이번 포스팅은 'Change Secret' 입니다. 실습하는 모든 공격은 실제로 사용하시면 안됩니다. 허용받지 않은 서비스 대상에 해킹을 시도하는 행동은 금지하며, 모든 법적 책임은 사용자에게 있는 것을 명심해주세요. 난이도 하 페이지 접속! 이 페이지는 비밀번호 힌트를 새로 설정하는 기능을 제공한다. 새로운 힌트를 입력란에 경고창으로 출력하는 스크립트 코드를 입력한다. ex) 입력 후 change버튼을 클릭하면 성공적으로 힌트가 변경되었다고 알려준다. 비밀번호 힌트를 확인할 수 있는 페이지로 이동해서, 입력 한 스크립트 코드가 실행되었는지 확인해보자. SQL인젝션의 LoginForm 페이지에서 로그인 하면 비밀번호 힌트를 출력한다. 페이지에 접속 후 로그인 하면 힌트를 출력한다. 비밀번호 힌트를 변경한..

이번 포스팅은 'Stored-XSS(Cross-Site Scripting)' 입니다. 실습 진행 전, XSS가 무엇인지 정확히 짚고 넘어가보겠습니다. 실습하는 모든 공격은 실제로 사용하시면 안됩니다. 허용받지 않은 서비스 대상에 해킹을 시도하는 행동은 금지하며, 모든 법적 책임은 사용자에게 있는 것을 명심해주세요. 크로스사이트 스크립팅 크로스사이트 스크립팅(Cross-Site Script)취약점은 웹 사이트에서 입력데이터가 적절한 값인지 검사하지 않고, 웹 브라우저를 실행할 때 발생한다. 공격자는 입력 데이터에 스크립트 코드를 입력하여 세션 정보를 탈취하는 것부터 사용자를 악의적인 사이트로 이동하게 하거나, 악성 프로그램을 강제로 다운로드 하게 한다. XSS 종류는 스크립트 코드 입력에 따라 저장된 XS..

xss(크로스 사이트 스크립트)에 대한 설명은 아래에 블로그 글을 참고해주세요 https://lucete1230-cyberpolice.tistory.com/23?category=840794 이 실습은 xss취약점이 존재하는 사이트에서 실습하였습니다. (직접 구축했어요) 취약점이 있다고 아무 곳에서나 실습하시면 절대! 안됩니다. 공격에 대한 설명과 개요 등 자세한 내용은 나중에 차차 bee-box와 그 외 실습들을 하며 자세히 다룰 것이기 때문에, 설명을 제외하겠습니다. 1. 사이트 구축 --> 사이트는 기본적으로 게시판기능을 가지고 있어야함. 글쓰기, 글읽기, 글목록보기. 2. php 코드 작성 대강 get방식으로 전해지는 쿠키값을 파일로 만들어 저장 할것인데, w말고 a를 써준이유는 이어서 계속 coo..