목록Pen Test (35)

Always-Try(정보보안 및 일상)

webhacking.kr - Challenge(old) - 7번

#1. 7번 1-1. 문제 1-2. 풀이 view-source를 클릭해보자. 이전 문제와 같이 끝 부분을 보면 solve(7) 이라는 함수가 있고, 그 바로 전 코드를 보면 data[0] = 2 일때 문제가 해결 된다는 것을 알 수 있다. 그리고 아래와 같이 GET 방식으로 val 값을 받고 있는데, 별다른 val 값이 없으면 val을 1로 설정해주고 있다. 그리고 preg_match 함수에 의해 val 값에서 특정 문자열들은 필터링 된다. 실제로 val에 2를 넣어봤더니, 필터링 된다. val에 2를 어떻게 넣을 수 있을까? 10진수가 아닌 값으로 넣을수도 있고, 사칙연산을 통해 넣을수도 있고, Char()함수에 할당된 문자열을 통해 넣을수도 있다. 숫자 2를 피하기 위해 아스키 값으로 2를 뜻하는 c..
Pen Test 2021. 3. 2. 18:00
OWASP-ZAP 사용 가이드 - 2. Active Scan

#1. Active Scan 1-1. Active Scan? 원하는 사이트에 자동으로 취약점 점검을 돌릴 수 있도록 하는 기능이다. 단, 이 기능은 허가되지 않은 사이트에 시도 시 불법으로 처벌 받을 수 있으니 꼭 자신의 테스트 환경에서만 시도하길 바란다. 1-2. 실행방법 간단하다. 사이트 트리에 Active Scan을 원하는 디렉토리를 우클릭 후 공격 > Active Scan을 실행하면 된다. 모드에 따라서 실행하는 Analyzer가 달라지지만 필자는 기본인 Standard Mode에서 실행했다. 그렇게 되면 아래와 같이 Active Scan이 실행되고 있는 것을 볼 수 있으며, 프로그레스바 왼쪽의 Show Scan Progress Detailed를 클릭해보면 어떤 것이 진행되고 있는지 확인할 수 있..
Pen Test 2021. 2. 27. 17:05
OWASP-ZAP 사용 가이드 - 1. Dirbuster (Spider)

#1. Dirbuster 1-1. Dirbuster? 디렉터리 구조((숨겨진 것 포함)를 파악할 수 있는 기능이다. 예전에는 OWASP disbuster 라고 별도의 툴이 있었던 것으로 보이지만, 최근에는 OWASP-ZAP 기능에 포함되어 있다. 1-2. 설치방법 www.zaproxy.org/download/ 에서 본인 환경에 맞는 설치 파일을 다운로드 받는다. OWASP ZAP As with all software we strongly recommend that ZAP is only installed and used on operating systems and JREs that are fully patched and actively maintained. www.zaproxy.org 설치 전 JRE와 J..
Pen Test 2021. 2. 27. 17:04
버프스위트 (Burp suite) 사용 가이드 - 3. HTTP History

본 게시글 Burp Suite Community Edition v2020.12.1 기준으로 작성되었으며, 인프런 '웹 서비스 해킹을 위한 버프스위트 완벽 활용 가이드'를 참고하여 작성했습니다. www.inflearn.com/course/boan_burpsuite/dashboardwww.inflearn.com/course/boan_burpsuite/dashboard #1. HTTP History 1-1. HTTP History? Burp suite 프록시로 캡처한 HTTP 트래픽에 대한 기록을 확인할 수 있는 메뉴이다. 프록시 동작에 대한 로그라고 봐도 될 것 같다. 1-2. HTTP History 부가 기능 Highright 기본적으로 이 화면에는 여러줄의 이벤트들이 있다. 더욱이 Intercept is..
Pen Test 2021. 2. 27. 17:04
Prev 1 2 3 4 5 6 7 8 9 Next