[AWS] Serverless Goat 풀이 - 클라우드 모의해킹

1. 들어가기 클라우드에 관심이 높아지면서 클라우드 보안에도 중요성이 강조되고 있다. AWS 프리티어를 이용하여 본인이 직접 환경을 구축해서 실습할 수 있는 워게임이 있어 풀이를 해보았다. 2. 실습 준비 ServerlessGoat는 OWASP에서 제안하는 10가지 클라우드 보안 요소를 집약시켜놓은 Playground이다. 공식 Github는 아래와 같다. github.com/OWASP/Serverless-Goat OWASP/Serverless-Goat OWASP ServerlessGoat: a serverless application demonstrating common serverless security flaws - OWASP/Serverless-Goat github.com AWS사이트에서 제공하는..

• format_list_bulleted Security/Cloud Computing
• · 2021. 6. 1.
• textsms

[MINIO 설치] 라즈베리파이에 AWS S3 환경 구성하기(Object Storage)

더보기 https://docs.min.io/docs/ MinIO | The MinIO Quickstart Guide MinIO Quickstart Guide MinIO is a High Performance Object Storage released under GNU Affero General Public License v3.0. It is API compatible with Amazon S3 cloud storage service. Use MinIO to build high performance infrastructure for machine learning, ana docs.min.io MinIO의 소프트웨어 정의 제품군은 초기부터 클라우드 기반으로서 퍼블릭 클라우드, 프라이빗 클라우드 및 에지에서 ..

• format_list_bulleted Security/Cloud Computing
• · 2021. 5. 26.
• textsms

[모의해킹 실습] Union SQL Injection 게시판 구현 및 공격실습 2

UNION SQL Injection 취약 게시판 구현 및 공격 실습 1. 공격 원리 1. SQL Injection 공격 가능 여부 확인 2. 컬럼 수 추출 3 . 각 컬럼 데이터형 추출 4. 데이블 목록 추출 5. 원하는 테이블의 컬럼명 추출 6. 원하는 데이터 추출 SQL에서 Union은 두 개의 쿼리문에 대한 결과를 통합하여 하나의 테이블로 보여주게 하는 키워드이다. 정상적인 쿼리문에 Union 키워드를 사용하여 인젝션에 성공하면, 원하는 쿼리문을 실행할 수 있게 된다. Union SQL Injection은 이전 Select 문과 Union Select 문의 칼럼 수가 동일해야 한다는 특징과 칼럼은 각 순서별로 동일한 데이터 형이어야 한다는 특징을 이용한다. 공격 과정은 다음과 같다. 2. 공격 실습..

• format_list_bulleted Security/WEB
• · 2021. 5. 25.
• textsms

비타민과 미네랄

읽기 전에! PC 환경 : Ctrl + F(찾기) 모바일(사파리) : 하단 중앙 공유 버튼 + 페이지에서 찾기 이용하면 키워드로 찾을 수 있습니다. 항산화물질 노화방지와 항암작용으로 유명한 항 산화물질은 활성산소가 세포를 공격해 노화나 유전자 변화 야기 넘치는 활성산소를 우리 몸이 감당하지 못할 때 구원투수 → 항산화물질 식물성 화학물질(카로티노이드, 비타민 C, 비타민 E) 카로티노이드 당근에서 처음 분리되어 카로티노이드 비타민 A로 변화되어 , 지용성이므로 날보다 익혀먹는 것, 삶거나 찌는것보다 기름으로 조리하는 것이 효과 베타카로틴 알파카로틴, 베타-크립토잔틴과 함께 몸속에서 필요한 양만 비타민 A로 전환 암 발생과 성장을 대폭 줄이며 피부, 폐, 자궁, 위장관등 상피 조직을 보호 비타민E처럼 나쁜..

• format_list_bulleted Report/Term paper
• · 2021. 5. 14.
• textsms

[모의해킹 실습] SQL Injection 게시판 구현 및 공격실습 1

SQL Injection 1. 공격 원리 SQL Injection는 코드 인젝션의 한 기법으로 클라이언트의 입력 값을 조작하여 서버의 데이터베이스를 공격할 수 있는 공격 방법이다. 문법적 의미가 있는 싱글쿼터(‘)와 주석(#)을 이용해 완성된 쿼리문을 주입해 공격자는 로그인 우회, 데이터 추출 등의 악의적인 행동을 취할 수 있다. SQL Injection의 공격 종류는 다음과 같다. 종류 대상/특징 Union SQLi UNION 절을 이용하여 두 개 이상의 쿼리를 묶어 원하는 정보를 DB에서 추출하는 공격 기법 Error Base SQLi 데이터베이스의 문법에 맞지 않은 쿼리문 입력 시 반환되는 에러 정보를 기반으로 공격하는 기법 Blind SQLi True인 쿼리문과 False인 쿼리문 삽입 시 반환되..

