하면 아래 사진과 같이 영어가 원하는 대로 처지지 않는 현상이 발생할 수 있다. 이를 해결하기 위해서는 키보드 설정을 해줘야 정상적으로 입력이 가능하다. 상단에 Bel을 우클릭하여 keyboard Preferences에 들어간다. 레이아웃에 진입하여 +Add.. 를 눌러 추가해준다. 레이아웃을 Korea, Republic of로 설정하고 Add버튼을 눌러 추가해준다. Korea, Republic of를 선택하고 Close를 누르면 레이아웃이 적용되며 이제 첫 사진처럼 Bel을 누르면 Kor로 변경되고 키보드 입력 오류 현상이 해결된다.

비박스란? 비박스는 mysql과 php로 만들어진 bWAPP이 설치되어 있는 리눅스 VM이다. bWAPP은 100여 가지가 넘는 웹 취약점이 있고 이를 해킹 및 대응할 수 있어 테스트와 공부하기 좋은 사이트이다. 다운로드 링크 https://sourceforge.net/projects/bwapp/files/bee-box/ bWAPP - Browse /bee-box at SourceForge.net × sourceforge.net 위 주소에서 다운로드를 하면 bee-box_v1.6.7z라는 압축파일이 다운되는데 이를 압축 해제하여 vm웨어에 추가하여 주면 된다. 비박스 설치 Open a Virtual Machine을 눌러 가상 머신을 열어준다. bee-box를 선택하고 열기 버튼을 누른다. 위 사진처럼 생..