Security Diary

Blind SQL Injection - DB에 대한 정보가 없는 상태에서 sql문 조작해 정보 알아내는 방법 - 에러는 힌트가 되어 오류 발생 → 자동화된 도구 사용(SQLmap) Command Execution - 공격자는 검색창에 리눅스 명령어 실행 DVWA SQL Injection 실습) 목적 : 모든 사용자 ID와 PW 알아내기 select id,,firstname,surname from ??? where id=' Q. 컬럼 개수 확인 더보기 A. ' union select 1 # // 컬럼 개수 안 맞음 ' union select 1,2 # // 정상 실행 ' union select 1,2,3 # // 컬럼 개수 안 맞음 Q. DB 이름 확인 더보기 A. ' union selecct databa..

Credential Stuffing - 여러 군데 회원가입하니 ID/PW 동일 - 약한 사이트 해킹(WebShell, RAT 업로드, WebDAV 업로드, SQL 인젝션 등)해서 고객 DB 확보 - 다른 사이트에 삽입(금융권, 포털, SNS 등) - 2021년 통계에 의하면 가장 심각한 해킹 유형 - 대응 방법 : 사이트마다 PW 다르게 저장 - 정기적 PW 교체 계정 털리는 원인 - 취약한 본인 절차 - 쉬운 패스워드 - 패스워드 변경 시도 (SQL 인젝션 등) - 특히, 포털사이트 PW는 다른 것 사용 , 금융권은 더 강력한 PW 사용 무결성(Integrity) 해시값 - 특징 : 원문이 1bit라도 달라질 시 다른 해시값 결과 나옴 → 변조되었는지 알 수 있음 A09 로깅과 모니터링 ex) 게임회사..

어제에 이어 Beebox 실습) 영화 검색창에서 실행되는 SELECT문 더보기 select ?.?.?.? from ??? where movie=' select ?.?.?.? from ??? where movie='man' union select ~~~; // UNION을 사용하려 보니 앞 컬럼 개수 모름 select ?.?.?.? from ??? where movie='' union select 1 # // 1개가 아닐 경우 Different Number of Columns 뜸 select ?.?.?.? from ??? where movie='' union select 1,2 #'; select ?.?.?.? from ??? where movie='' union select 1,2,3,4 #'; // s..

OWASP top 10 취약점 - 가장 최신의 웹 보안 트렌드 확인 가능 - 전 세계 보안 전문가 대상 설문 → 취합 후 정리해 순위 매김 - 암행어사 : 현감들이 수사, 체포, 심판, 임시 행정 → 부패 - 권한을 한 기관/사람이 많이 가질 시 부정/불법행위에 연루될 가능성↑ → 최소 권한 부여, 적당한 알림 Crawler - 검색 엔진 100개 이상 - 전 세계 웹사이트 방문해 Crawling - 정상적 검색 엔진 : Google, Naver, Baidu 등 - 비정상적인 검색 엔진 : 해커 운영 Crawler → 정보 수집 - 방문 금지 요청 : web server 루트 디렉토리에 robots.txt 파일 생성 > User-Agent:* , Dosallow:/ (모든 디렉토리 허용 X) ※ 일부 허..

WebShell - 관리자가 SSH, FTP 이용하지 않고 웹브라우저로 웹서버 관리하기 위한 도구 (GUI로 설정 가능) - 공격자들이 WebShell > 서버로 대응 방법 1) 업로드 막기 2) 업로드된 WebShell은 동작하지 못하게 압축하여 보관 3) 위치 경로 알려주지 않거나 파일 이름 바꾸기 4) 대응 보안 솔루션 배치 Content-Type은 text / plain이지만, Proxy 도구(Burp Suite)를 이용해 image / jpeg라고 속이기 → Client가 보내는 정보를 신뢰할 경우, 실제 들어있는 파일은 다른 WebShell Base64 이용 시 비밀번호를 인코딩할 경우 → ISMS-P 인증 심사에서 안전하지 않다고 봐서 결함으로 판단 실습) 더보기 - http://192.16..

XSS (Cross Site Scripting) - 스크립트를 활용한 공격 → 스크립트는 공격자가 작성하기 나름이기 때문에 다양한 공격이 가능 1) DBD공격 유형 - 자연스러운 악성코드 다운로드 (Drive by Download : DBD) - 스크립트 자체가 악성코드 X → 악성 행위가 없어서 보안 솔루션에 탐지되지 않음 (정상 동작) - 스크립트는 악성코드를 다운로드하게 한 후, 사용자를 속여 마우스 클릭 유도 → 악성코드 실행 시 랜섬웨어 or 트로이목마 동작 2) Cookie값을 훔치는 방법 (최근 사용X) - 쿠키 = 사용자의 신분증 - 웹브라우저가 스크립트가 있는 페이지 방문 → 공격자의 컴퓨터로 쿠키 전송 → 공격자는 자신의 쿠키를 훔친 쿠키로 교체 → 해당 웹사이트에 접속 시, 사용자의 ..

Web - 인터넷 : 1974년 시작 (로버트 칸, 빈트 서프) Gopher, Archie, Telnet 등 - www : 1988년 팀 버너스 리 - CERN : 유럽의 물리입자 연구소 (사진+ 설명 + 링크) - 복잡해지면서 구성상의 문제점, 취약점 등이 발견되었고 다양한 공격이 알려지게 됨 - 웹브라우저(클라이언트)와 웹서버간에 암호화 이슈 → 취약한 암호화 - 웹서버의 설정 이슈 - 데이터베이스 설정 이슈 → SQL인젝션 - 스크립트 공격 이슈 → XSS, CSRF, SSS, WebShell 등 → 난독화 - 클라이언트 : 웹 브라우저, SSH client, FTP client - 서버 : 웹서버(IIS, Apache2, Nginx 등) HTTP - Stateless (사진, 텍스트, 링크를 받으..