[모의해킹 실습] SQL Injection 게시판 구현 및 공격실습 1

SQL Injection 1. 공격 원리 SQL Injection는 코드 인젝션의 한 기법으로 클라이언트의 입력 값을 조작하여 서버의 데이터베이스를 공격할 수 있는 공격 방법이다. 문법적 의미가 있는 싱글쿼터(‘)와 주석(#)을 이용해 완성된 쿼리문을 주입해 공격자는 로그인 우회, 데이터 추출 등의 악의적인 행동을 취할 수 있다. SQL Injection의 공격 종류는 다음과 같다. 종류 대상/특징 Union SQLi UNION 절을 이용하여 두 개 이상의 쿼리를 묶어 원하는 정보를 DB에서 추출하는 공격 기법 Error Base SQLi 데이터베이스의 문법에 맞지 않은 쿼리문 입력 시 반환되는 에러 정보를 기반으로 공격하는 기법 Blind SQLi True인 쿼리문과 False인 쿼리문 삽입 시 반환되..

• format_list_bulleted Security/WEB
• · 2021. 5. 11.
• textsms

[모의해킹] 실습환경 구성하기

Preview 모의해킹은 중요 시스템의 정보를 탈취, 조작, 파괴 등이 가능한지 파악하는 취약점 진단을 수행한다. 체크리스트 기준으로 항목별 취약점 점검하는 업무를 수행하기 위해 위협이 있을 수 있는 웹사이트를 구현하고 공격자의 입장에서 침투테스트를 실시한다. 진단 항목을 올바르게 이해하고 프로젝트 수행 시 더 나은 결과물을 산출하기 위함이다. 자신만의 웹서버를 가지고 있고 그 서버가 입력 값에 따라 어떤 에러를 내는지 이해한다면 웹 취약점의 원리파악이 쉬워질 것이다. 구현 환경 웹 서비스를 개발 / 구축한 환경은 다음과 같다. 웹 취약점 진단 항목을 정확하게 이해하기 위해 웹 페이지 내 에러메시지 출력 설정이 되어 있으며 서버측 소스코드 및 디버깅 정보가 포함될 수 있다. 환경은 APM(Apache2,..

• format_list_bulleted Security/WEB
• · 2021. 5. 4.
• textsms

[AWS] 고객 센터 문의하기

AWS Case Open AWS 이용 중 프리티어를 넘어선 요금 발생이나 인스턴스 사용량이 계획했던 것보다 많이 청구되어 문의가 필요한 경우 또는 리소스에 대한 장애가 발생한 경우 AWS Support Center에서 Case Open을 진행한다. 진행 절차 1. AWS 계정으로 로그인한 후에 Support Center에 접근한다. console.aws.amazon.com/support/home#/ 2. "Create Case" 클릭 3. 케이스 선택 본인의 이슈 내용에 맞는 항목을 선택한다. 4. 제목, 내용 입력 Type과 Category를 선택하고, 이슈 또는 문의사항에 대한 내용을 입력한다. 지원하는 언어는 영어와 일본어가 있지만 한국어로 입력해도 늦지만 답변이 가능하다. Contact metho..

• format_list_bulleted Security/Cloud Computing
• · 2021. 4. 19.
• textsms

[Docker] Tomcat Oracle 12c 구성하기 2

gomguk.tistory.com/69 이전 게시글에서 생성한 컨테이너(tomcat, oracle 12c)를 docker compose를 이용하여 한번에 관리하도록 구성한다. 1. Tomcat Dockerfile Docker Hub의 Tomcat 공식 이미지를 그대로 사용하기에는 추가적으로 설정이 필요한 것들이 몇가지 있다. Dockerfile로 구성하여 이미지를 생성한다. 작성한 Dockerfile은 아래와 같다. FROM tomcat:latest MAINTAINER DHPark EXPOSE 8080 RUN ["rm", "/etc/localtime"] RUN ["ln", "-sf", "/usr/share/zoneinfo/Asia/Seoul", "/etc/localtime"] COPY setenv.sh ..

• format_list_bulleted Security/Cloud Computing
• · 2021. 4. 13.
• textsms

[Docker] Oracle DB(Oracle 12c) 구성하기

Preview http://1004lucifer.blogspot.com/2019/11/docker-oracle-12c-oracle.html [Docker] Oracle 12c 구성 및 사용하기 (Oracle 공식 배포버전) ============================== 2019.11.13 추가 본 글은 작업이 가능한 오라클을 구성(설치) 하는 개념이며 프로젝트의 오라클 개발DB와 동일한 환경을 구성하기 위해서는 본 글을 훓어보고 아래의 링크의 1004lucifer.blogspot.com 위 포스트의 글을 참조하고 따라하며 구성하였고 트러블 슈팅 과정을 추가하였다. Image Checkout Docker Hub에서 공식 이미지를 체크아웃 한다. https://hub.docker.com/_/orac..

