Information Security

OS command Injection - 취약한 변수를 이용하여 시스템 명령어를 주입하고 운영체제 접근하는 공격이다. Level (Low) OS command injection에서 Lookup 버튼을 눌러 리눅스 DNS 정보를 확인했다. 리눅스 명령어 ls를 입력하면 DNS lookup ls로 인식하여 오류가 나는 것을 알 수 있다. ; ls를 입력하면 DNS lookup; ls 인식하여 정보를 확인할 수 있다. Level (Medium) Level (Medium)은 그림 1-2와는 다르게 오류가 보여주는 것을 알 수 있다. 파이프(|)를 이용해 DNS lookup | ls를 입력해 정보를 확인할 수 있다. Level (High) Level (High)은 DNS lookup ;ls 입력하면 오류 메시지를..

HTML 인젝션 - Reflected(Get) - 취약한 매개변수에 악의적인 HTML 코드를 삽입하는 공격 - HTML 태그로 악의적인 사이트에 연결하거나 악성 파일 다운로드하도록 유도 Level (Low) 이번에는 스크립트 언어 123, 123 을을 입력했다. 태그가 해석되면서 결과 값을 보여준다. Reflected는 클라이언트가 서버에 영향을 주는 게 아니라 클라이언트에게 영향을 주는 것을 알 수 있다. 이번에는 쿠키 값을 불러왔다. 경고창에 cookie 값을 보여주는 것을 알 수 있다. Level (Medium) 그림 1-1 처럼 난이도 중에서 데이터를 입력했다. 그림 1-2와는 다르게 스크립트 언어가 그대로 보여주는 것을 알 수 있다. 스크립트 언어가 어떻게 입력되는 지를 확인하기 위해 소스코드를..