시큐렛

iFrame이란? iFrame은 inline Frame이라고도 불리며 HTML문서안에 다른 웹문서나 컨텐츠등을 삽입할때 사용합니다. 공격자가 자신의 악의적인 행위를 하는 웹페이지를 iFrame을 통하여 삽입할 경우 사용자는 그대로 공격자의 공격에 노출되게 됩니다. bWAPP의 iFrmae Injection페이지에 접근하였는데 사이트의 robots.txt파일의 내용을 출력하고 Get방식으로 서버에 요청을 하는것을 확인할수있습니다. 페이지 소스보기를 이용하여 소스를 봤을때 URL의 파라미터 값들이 차례대로 들어와있는걸 확인할수있습니다. 파라미터 값을 변조하여 iFrame Injection을 실행해봅시다. vim /var/www/bWAPP/iframe_injection.html 위 코드로 bWAPP디렉토리에 ..

HTML Injection이란? HTML Injection(Stored)은 매개변수에 HTML 태그를 삽입하여 HTML 태그로 의도하지 않은 내용을 보여주거나 다른 사이트로 연결시킬 수 있다. Stored는 저장형이며 공격자가 악의적인 HTML 태그를 삽입한 글을 게시글에 저장하여 사용자가 게시글을 열람 시 스크립트가 실행된다. Reflect형과의 차이점은 반사형은 url로 유입되지만 저장형은 서버의 데이터베이스에 스크립트를 저장하여 게시글을 불러올 때마다 실행이 된다. 인풋 박스에 안녕하세요라고 입력후 Submit버튼을 클릭시 번호, 소유자, 시간, 내용이 출력되고 있다. 인풋박스에 태그를 삽입하여 요청 시 내용에 h1태그가 제대로 적용되는 것을 볼 수 d 있다. H1태그는 제목

HTML Injection이란? HTML Injection(Reflected)은 매개변수에 HTML 태그를 삽입하여 HTML 태그로 의도하지 않은 내용을 보여주거나 다른 사이트로 연결시킬 수 있다. Reflected는 반사형이며 이는 사용자로 하여금 악의적인 HTML 태그를 삽입한 URL 링크 클릭을 유도하는 방법이다. 해당 페이지에 접속 시 Yout current URL:http://192.168.37.129/bWAPP/htmli_current_url.php라는 글이 출력된다. 아래 코드를 비박스에 입력하여 이 페이지의 소스를 보도록한다. root@bee-box:~# vi /var/www/bWAPP/htmli_current_url.php 위 사진의 코드처럼 security_level에 따라 url변수가..