해킹보안 검색 결과

해당 글 91건

[D+8] XSS (Cross Site Scripting)

8. XSS (Cross Site Scripting) 1) XSS ▣ XSS란?- 해커가 실행하고자 하는 스크립트를 삽입하여 웹 어플리케이션에서 순수하게 제공되는 동작외에 부정적으로 일어나는 액션- 다른 기법과 큰 차이점은 공격의 대상이 Server가 아닌 Client다. - 태그값을 쓰면서 발생하는 문제!- 대상이 불특정 다수의 클라이언트이므로 형태가 정형화 되어있음. ▣ 피해- 웜, 바이러스 배포- 세션 재사용 공격 (너의 쿠키를 줘! --> 세션 초기화 적용으로 인해 현재는 잘 되지않음)- CSRF 공격 (XSS와 같은 형태의 공격이나 대상이 Server임)- 피싱공격 2) XSS 실습 공격 원리 (세션 재사용) 1. 게시물에 스크립트 등록2. 사용자 및 관리자가 스크립트 게시물 열람3. 게시물을 ..
해킹&보안/웹 해킹&보안 2017. 5. 15. 23:03

[D+8] OWASP TOP 10

7. OWASP TOP 10 1) OWASP TOP 10 - 국제 웹 보안 표준기구로 정기적으로 웹 해킹 위협의 동향을 발표 - 3년마다 발표를 하였으나 2016년에는 하지 않고 2017년에 새로이 발표를 함.- 한글 번역판은 구글링을 하면 찾을 수 있음. 2) SANS TOP 20 - 보안 연구 및 교육으로 유명한 SANS에서 해마다 FBI에 제출하는 보안취약성 보고서. 3) 국정원 8대 취약점 - 국가 사이버 안전센터에서 국내 각 기관에서 홈페이지 해킹에 많이 악용되었던 취약점 8종을 선정. # 8대 취약점1. 디렉터리 리스팅 취약점2. 파일 다운로드 취약점3. 크로스 사이트 스크립트 취약점4. 파일 업로드 취약점5. WebDAV 취약점6. 테크노트 취약점7. 제로보드 취약점8. SQL Injecti..
해킹&보안/웹 해킹&보안 2017. 5. 15. 21:42

[D+7] 정보수집

6. 정보수집 1) 정보수집 종류 ▣ 구글링(=구글해킹) : 키워드를 통해 검색하여 원하는 정보를 얻어냄.▣ 기본정보(IP, port) - IP : ping, WireShark, nslookup- port : nmap, WireShark, nc(netcat)▣ 응용 프로그램 종류 및 버전 (취약점)▣ 운영체제 종류 및 버전 (취약점)- ping, putty로 접속이 가능하면 확률적으로 리눅스라 유추, nmap, 도메인 대소문자 섞어썼을 때 에러발생 시 리눅스라 유추.▣ 웹 스캔- paros spider 등▣ 웹 구조 분석 (수작업) : 팝업창이 많이 뜨면 스캐너 사용이 불가함.- 할 수 있는 모든 버튼을 눌러라.▣ DB 정보 ====> 빨간 색 : 수동분석(결과가 사람마다 다름) 2) 구글해킹 ▣ 키워드..
해킹&보안/웹 해킹&보안 2017. 5. 12. 21:36

[D+6] Session & Cookie

5. Session & Cookie 1) 정의 ▣ Session - 사전적 의미 "시간" --> 연결된 상태- 통신 연결에서 두 개체의 활성화된 접속을 의미. ▣ Cookie- Web cookie, tracking cookie 또는 cookie라고 부름.- web 상에서 사용자 식별, 사용자 정보유지, 세션 유지 등에 사용됨.☞ 로그인 후 사용자 정보를 쿠키에 담아 현재 사용자가 누구인지 파악가능함.☞ 팝업 창의 '오늘 하루 안 보기' 도 쿠키를 이용하여 저장해두고 하루동안 띄우지 않음.☞ 오늘 본 상품 및 광고 또한 쿠키를 이용. 2) Cookie (차이점 중요) ▣ Persistent Cookie- 브라우저를 종료해도 사용자의 하드드라이버에 저장되어 있음.- 삭제시기 : 만료시기(expiration ..
해킹&보안/웹 해킹&보안 2017. 5. 10. 20:47

