무기는 끈기

XSS 공격기법을 사용하다보면 다양하게 막아놓은 것을 찾을 수 있다. 그럼에도 불구하고 이런저런 우회 기법을 사용하여 공격할 수 있기에, 해당 공격들에 방어하기 위해선 어떤 우회 방법이 있고 어떻게 우회할 수 있는지를 알아야 한다. 이번 글에선 XSS 우회 트릭을 몇가지 살펴보려고 한다. - script Tag 길이 제한된 경우 - script 단어 필터링 된 경우 - img Tag 활용(Event Handler 활용) - XSS in href - script Tag 내에서 XSS 발생하는 경우 - svg 등 다양한 태그 활용 - XSS in input 하나하나 살펴보도록 하자. - script Tag 길이 제한된 경우 script Tag 안에 들어가는 글자수를 제한 해놓은 경우는 아래처럼 우회할 수 있..

웹 해킹 분야엔 다양한 공격 기법이 있다. 세계에서 늘(거의) 1위를 차지하는 공격 기법은 바로 SQL Injection 이다. 이유는 대부분의 곳이 DB를 사용하기도 하고, 가장 쉽게 치명상을 입힐 수 있는 취약점이기 때문이다. 식별/인증은 동시로 관리하기도 하고, 분리해서 관리되기도 한다. (식별/인증 관련 내용 링크 참고: https://yubi323.tistory.com/70) 이번 글에선 식별/인증 동시 쿼리문에서 인증 우회를 하는 경우 중 ID만 알고 있는 케이스에 대해 간단하게 살펴볼 것이다. (추후 다양한 쿼리문 주입해보는 게시글 따로 업로드 예정) 인증 우회(Authentication Bypass) - 식별/인증 동시 케이스 SELECT * FROM member WHERE id='___..

정말 이렇게 바쁠 수가 있나,, 싶은 직장인 모드로 지내며 간신히 수업만 라이브로 들으며 살았다. 회식하다가 오후 9시에 뛰쳐나와서 카페에 들어가 수업을 들은 적도 있다. 과제를 하거나 정리를 하기에도 툴 하나 설치하고, 서버 하나 구축하는 첫 시작조차 어려워 몇주를 헤맸다. 드디어 한 달이 지나갔고, 다음달이 되었다. 부끄럽게도.. 이제야 1주차 웹 개발 과제를 진행하는 중이다. 몇번이나 시도해봤지만 M1 맥북 에어에 가상머신 설치도, 제대로 작동하는 우분투 리눅스 설치도 어려워서 몇번을 깔았다, 지웠다 했다. 구글링도 유튜브도 수십번을 뒤적여보고, ChatGPT에게 물어봐가며 겨우겨우 Apache 웹 서버와 PHP 언어와 MySQL을 설치했다. 요즘은 회사에 한 시간 일찍 출근하여 파이썬 수업을 듣고..

웹 해킹을 제대로 배워보고 싶어 공부를 시작했다. 그러나 그 전에 웹 개발을 할 줄 알아야 했다. 해킹에 대한 공부를 지속하면서 선생님께서 주신 웹 해킹을 하기 전, 하기 위해, 하면서 꼭 알아야 하는 개발 가이드라인에 따라 웹 개발을 독학해보기로 했다. 우선 선생님께서 어떤 언어, 어떤 데이터베이스를 사용해야 할지에 대한 가이드를 주셨다. 처음엔 'PHP + MySQL'을 사용해서 웹 사이트를 만들어 보라는 말에 무조건 그렇게 알고 시작했다. 이후 해킹 수업의 디스코드의 질문답변 채널과 수업 시간에 다른 학생분들이 질문하는 걸 듣고 다른 선택지들도 있었다는 것을 처음 알게 되었다.. 나는 말 그대로 생 초짜라서 어떤 질문을 해야 하는지도 모르는 바로 그 상태였던 것이다. 그렇게 무작정 필기를 시작했다...

파이썬 기본 자료형 살펴보기 사전 자료! 헤매다가 성공~