이번 포스팅은 'Stored Xss - Blog' 입니다. 실습하는 모든 공격은 실제로 사용하시면 안됩니다. 허용받지 않은 서비스 대상에 해킹을 시도하는 행동은 금지하며, 모든 법적 책임은 사용자에게 있는 것을 명심해주세요. 난이도 하 페이지에 접속 xss 페이지는 텍스트 입력 공간에 내용을 입력하고 'submit' 버튼을 클릭하면 그 아래에 있는 테이블에 입력한 내용을 저장한다. 저 텍스트 입력 공간에 'Succeed'라는 메시지를 출력하는 스크립트 코드를 입력해보자. 이 문자를 입력해주고 submit을 클릭하면 스크립트가 실행되어 페이지에 경고창으로서 Succeed라는 메세지가 출력된다. (위 스크립트 문 중 alert == 경고창) 스크립트 실행 후 기록을 확인해보면, 텍스트 칸이 비어있다. 이는 ..

이번 포스팅은 SQL인젝션 AJAX/JSON/JQuery 입니다. SQL인젝션이 공격 개요도는 거의 비슷하지만 여러 종류가 있으니 잘 숙지하여 실습하도록 합시다~ 실습하는 모든 공격은 실제로 사용하시면 안됩니다. 허용받지 않은 서비스 대상에 해킹을 시도하는 행동은 금지하며, 모든 법적 책임은 사용자에게 있는 것을 명심해주세요. 실습 전 간단히 AJAX, JSON, jQuery 에 대해 알아보도록 하겠습니다. AJAX(Asynchronous javaScript and XML)는 HTML, 자바스크립트, JSON을 혼합하여 사용하는 기술을 말한다. JSON(JavaScript Object Notation)은 웹 서버와 데이터를 주고 받을 때 데이터를 표현하는 방법을 뜻하는데, 자바스크립트 형식으로 객체를 표..

저번 포스팅에 했던 'GET/Search' 공격에 이어서이번시간에는 'SQL injection (POST/Search)'을 해보겠습니다. 이번 공격은 sql get search와 개요가 매우 비슷하기 때문에 전에 설명했던 것들은 제외하고어떤 부분이 다른지 그 부분에 초점을 두고 설명 드리겠습니다. 실습하는 모든 공격은 실제로 사용하시면 안됩니다.허용받지 않은 서비스 대상에 해킹을 시도하는 행동은 금지하며,모든 법적 책임은 사용자에게 있는 것을 명심해주세요. 난이도 하 난이도를 low로 설정 후 sql injection 시작~ 보이는 화면은 Get 방식과 크게 다를게 없어 보이는데, 위에 URL을 확인해보니 이렇게 변수가 나타나지 않는군요, sqli_1 즉 Get방식으로 시도 했을때는 아래처럼 url에 변..

안녕하세요 오랜만에 드디어 ㅠㅠ bee box글을 게시하네요..ㅠㅠ오늘 실습할 공격은 SQL 인젝션으로인젝션의 '꽃'이라고 할 수 있을만큼 중요한 공격이랍니다. IT단골 이 공격. 매우 매우 매우 중요한 공격 중 하나죠 ㅎㅎ자 그럼 오늘은 SQL 인젝션 'GET/Search' 부분을 실습해보고 전체적인SQL인젝션의 개요도를 알아보도록 하겠습니당 ㅎㅎ 실습하는 모든 공격은 실제로 사용하시면 안됩니다.허용받지 않은 서비스 대상에 해킹을 시도하는 행동은 금지하며,모든 법적 책임은 사용자에게 있는 것을 명심해주세요. 먼저 시작 전 SQL인젝션의 정의와 공격 개요도를 알아보도록 할께요. SQL 인젝션SQL인젝션은 사용자가 입력한 값을 서버에서 검증하지 않고, 데이터베이스 쿼리 일부분으로 인식하여데이터베이스 정보가..