[D+5] Encoding

4. Encoding 1) Encoding이란? ▣ 인코딩이란?- 내용은 같으나 데이터의 형태를 바꾸는 방식.- 데이터 길이를 줄이는 용도 (현재는 많이 사용되지 않음)- 암호화로는 사용 불가 (100% 디코딩 됨) ▣ 인코딩 종류- 동영상 인코딩- 언어 (문자인코딩)- 메타문자의 안전한 전송 2) 언어 Encoding ▣ ASCII- 미국 정보교환 표준 코드 (American Standard Code for Information Interchange) - 1바이트 중 7bit를 이용해서 0에서 127까지 128개의 문자를 구성한 코드- 128개의 문자는 영어 알파벳 대문자, 소문자, 보조문자(특수기호), 제어문자로 구성.- 영문 알파벳을 사용하는 대표적인 문자 인코딩 방법- URL에서 사용됨.- 아스키..
해킹&보안/웹 해킹&보안 2017. 5. 8. 20:25

[D+4] 웹 언어

3. 웹 언어 1) Web Language ▣ Static HTML- HTML : Hypertext Markup Language, 태그로 이루어진 언어- 컴파일하지 않고 그대로 읽음. ▣ SSS : 서버에서 사용하는 언어 / 소스코드 보이지 않음 (= 우회가 어려움) - ASP & ASP.NET : 절차지향적, 대소문자 구분 X (대기업에서 자주 사용)- PHP : 중소기업에서 자주 사용- JSP : 공공기관에서 자주 사용- 아무런 설정도 되어있지 않을 때의 보안 수준 순서(강한순) --> 설정하면 다 비슷비슷☞ JSP > PHP >>>>> ASP☞ JSP : war 파일로 압축되어 존재. (여러개의 파일보다 하나의 파일을 보호하는게 더 쉬움)☞ PHP : 무료라서 많은 이용자들이 사용하니 피드백이 좋음..
해킹&보안/웹 해킹&보안 2017. 5. 1. 19:40

[D+3] 웹 프록시

2. 웹 프록시 1) 프록시란? ▣ 사전적 의미- Proxy : 대리, 대리인, 중계- Proxy Server : Proxy 기능을 제공하는 서버 ▣ 활용- 익명으로 컴퓨터를 유지- 캐시를 사용하여 리소스로의 접근을 빠르게 하기 위해 (부하분산) ☞ 웹 서핑이나 동영상을 보는 서비스는 프록시 서버에서 처리해줌.☞ 로그인과 같은 중요 정보를 비교해야 할 때만 서버가 DB를 비교 후 클라이언트가 직접 서버와 연결함.☞ 프록시 서버를 미러서버 라고도 부름.- 보안 및 통제를 뚫고 나가기 위해 (방화벽 우회) - 전달에 앞서 악성코드를 목적으로 전달된 콘텐츠를 검사하기 위해 ☞ 리버스 텔넷에서 봤듯이 해커가 방화벽을 직접 뚫지 못하니 밖으로 나오도록 유도를 하는데 메일 서비스를 이용하여 유도하는 경우가 많다. ..
해킹&보안/웹 해킹&보안 2017. 5. 1. 01:08

[D+2] 웹 구조의 원리 (2)

1. 웹 구조의 원리 4) HTTP Message(Client) ▣ Method ▣ 버전 별 지원 Method- HTTP/0.9 : GET- HTTP/1.0 : GET, POST, HEAD- HTTP/1.1 : GET, POST, HEAD, OPTIONS, PUT, DELETE, TRACE, CONNECT☞ CONNECT -- keep-alive-- close 클라이언트 서버 : 메시지를 주고 받으면 연결을 종료.But. 받은 메시지 안에 내용이......이라면 위의 img정보를 얻어오기 위해 해당 주소랑 다시 연결. img 정보를 받으면 연결이 끝나는데이 때 다시 로 거슬러 올라가서 다시 내려오면서 읽기 시작함. --> 시간이 오래걸림.==> 이를 해결하기 위해 CONNECT로 keep-alive인지 ..
해킹&보안/웹 해킹&보안 2017. 5. 1. 00:29