beebox์ค์ตํ๊ธฐ
-
HTML injection-Stored(Blog)๋ฐฉ์์ ์ด์ด์, ์ค๋์ ์ธ์ ์ ๊ธฐ๋ฒ ์ค iframe ์ธ์ ์ ์ ์ค์ตํด๋ณผ๊ฒ์ ์ค์ตํ๋ ๋ชจ๋ ๊ณต๊ฒฉ์ ์ค์ ๋ก ์ฌ์ฉํ์๋ฉด ์๋ฉ๋๋ค. ํ์ฉ๋ฐ์ง ์์ ์๋น์ค ๋์์ ํดํน์ ์๋ํ๋ ํ๋์ ๊ธ์งํ๋ฉฐ, ๋ชจ๋ ๋ฒ์ ์ฑ ์์ ์ฌ์ฉ์์๊ฒ ์๋ ๊ฒ์ ๋ช ์ฌํด์ฃผ์ธ์ ๋์ด๋ ํ iframe์ HTML ๋ฌธ์ ์์์ ๋ ๋ค๋ฅธ HTML ๋ฌธ์๋ฅผ ์ถ๋ ฅํ๋ ํ๊ทธ๋ก, ์ด๋ ์์น๋ ์๊ด์์ด ์ธ์ ์ ๊ณต๊ฒฉ์ ํ ์ ์์ต๋๋ค. ๋ํ ๋ ๋ฆฝ์ ์ผ๋ก ๋ง๋ค ์ ์๊ธฐ ๋๋ฌธ์ HTML ์ธ์ ์ ์ค์์๋ ๊ณต๊ฒฉ์ ์์ฃผ ์ฌ์ฉ๋ฉ๋๋ค. ๋๋ณด๊ธฐ ํ์ด์ง ๋ด์ iframe ํ๊ทธ๋ฅผ ์ฃผ์ ํ๋ค. --> ์ฃผ๋ก ์ ์ฑ URL์ ์ฝ์ ํ ์ฌ์ด์ฆ๋ฅผ 0์ผ๋ก ์ค์ ํ์ฌ ์จ๊ธด๋ค. --> ์ฌ์ฉ์์๊ฒ ์๋์น ์๊ฒ ์ ์ฑ์ฌ์ดํธ๋ก ์ ์ํ๊ฒ๋ ํ๊ฑฐ๋, ๊ฒฝ๊ณ ์ฐฝ์ ๋์ธ..
[Bee-box] ๊ธฐํ ์ธ์ ์ ๊ณต๊ฒฉ- iframeHTML injection-Stored(Blog)๋ฐฉ์์ ์ด์ด์, ์ค๋์ ์ธ์ ์ ๊ธฐ๋ฒ ์ค iframe ์ธ์ ์ ์ ์ค์ตํด๋ณผ๊ฒ์ ์ค์ตํ๋ ๋ชจ๋ ๊ณต๊ฒฉ์ ์ค์ ๋ก ์ฌ์ฉํ์๋ฉด ์๋ฉ๋๋ค. ํ์ฉ๋ฐ์ง ์์ ์๋น์ค ๋์์ ํดํน์ ์๋ํ๋ ํ๋์ ๊ธ์งํ๋ฉฐ, ๋ชจ๋ ๋ฒ์ ์ฑ ์์ ์ฌ์ฉ์์๊ฒ ์๋ ๊ฒ์ ๋ช ์ฌํด์ฃผ์ธ์ ๋์ด๋ ํ iframe์ HTML ๋ฌธ์ ์์์ ๋ ๋ค๋ฅธ HTML ๋ฌธ์๋ฅผ ์ถ๋ ฅํ๋ ํ๊ทธ๋ก, ์ด๋ ์์น๋ ์๊ด์์ด ์ธ์ ์ ๊ณต๊ฒฉ์ ํ ์ ์์ต๋๋ค. ๋ํ ๋ ๋ฆฝ์ ์ผ๋ก ๋ง๋ค ์ ์๊ธฐ ๋๋ฌธ์ HTML ์ธ์ ์ ์ค์์๋ ๊ณต๊ฒฉ์ ์์ฃผ ์ฌ์ฉ๋ฉ๋๋ค. ๋๋ณด๊ธฐ ํ์ด์ง ๋ด์ iframe ํ๊ทธ๋ฅผ ์ฃผ์ ํ๋ค. --> ์ฃผ๋ก ์ ์ฑ URL์ ์ฝ์ ํ ์ฌ์ด์ฆ๋ฅผ 0์ผ๋ก ์ค์ ํ์ฌ ์จ๊ธด๋ค. --> ์ฌ์ฉ์์๊ฒ ์๋์น ์๊ฒ ์ ์ฑ์ฌ์ดํธ๋ก ์ ์ํ๊ฒ๋ ํ๊ฑฐ๋, ๊ฒฝ๊ณ ์ฐฝ์ ๋์ธ..
