xml์ธ์ ์
-
์ด๋ฒ ํฌ์คํ ์ XML/Xpath Search injection์ ๋๋ค. ์ค์ตํ๋ ๋ชจ๋ ๊ณต๊ฒฉ์ ์ค์ ๋ก ์ฌ์ฉํ์๋ฉด ์๋ฉ๋๋ค. ํ์ฉ๋ฐ์ง ์์ ์๋น์ค ๋์์ ํดํน์ ์๋ํ๋ ํ๋์ ๊ธ์งํ๋ฉฐ, ๋ชจ๋ ๋ฒ์ ์ฑ ์์ ์ฌ์ฉ์์๊ฒ ์๋ ๊ฒ์ ๋ช ์ฌํด์ฃผ์ธ์. ๋์ด๋ ํ (owasp ๊ณต๊ฒฉ๋ถ๋ฅ ์ค) A1 ์ด ์ด์ ๋๋ฌ๋ค.ใ ใ ใ A1ํํธ์ ์ฃผ์ ๊ณต๊ฒฉ์ธ sql์ธ์ ์ ์ด ํจ๊ป ์์ด์ ๊ทธ๋ฐ์ง, los, webhacking...๋ฑ ๋ฌธ์ ์ ํจ๊ป ํ๋ฉฐ ์ด๋ฐ์ ๋ฐ ์ค์ต์ ํจ๊ป ํ๋๋ผ ์๊ฐ์ด ๋ ์ค๋ ๊ฑธ๋ ธ๋ ๊ฒ ๊ฐ๋ค. ์์ผ๋ก ๋น ๋ฅด๊ฒ ๋๊ฐ์ผ ๊ฒ ๋ค. xml/xpath injection (search) ๋ค์ด๊ฐ๊ธฐ! (A1 ๋ง์ง๋ง ์ค์ต์ ๋๋ค.) xmli_2.php ํ์ด์ง๋ ์ํ๋ฅผ ์ฅ๋ฅด๋ณ๋ก ๋ถ๋ฅํ์ฌ ์ํ ์ ๋ชฉ๋ง ํ ์ด๋ธ ํํ๋ก ์ถ๋ ฅํ๋ค. GET ๋ฉ์๋๋ก ์์ฒญํ๊ธฐ..
[Bee-box] XML/Xpath ์ธ์ ์ -Search์ด๋ฒ ํฌ์คํ ์ XML/Xpath Search injection์ ๋๋ค. ์ค์ตํ๋ ๋ชจ๋ ๊ณต๊ฒฉ์ ์ค์ ๋ก ์ฌ์ฉํ์๋ฉด ์๋ฉ๋๋ค. ํ์ฉ๋ฐ์ง ์์ ์๋น์ค ๋์์ ํดํน์ ์๋ํ๋ ํ๋์ ๊ธ์งํ๋ฉฐ, ๋ชจ๋ ๋ฒ์ ์ฑ ์์ ์ฌ์ฉ์์๊ฒ ์๋ ๊ฒ์ ๋ช ์ฌํด์ฃผ์ธ์. ๋์ด๋ ํ (owasp ๊ณต๊ฒฉ๋ถ๋ฅ ์ค) A1 ์ด ์ด์ ๋๋ฌ๋ค.ใ ใ ใ A1ํํธ์ ์ฃผ์ ๊ณต๊ฒฉ์ธ sql์ธ์ ์ ์ด ํจ๊ป ์์ด์ ๊ทธ๋ฐ์ง, los, webhacking...๋ฑ ๋ฌธ์ ์ ํจ๊ป ํ๋ฉฐ ์ด๋ฐ์ ๋ฐ ์ค์ต์ ํจ๊ป ํ๋๋ผ ์๊ฐ์ด ๋ ์ค๋ ๊ฑธ๋ ธ๋ ๊ฒ ๊ฐ๋ค. ์์ผ๋ก ๋น ๋ฅด๊ฒ ๋๊ฐ์ผ ๊ฒ ๋ค. xml/xpath injection (search) ๋ค์ด๊ฐ๊ธฐ! (A1 ๋ง์ง๋ง ์ค์ต์ ๋๋ค.) xmli_2.php ํ์ด์ง๋ ์ํ๋ฅผ ์ฅ๋ฅด๋ณ๋ก ๋ถ๋ฅํ์ฌ ์ํ ์ ๋ชฉ๋ง ํ ์ด๋ธ ํํ๋ก ์ถ๋ ฅํ๋ค. GET ๋ฉ์๋๋ก ์์ฒญํ๊ธฐ..
