무기는 끈기

공지 사항 게시판에 글 작성 (XSS 1과 동일) 특수문자 출력 테스트 contents 부분에 특수문자가 그대로 출력됨을 확인 -> contents 부분에 공격 스크립트 삽입 3. 공격 스크립트 삽입 공격 스크립트: kkkk Request: body 부분에 공격 스크립트 삽입 1이 쓰여있는 alert 뜸 4. XSS 공격 성공 1이 쓰여있는 alert 뜸 = 스크립트가 제대로 동작하여, XSS 공격이 성공했다는 걸 알려줌 -> ‘공지 사항’ 글쓰기 페이지 내용 부분에서 XSS 취약점 찾음

특이점: 필터링이 되어 있는 것으로 확인됨 공지 사항 게시판에 글 작성 (상단의 XSS 1과 동일) 특수문자 출력 테스트 (상단의 XSS 1과 동일) XSS 공격 코드 삽입 삽입 스크립트: kkkkalert(1) 4. 필터링 우회 방법 모색 필터링 된 단어: script, alert 대체 단어: script -> scscriptript alert -> prompt 수정한 공격 스크립트: kkkkprompt(1) 버프 스위트 요청 및 응답 확인 수정한 코드가 제대로 동작함을 확인 브라우저 출력 1이 쓰여있는 prompt 뜸 5. XSS 공격 성공 1이 쓰여있는 prompt 뜸 = 스크립트가 제대로 동작하여, XSS 공격이 성공했다는 걸 알려줌 -> ‘공지 사항’ 글쓰기 페이지에서 XSS 취약점 찾음

마이페이지 url 파라미터 변경 바로 출력되는 모습 ?user=aa 1) 브라우저 출력 2) 버프 스위트 출력 ?user=bb 1) 브라우저 출력 2) 버프 스위트 출력 2. 특수문자

챙겨 보고 있는 티오리의 '노베이스 해킹 입문' 시리즈가 올라왔다! 퇴근길에 보면서 집가서 빨리 실습해야지.. 했다. 이번 주제는 '리버싱'이다. 사실 해킹 분야에서 가장 관심 있는 분야라 영상 알림 받고 소리지를 뻔했다. IDA 해킹 툴을 이용한 실습이라서 더 즐거웠다. https://youtu.be/cOxQK4Gxmq4?si=FaLTFzDk9XC28ORy 동욱님이 생각보다 너무 잘하셔서 노베이스 맞아?! 하고 의심스러웠다 ㅋㅋㅋㅋ 다훈 쓴배림 정말 설명도 잘해주시고 늘 다정한 선생님이 되어주셔서 감동입니다.. 자주 올려주세요ㅠ 아무튼 IDA Pro는 천만원이 넘는 초고가의 기업용 툴이기에 가난한 나는 IDA Free 를 사용한다. 툴 다운로드 받는 곳은 하단의 링크 참고 https://hex-rays..

말로만 듣던 워게임을 드디어 직접 해보기로 했다. 예전엔 가입하는 것부터가 문제를 풀어야만 가입할 수 있는 형태였다고 들었는데,, 이 사이트가 아닌가? 맞는데 아마 방식이 변경된 것 같다. 웹해킹.kr 이 사이트도 그동안 운영자가 바뀌고 오래된 문제나, 잘못된 문제들이 수정되면서 이런저런 변화가 있었다고 들었다. 처음 접속해서 개인적으로 좀 좋아하는 해커분이 랭킹 10위에 올라있는 것을 보고는 의지를 불태웠다. 비록.. 오늘이 처음이었지만요.. 아무튼 old-01 첫 문제를 풀었다. 풀이 방식도 잘 모르는 상태라 가장 상단에 있는 15번을 클릭했더니 계속 경고 팝업으로 [ access denied ] 가 떠서 음 내가 무슨 접근 권한이 없나? 좀 기다려서 권한을 받고 게임을 시작할 수 있나? 생각했다.ㅋ..