웹 해킹17 웹 해킹 11 [2024.07.29] [File Inclusion] 바로 실습을 진행하기 위해 해당 경로에서 rfi.php라는 파일을 생성했다 파일 안에 해당 내용을 입력 후 저장 Kali Linux의 IP 주소를 넣고 rfi.php를 입력하면 해당 화면이 뜨는 것을 테스트했다 그 상태에서 해당 경로로 입력 후 이동하게 되면 상단에 이렇게 passwd 파일이 출력된다 경로 조작 취약점은 웹 애플리케이션이 사용자 입력을 통해 파일 경로를 지정할 때,악의적인 사용자가 상위 디렉토리로 이동하는 ../ 시퀀스를 사용하여 원래 의도된 파일이 아닌시스템의 민감한 파일을 열람하거나 접근할 수 있는 취약점이다 이번에는 Security 레벨을 medium으로 설정하고 진행 레벨에 변동을 줬지만 그래도 정상적으로 출력.. 2024. 7. 30. 웹 해킹 10 [2024.07.26] [Command Execution] > Level: Low > ||, |, &&, &, ;(세미콜론)> ping -c 3 || ls -l> ping -c 3 ; ls -l> ; > Level: Medium > |, ||, &> ping | ls -l> ping || ls -l > ping -c 3 & ls -l> ping -c 3 | ls -l> ping -c 3 || ls -l> ping -c 3 || cat /etc/passwd > 1 || ls -l> 1 | ls -l> 1 || cat /etc/passwd > | ls -l> || ls -l> & ls -l> & cat /etc/passwd 이번 시간에는 Command Execution의 연장선으로 수업을 시작했다어제와 .. 2024. 7. 26. 웹 해킹 9 [2024.07.25] 01. Brute Force Attack 오늘은 Kali Linux의 burpsuite로 실습을 진행한다 첫화면에서 Next, 그 다음은 시작을 눌러 주면 실행된다 zaproxy에서의 브레이크 기능과 같은 게 intersept라고 보면 되고,현재 실습을 진행할 때는 proxy를 사용하게 된다 proxy의 proxy settings를 눌러 주면 이런 화면이 나타나는데현재로써는 자동으로 설정값이 부여되어 있는 상태로 확인할 수 있다 그런 다음 firefox로 dvwa를 접속하게 되면 이렇게 접속 기록을 스캐닝이 진행되며,스캐닝이 완료된 건에 접근이 가능하다 해당 dvwa 페이지는 웹 취약 서버이다 Brute Force Command Execution File Inc.. 2024. 7. 26. 웹 해킹 8 [2024.07.24] [웹 취약점 스캐닝] 01. Path Traversal> 경로 조작 취약점 http://192.168.10.57/mutillidae/index.php?page=%2Fetc%2Fpasswd *%2F의 경우 %는 /의 슬래시를 뜻한다 오늘의 웹 취약점 스캐닝 진행을 위해 Metasploitable2를 실행시키고 로그인한다 그런 다음 Kali Linux의 firefox를 열어 metasploitable2의 IP 주소를 넣고 접속한다접속하게 되면 로그인 창이 나오는데아이디는 admin 비밀번호는 password다접속하고 DVWA를 눌러 주게 되면 아래와 같은 화면이 나온다 해당 화면에서 DVWA Security -> low로 변경 후 Submit 선택 zaproxy를 실.. 2024. 7. 25. 웹 해킹 7 [2024.07.23] [Web Server 취약점 스캔 및 제거] > 취약점 1: /manual/images/: Directory indexing found.> 파일명: /etc/httpd/conf.d/manual.conf > 취약점 2: /icons/: Directory indexing found.> 파일명: /etc/httpd/conf.d/autoindex.conf > 취약점 3: /manual/: Web server manual found.> 파일명: /etc/httpd/conf.d/manual.cof > 취약점 4: /icons/README: Apache default file found.> 파일명: /etc/httpd/conf.d/autoindex.conf 오늘도 이전 시간에 이어서 취.. 2024. 7. 23. 웹 해킹 6 [2024.07.22] 01. 정보 수집 1) 사용 도구: whatweb > 웹 서비스 정보 수집 도구> 웹 사이트 식별, 콘텐츠 관리 시스템, 블로그 플랫폼,통계 분석, JAVA Script, 웹 서버 등의 웹 인식 기술> 웹 서버의 버전, 헤더 등의 정보 수집> 1000개 이상의 플로그인을 제공 2) 웹 서버 스캐닝 > 상세 정보 수집#wharweb 192.168.10.50 -v > IP 대역별 스캐닝#whatweb 192.168.10.0/24 -v > IP 대역별 스캐닝(오류 메시지 제거)#whatweb --no-errors 192.168.10.0/24 -v > IP 대역별 스캐닝(오류 메시지 제거)#whatweb --no-errors --url-prefix https://192.168.10.50 .. 2024. 7. 22. 이전 1 2 3 다음