2020.06.07 -
HTML injection-Reflected(Get)๋ฐฉ์์ ์ด์ด์, ์ค๋์ Reflected๊ธฐ๋ฒ ์ค POST๋ฐฉ๋ฒ์ ์ค์ตํด๋ณผ๊ฒ์ ์ค์ตํ๋ ๋ชจ๋ ๊ณต๊ฒฉ์ ์ค์ ๋ก ์ฌ์ฉํ์๋ฉด ์๋ฉ๋๋ค. ํ์ฉ๋ฐ์ง ์์ ์๋น์ค ๋์์ ํดํน์ ์๋ํ๋ ํ๋์ ๊ธ์งํ๋ฉฐ, ๋ชจ๋ ๋ฒ์ ์ฑ ์์ ์ฌ์ฉ์์๊ฒ ์๋ ๊ฒ์ ๋ช ์ฌํด์ฃผ์ธ์. ๋จผ์ ์ฌ์ดํธ์์ HTML injection - Reflected(POST) ํญ๋ชฉ์ ์ ํํด ์ฃผ์ธ์. ๋์ด๋๋ low๋ก ์ง์ ํด์ค๋๋ค. ๋์ด๋ ํ POST ํ์ด์ง๋ก ๋ค์ด์์ต๋๋ค. ์ ๋ฒ์ ์ค์ตํ GET๋ฐฉ์์ GET๋ฉ์๋๋ก HTTP ์์ฒญ์ ํ์๋ค๋ฉด, POST๋ฐฉ์์ POST๋ฉ์๋๋ฅผ ์ฌ์ฉํ์ฌ ๋ฐ์ดํฐ๋ฅผ ์ ์กํ๊ธฐ ๋๋ฌธ์ ์๋ฒ๋ก ์ ์กํ๋ ๋ณ์ ๊ฐ์ด URL์ ๋ ธ์ถ๋์ง ์์ต๋๋ค. ๊ทธ๋ ๊ธฐ ๋๋ฌธ์ ์ด๋ฒ ์ค์ต์ ๋ฒํ์ค์ํธ(Burp Suite)..
[Bee-box] HTML injection - Reflected(POST)HTML injection-Reflected(Get)๋ฐฉ์์ ์ด์ด์, ์ค๋์ Reflected๊ธฐ๋ฒ ์ค POST๋ฐฉ๋ฒ์ ์ค์ตํด๋ณผ๊ฒ์ ์ค์ตํ๋ ๋ชจ๋ ๊ณต๊ฒฉ์ ์ค์ ๋ก ์ฌ์ฉํ์๋ฉด ์๋ฉ๋๋ค. ํ์ฉ๋ฐ์ง ์์ ์๋น์ค ๋์์ ํดํน์ ์๋ํ๋ ํ๋์ ๊ธ์งํ๋ฉฐ, ๋ชจ๋ ๋ฒ์ ์ฑ ์์ ์ฌ์ฉ์์๊ฒ ์๋ ๊ฒ์ ๋ช ์ฌํด์ฃผ์ธ์. ๋จผ์ ์ฌ์ดํธ์์ HTML injection - Reflected(POST) ํญ๋ชฉ์ ์ ํํด ์ฃผ์ธ์. ๋์ด๋๋ low๋ก ์ง์ ํด์ค๋๋ค. ๋์ด๋ ํ POST ํ์ด์ง๋ก ๋ค์ด์์ต๋๋ค. ์ ๋ฒ์ ์ค์ตํ GET๋ฐฉ์์ GET๋ฉ์๋๋ก HTTP ์์ฒญ์ ํ์๋ค๋ฉด, POST๋ฐฉ์์ POST๋ฉ์๋๋ฅผ ์ฌ์ฉํ์ฌ ๋ฐ์ดํฐ๋ฅผ ์ ์กํ๊ธฐ ๋๋ฌธ์ ์๋ฒ๋ก ์ ์กํ๋ ๋ณ์ ๊ฐ์ด URL์ ๋ ธ์ถ๋์ง ์์ต๋๋ค. ๊ทธ๋ ๊ธฐ ๋๋ฌธ์ ์ด๋ฒ ์ค์ต์ ๋ฒํ์ค์ํธ(Burp Suite)..
2020.05.03