• format_list_bulleted Security/Cloud Computing
• · 2021. 3. 15.
• textsms

[Docker] Docker 개요 및 설치 방법

Docker? 도커는 컨테이너를 사용하여 애플리케이션을 보다 쉽게 생성, 배포 및 실행할 수 있도록 실행된 도구이다. 컨테이너가 있기에 개발자는 코드 작성 및 테스트에 사용된 환경으로 다른 시스템에 그대로 실행됨을 보장받을 수 있다. 가상 머신이 서버 하드웨어를 가상화하는 방식과 비슷하게 컨테이너는 서버 운영체제를 가상화한다. 간단한 도커 명령어를 통해 서버에 설치된 컨테이너를 구축, 시작 또는 중단할 수 있다. 기존의 Hypervisor기반 가상화는 주로 OS를 가상화하는 방식을 사용하였다. VMWare나 VirtualBox와 같은 가상머신은 호스트 OS 위에 게스트 OS 전체를 가상화하여 사용한다. 이와 같이 추가적인 OS를 설치하는 것는 overhead가 발생하며 이를 개선하기 위해 프로세스를 격리..

• format_list_bulleted Security/Cloud Computing
• · 2021. 3. 14.
• textsms

[Kali] wifi 비밀번호 crack 실습

Preview Aircrack-ng는 WiFi 네트워크 보안을 평가하기 위한 도구의 모음이다. 모니터링, 공격, 테스트 등에 초점이 맞춰져 있다. 패킷 캡처 및 텍스트 파일로 내보내기, 패킷 주입 공격을 통한 인증해제, 재생 공격(Replay Attack) 등도 가능하다. 사용자가 직접 스크립트 작성을 통한 작업도 수행할 수 있다. Linux를 주로 사용하지만 OSX나 FreeBSD등 여러 운영체제에서 사용이 가능하다. 공식 홈페이지에서는 Windows에서도 사용이 가능하다고 명시되어 있지만 다른 운영체제를 선택하는 편이 훨씬 쉽게 작업을 시작할 수 있다. 1.6버전에 많은 성능 개선이 있었다. 파이썬 2버전의 지원 종료로 인해 파이썬 3을 지원하도록 변경되었다. Aerodump-ng 기능에 변화가 있으..

• format_list_bulleted Security/Network
• · 2021. 1. 8.
• textsms

[VMware] USB 외장 랜카드 연결하기

Preview 유선(NAT) 환경에서 이더넷 연결이 동작중인 Guest(Kali)에서 외장 랜카드 연결을 위한 설명이다. [환경] VM Ware Workstation 15 Pro host : Windows 10 guest : Kali Linux 2020. 06 [기기] Iptime A2000UA 1. 랜카드 드라이버 설치 먼저 Windows 환경에 랜카드 드라이버를 설치해 준다. iptime 홈페이지의 자료실에서 받을 수 있다. iptime.com/iptime/?page_id=126&dffid=10&dfsid=6&dftid=239&uid=20525&mod=document [ EFM, ipTIME 아이피타임 이지메시, 이지메쉬, 메시와이파이, 기가 와이파이, 유무선 및 무선 인터넷 공유기, 와이파이 증폭기..

• format_list_bulleted Security/Network
• · 2021. 1. 6.
• textsms

[Frida] 안드로이드 루팅 탐지 우회하기 3

Frida를 이용한 루팅 탐지 우회 기법 1. 루팅 관련 바이너리 존재 여부 확인 var RootPackages = ["com.noshufou.android.su", "com.noshufou.android.su.elite", "eu.chainfire.supersu", "com.koushikdutta.superuser", "com.thirdparty.superuser", "com.yellowes.su", "com.koushikdutta.rommanager", "com.koushikdutta.rommanager.license", "com.dimonvideo.luckypatcher", "com.chelpus.lackypatch", "com.ramdroid.appquarantine", "com.ramdroid...

• format_list_bulleted Security/Mobile
• · 2020. 12. 30.
• textsms

[Android] Fiddler Proxy tool 사용하기

구성 안드로이드 환경에서 Fiddler를 사용하기 위해서는 각 기기당 역할 구분을 확실히 해야 한다. 1. Host PC - 프록시 서버 2. Fiddler - 프록시 도구 3. Android Device - 통신을 수행할 주체 위 기기와 도구를 통해 안드로이드에서 송,수신하는 트래픽을 PC에서 볼 수 있다. Android - Fiddler - Host PC 의 관계가 되는 것이다. [구성환경] Host : Windows 10 Home 64bit Android : NOX Emulator / Galaxy S10 5G / Android 5.1.1 / Rooted(Super User) [도구] Fiddler 4 Fiddler 설치는 www.telerik.com/download/fiddler/fiddler4에서..

• format_list_bulleted Security/Mobile
• · 2020. 12. 28.
• textsms