• format_list_bulleted Security/WEB
• · 2021. 5. 11.
• textsms

[모의해킹] 실습환경 구성하기

Preview 모의해킹은 중요 시스템의 정보를 탈취, 조작, 파괴 등이 가능한지 파악하는 취약점 진단을 수행한다. 체크리스트 기준으로 항목별 취약점 점검하는 업무를 수행하기 위해 위협이 있을 수 있는 웹사이트를 구현하고 공격자의 입장에서 침투테스트를 실시한다. 진단 항목을 올바르게 이해하고 프로젝트 수행 시 더 나은 결과물을 산출하기 위함이다. 자신만의 웹서버를 가지고 있고 그 서버가 입력 값에 따라 어떤 에러를 내는지 이해한다면 웹 취약점의 원리파악이 쉬워질 것이다. 구현 환경 웹 서비스를 개발 / 구축한 환경은 다음과 같다. 웹 취약점 진단 항목을 정확하게 이해하기 위해 웹 페이지 내 에러메시지 출력 설정이 되어 있으며 서버측 소스코드 및 디버깅 정보가 포함될 수 있다. 환경은 APM(Apache2,..

• format_list_bulleted Security/WEB
• · 2021. 5. 4.
• textsms

[AWS] 고객 센터 문의하기

AWS Case Open AWS 이용 중 프리티어를 넘어선 요금 발생이나 인스턴스 사용량이 계획했던 것보다 많이 청구되어 문의가 필요한 경우 또는 리소스에 대한 장애가 발생한 경우 AWS Support Center에서 Case Open을 진행한다. 진행 절차 1. AWS 계정으로 로그인한 후에 Support Center에 접근한다. console.aws.amazon.com/support/home#/ 2. "Create Case" 클릭 3. 케이스 선택 본인의 이슈 내용에 맞는 항목을 선택한다. 4. 제목, 내용 입력 Type과 Category를 선택하고, 이슈 또는 문의사항에 대한 내용을 입력한다. 지원하는 언어는 영어와 일본어가 있지만 한국어로 입력해도 늦지만 답변이 가능하다. Contact metho..

• format_list_bulleted Security/Cloud Computing
• · 2021. 4. 19.
• textsms

[Docker] Tomcat Oracle 12c 구성하기 2

gomguk.tistory.com/69 이전 게시글에서 생성한 컨테이너(tomcat, oracle 12c)를 docker compose를 이용하여 한번에 관리하도록 구성한다. 1. Tomcat Dockerfile Docker Hub의 Tomcat 공식 이미지를 그대로 사용하기에는 추가적으로 설정이 필요한 것들이 몇가지 있다. Dockerfile로 구성하여 이미지를 생성한다. 작성한 Dockerfile은 아래와 같다. FROM tomcat:latest MAINTAINER DHPark EXPOSE 8080 RUN ["rm", "/etc/localtime"] RUN ["ln", "-sf", "/usr/share/zoneinfo/Asia/Seoul", "/etc/localtime"] COPY setenv.sh ..

• format_list_bulleted Security/Cloud Computing
• · 2021. 4. 13.
• textsms

[oracle 12c] ORA-01045: user c##사용자 lacks CREATE SESSION privilegs; logon denied

원인 ORA-01045: user c##사용자 lacks CREATE SESSION privilegs; logon denied 오라클 유저 생성 후에 연결권한을 부여하지 않았기 때문에 발생한다. 해결 권한을 부여해주면 된다. $ sqlplus "/as sysdba" SQL> grant connect, resource to 사용자명; SQL> grant create session to 사용자명; 이렇게 해도 해결이 되지 않을 때가 있다. oracle 12c 이상 버전을 사용하는 경우 PDB기능이 추가되면서 Pluggable DB의 사용이 가능해졌기 때문이다. 이는 PDB별로 설정을 따로 구분하기 때문인데 DBA가 아니라 단순 사이트 제작 실습을 위한 것이라면 PDB 기능을 끄거나 위에서 한 설정을 GLOB..

• format_list_bulleted DEV/etc
• · 2021. 4. 12.
• textsms

[vulnhub] Tr0ll: 1 - writeup

[분석환경] VMware 2017 Pro Kali Linux 2020.01 [분석도구] 1. netdiscover 2. nmap 3. python 4. nikto 5. wireshark 1. netdiscover 2. nmap nmap -sC -sV 192.168.47.163 스캔 결과로 FTP(21/tcp), SSH(22/tcp), HTTP(80/tcp)포트 열려 있음을 확인 3. nikto 80포트가 열려 있으므로 웹 서버에 대한 스캔을 진행한다. nikto --host 192.168.47.163 스캔 결과로 Apache(2.4.7) 버전, robots.txt 존재 및 내용에 /secret 경로가 존재함을 확인한다. 4. Browser(HTTP/80) 주소로 접속하여 컨텐츠를 확인한다. 단순 jpg ..

• format_list_bulleted Wargame & CTF/Pentest
• · 2021. 3. 19.
• textsms