2020.09.19 -
์ด๋ฒ ํฌ์คํ ์ XML/Xpath์ธ์ ์ ์ ๋๋ค. ์ค์ตํ๋ ๋ชจ๋ ๊ณต๊ฒฉ์ ์ค์ ๋ก ์ฌ์ฉํ์๋ฉด ์๋ฉ๋๋ค. ํ์ฉ๋ฐ์ง ์์ ์๋น์ค ๋์์ ํดํน์ ์๋ํ๋ ํ๋์ ๊ธ์งํ๋ฉฐ, ๋ชจ๋ ๋ฒ์ ์ฑ ์์ ์ฌ์ฉ์์๊ฒ ์๋ ๊ฒ์ ๋ช ์ฌํด์ฃผ์ธ์. XML? XML์ W3C์์ ๊ฐ๋ฐ๋, ๋ค๋ฅธ ํน์ํ ๋ชฉ์ ์ ๊ฐ๋ ๋งํฌ์ ์ธ์ด๋ฅผ ๋ง๋๋๋ฐ ์ฌ์ฉํ๋๋ก ๊ถ์ฅํ๋ ๋ค๋ชฉ์ ๋งํฌ์ ์ธ์ด์ด๋ค. XML์ SGML์ ๋จ์ํ๋ ๋ถ๋ถ์งํฉ์ผ๋ก, ๋ค๋ฅธ ๋ง์ ์ข ๋ฅ์ ๋ฐ์ดํฐ๋ฅผ ๊ธฐ์ ํ๋ ๋ฐ ์ฌ์ฉํ ์ ์๋ค. (์ํค๋ฐฑ๊ณผ) * ํ ์คํธ ๊ธฐ๋ฐ์ด๋ฉฐ ๊ฐ๊ฒฐํ ๋ฐ์ดํฐํ์ด๋ค. * ์น์์ ๋์คํ๋ ์ด ํ์ค์ HTML๋ก ํ๊ฒ์ฒ๋ผ ๋ฐ์ดํฐ์ ํ์ค์ผ๋ก ๋ง๋ค๊ธฐ ์ํ ๋ ธ๋ ฅ์ด ์์. * ๋งํฌ์ ์ธ์ด(HTML)๊ฐ ์๋๋ผ ๋งํฌ์ ์ธ์ด๋ฅผ ์ ์ํ๊ธฐ ์ํ ์ธ์ด์ด๋ค. * ์์ ์ ์ดํ๋ฆฌ์ผ์ด์ ์ ์ ํฉํ๊ฒ ์์ฑ ๊ฐ๋ฅ ํ๋ค. ..
[Bee-box] XML/Xpath ์ธ์ ์ ์ด๋ฒ ํฌ์คํ ์ XML/Xpath์ธ์ ์ ์ ๋๋ค. ์ค์ตํ๋ ๋ชจ๋ ๊ณต๊ฒฉ์ ์ค์ ๋ก ์ฌ์ฉํ์๋ฉด ์๋ฉ๋๋ค. ํ์ฉ๋ฐ์ง ์์ ์๋น์ค ๋์์ ํดํน์ ์๋ํ๋ ํ๋์ ๊ธ์งํ๋ฉฐ, ๋ชจ๋ ๋ฒ์ ์ฑ ์์ ์ฌ์ฉ์์๊ฒ ์๋ ๊ฒ์ ๋ช ์ฌํด์ฃผ์ธ์. XML? XML์ W3C์์ ๊ฐ๋ฐ๋, ๋ค๋ฅธ ํน์ํ ๋ชฉ์ ์ ๊ฐ๋ ๋งํฌ์ ์ธ์ด๋ฅผ ๋ง๋๋๋ฐ ์ฌ์ฉํ๋๋ก ๊ถ์ฅํ๋ ๋ค๋ชฉ์ ๋งํฌ์ ์ธ์ด์ด๋ค. XML์ SGML์ ๋จ์ํ๋ ๋ถ๋ถ์งํฉ์ผ๋ก, ๋ค๋ฅธ ๋ง์ ์ข ๋ฅ์ ๋ฐ์ดํฐ๋ฅผ ๊ธฐ์ ํ๋ ๋ฐ ์ฌ์ฉํ ์ ์๋ค. (์ํค๋ฐฑ๊ณผ) * ํ ์คํธ ๊ธฐ๋ฐ์ด๋ฉฐ ๊ฐ๊ฒฐํ ๋ฐ์ดํฐํ์ด๋ค. * ์น์์ ๋์คํ๋ ์ด ํ์ค์ HTML๋ก ํ๊ฒ์ฒ๋ผ ๋ฐ์ดํฐ์ ํ์ค์ผ๋ก ๋ง๋ค๊ธฐ ์ํ ๋ ธ๋ ฅ์ด ์์. * ๋งํฌ์ ์ธ์ด(HTML)๊ฐ ์๋๋ผ ๋งํฌ์ ์ธ์ด๋ฅผ ์ ์ํ๊ธฐ ์ํ ์ธ์ด์ด๋ค. * ์์ ์ ์ดํ๋ฆฌ์ผ์ด์ ์ ์ ํฉํ๊ฒ ์์ฑ ๊ฐ๋ฅ ํ๋ค. ..
2020.08.29