본문 바로가기

웹 해킹/웹 해킹 개념19

sql limit limit 시작위치, 반환 갯수 (0부터 시작) 2018. 3. 22.
웹로그분석 W3C포맷: MS 계열의 IIS 기본 설정에서 사용되고 있다.NCSA포맷(CLF): NCSA계열 웹서버에서 사용하느 파일형식 logparser를 이용하여 로그 분석을 시도할 수 있다. W3C 분석을 위한 logparser 사용필드date, time, c-ip(접속자 IP), cs-method(HTTP 메소드), cs-uri-stem(요청 페이지), cs-uri-query(파라미터), sc-status* -i 로 IISW3C NCSA분석을 위한 logparser 사용필드host, username, date:time, request, statuscode, bytes, Referer Log(경유지 정보), Agent Log(웹 사이트에 접속한 사용자의 웹 브라우저 정보), Error Log* -i 로 NCSA.. 2018. 3. 19.
프락시 툴을 이용한 HTTP 분석 웹 브라우저와 프락시 툴간 프락시 포트를 연결해 두어야 HTTP 분석 혹은 취약점 점검이 가능하다. 웹브라우저->프락시 툴->웹서버웹서버->프락시 툴->웹브라우저 2018. 3. 19.
Union SQL Injection 참고 사이트https://m.blog.naver.com/PostView.nhn?blogId=koromoon&logNo=120172851234&proxyReferer=https%3A%2F%2Fwww.google.co.kr%2F 2개 이상의 쿼리를 요청하여 결과를 얻는 UNION이라는 SQL 연산자를 이용한 SQL Injection 공격 공격자는 이 연산자를 이용하여 원래의 요청에 한 개의 추가 쿼리를 삽입하여 정보를 얻어낸다 조건: 컬럼의 갯수가 같아야 하고 데이터 형식도 같아야 하며 해당 결과 집합 컬럼은 호환되는 데이터 형식을 가져야 한다! UNION의 결과 집합 컬럼 이름은 UNION의 첫 번째 SELECT문의 결과 집합에 있는 컬럼 이름과 동일, 다른 SELECT무느이 결과 집합 컬럼 이름은 무시됨.. 2018. 3. 5.
웹쉘 Web Shell, PHP File Upload 취약점 참고자료 http://darksoulstory.tistory.com/324http://code1018.tistory.com/96?category=939350http://code1018.tistory.com/94?category=939350 웹쉘은 공격자가 원격에서 웹서버에 명령을 수행할 수 있ㄷ록 작성한 웹스크립츠(asp,php,jsp,cgi) 파일이다. 이때 zip, jpg, doc와 같은 데이터 파일종류 이외에 악의적으로 제작된 스크립트 파일인웹쉘을 업로드하여 웹 서버를 해킹하는 사고가 빈번하고 있다.이와 같이 서버 명령을 실행할 수 있는 웹 쉘을 이용하여 웹서버에 명령을 실행해 관리자 권한을 획득한 후 웹 페이지 소스코드 열람, 서버내 자료 유출, 백도어 프로그램 설치 등의 다양한 공격이 가능하다... 2018. 2. 12.
HEADER INJECTION 참고자료http://blog.habonyphp.com/entry/php-HTTP-%ED%97%A4%EB%8D%94-%EC%9D%B8%EC%A0%9D%EC%85%98 헤더 인젝션은 공격자가 헤더에 개행문자를 삽입하여 헤더를 추가하여 공격하는 수동적 공격 방식이다. 이 공격이 허용되는 경우 쿠키를 임의대로 생성하거나 임의로 URL을 리다이렉트 시킬 수 있다. http://example.com/?id=1001위와 같은 코드가 있다면 아래 코드로 고쳐서 공격한다. http://example.com/?id=1001%0d%0a%0d%0aSet-cookie+SID=a123456789 공격자가 입력한 %0d%0a는 \r\n을 의미하므로 결과적으로 새로운 헤더가 만들어지게 된다. http://example.com/?id.. 2018. 2. 12.
XSS 연습 2018. 2. 10.
XSS 크로스 사이트 스크립팅 참고사이트http://www.kisa.or.kr/uploadfile/201312/201312161355109566.pdf XSS취약점: 크로스 사이트 스크립팅 취약점 XSS공격은 웹 응용에 존재하는 취약점을 기반으로 웹 서버와 클라이언트간 통신 방식인 HTTP 프로토콜 동작과정 중에 발생한다. HTTP 프로토콜이란 웹 서버와 클라이언트간 서버에저장된 웹 문서(일반적으로 HTML, 스크립트, 이미지)등을 클라이언트로 전달하기 위한 표준 규약이다.먼저 클라이언트는 서버로 헤더 정보를 포함하여 관련 정보를 요청하면, 웹 서버는 클라이언트의 요청을 분석하여요청한 자원 데이터 및 헤더를 포함하여 클라이언트로 응답을 보낸다. XSS공격은 브라우저로 전달되는 데이터에 악성 스크립트가 포함되어 개인의 브라우저에 실행되.. 2018. 2. 10.
세션변조 참고 사이트http://unabated.tistory.com/entry/4-%EB%8D%B0%EC%9D%B4%ED%84%B0-%EB%B3%80%EC%A1%B0-%E2%80%93-%EC%84%B8%EC%85%98-%EB%B3%80%EC%A1%B0%EB%A5%BC-%ED%86%B5%ED%95%9C-%EB%B6%88%EB%B2%95-%EB%A1%9C%EA%B7%B8%EC%9D%B8-%EC%B6%9C%EC%B2%98-4-%EB%8D%B0%EC%9D%B4%ED%84%B0-%EB%B3%80%EC%A1%B0-%E2%80%93-%EC%84%B8%EC%85%98-%EB%B3%80%EC%A1%B0%EB%A5%BC-%ED%86%B5%ED%95%9C-%EB%B6%88%EB%B2%95-%EB%A1%9C%EA%B7%B8%EC%9.. 2018. 2. 9.

티스토리툴바