열공하는베짱이

IT&보안151

Linux Windows Log Linux 로그파일의 종류 메일에 관한 내용, 시스템 변경사항에 관한 정보, 시스템관리자에 의해서 가장 중요하게 다루어지는 로그!! xinetd의 로그파일입니다. cron 사용방법 1) 편집 : crontab -e 2) 확인 : crontab -l 3) 삭제 : crontab -d cron 설정 분[0-59] 시[0-23] 일[1-31] 월[1-12] 요일[0-7] 실행할 명령어 만약 * * * * * echo test 와 같이 적는다면 매 분마다 echo test가 실행되겠죠? cron 로그를 볼 수 있지요. 아직 로그보는 방법까지는 습득하지 못했습니다. dmesg명령어를 실행하면? 시스템이 부팅할 때 출력된 기록을 확인할 수 있습니다. 2019. 9. 27.
Puzzle #4: The Curious Mr. X 문제 다운로드 http://forensicscontest.com/puzzles Puzzles! – Network Forensics Puzzle Contest Here are links to the puzzles so far… Puzzle #1: Ann’s Bad AIM Puzzle #1 Answers and Winners Puzzle Contest #1 ran from 8/12/2009-9/10/2009 Puzzle #2: Ann Skips Bail Puzzle #2 Answers Puzzle #2 Winners Puzzle Contest #2 ran from 10/10/2009-11/22/2009. Puzz forensicscontest.com 4번부터 하는 이유는? ▶ 4번이 가장 쉽다고 해서.. 입.. 2019. 9. 25.
LOS 5번 wolfman Load of SQLinjection preg_match()를 보면 prob _ , () 와 space까지 필터링이 되어 있쥬? 그래서 space를 넣을 경우 "No whitespace ~_~"를 출력해줍니다. 그리고 id를 넣은 query의 결과는 'admin'이 되어야 하구요. 괄호가 ()와 같이 붙어있으면 필터링이 되지만 ( 내용 ) 2019. 9. 25.
LOS 4번 orc Load of SQLinjection 뒤에서 3번쨰 줄에 있는 내용을 보면 if(($result['pw']) && ($result['pw'] == $_GET['pw'])) solve("orc"); DB에 저장된 admin의 패스워드와 입력받은 패스워드가 동일해야 한다고 적혀있네요. if($result['id']) echo "Hello admin"; 중간에 이런 내용이 있네요? id가 admin이면 "Hello admin" 문자열을 출력해주네요? 이!! 말!! 은!! 장님공격(Blind SQL injection)을 하라는 말이네요. 눈감고 공격해볼까요? 먼저 id를 admin으로 만들어 볼까요? https://los.eagle-jump.org/orc_47190a4d33f675a601f8def32df2583.. 2019. 9. 24.
LOS 3번 goblin Load of SQLinjection preg_match() 내용을 보면 prob _ . , ( ) ' " ` 전부 필터링을 해놓았네요. /i는 대소문자 구분을 안한다는 말이구요. 완전 보안철저!! 그리고 id를 넣은 query의 결과는 'admin'이 되어야 하구요. 필터링으로 single quotation(')을 사용할 수 없으므로... char()함수를 이용해서 아스키 인코딩을 합니다. id가 'guest'인 no는 1이므로 no에 1이 아닌 값을 넣어주어야 합니다. 정답 더보기 https://los.eagle-jump.org/goblin_5559aacf2617d21ebb6efe907b7dded8.php?no=2 or id=char(97,100,109,105,110) 입력 시 결과 2019. 9. 22.
LOS 2번 cobolt Lord of SQLinjection 오답 https://los.eagle-jump.org/cobolt_ee003e254d2fe4fa6cc9505f89e44620.php?id=admin%27%20or%201=1%23 $query = "select id from prob_cobolt where id='{$_GET[id]}' and pw=md5('{$_GET[pw]}')"; $result = @mysql_fetch_array(mysql_query($query)); if($result['id'] == 'admin') solve("cobolt"); query변수에 sql문을 넣고 result변수는 sql구문을 넣고 실행하는 것을 말합니다. if문에 $result['id']는? get방식으로 얻어온 파라미터명이 .. 2019. 9. 22.
LOS 1번 gremlin Load of SQLinjection 정답 더보기 https://los.eagle-jump.org/gremlin_bbc5af7bed14aa50b84986f2de742f31.php?id=admin&pw=' or '1'='1 입력 시 결과 빅브라더스 https:// 포르노/불법사이트검열하겠다는데 어떻게 생각하시나요? 찬성하면 왜 찬성하나요? 반대하면 왜 반대하나요? 나쁜놈을 잡기위해 모두를 .... 2019. 9. 22.
Cross Site Script(XSS) 여러분은 무엇이든 잘 믿으시나요? 기왕이면 들은 것보다 직접 본 것을 믿는게 좋을 것 같아요. 들은 것은 그 사람의 MSG가 포함되어 있을 수 있으니!! 보이는 것도 만들어진 진실일 수 있기 때문에 어느정도의 합리적의심은 필요하겠죠 ...더보기 나조차도 못 믿는데..ㅠㅜㅡ,. [00:00] -> 내일 일찍일어나서 공부해야지... [11:00] -> zzZ.. 보안에서 위험1순위는 사람이라고 합니다. 근데 너무 의심이 많으면 살기 힘들 것 같네요.. 재고 따지지 않고 믿을 수 있는 사람을 만들어 보세요. 가벼운사람보다는 무거운 사람.. 고민을 말할 수 있는 사람.. 고민을 말해도 다른사람에게 말하지 않을 그런 가볍지 않은 사람.. 마지막으로 사회공학에 강한 사람... 그런 사람이 주변에 있으시다면 부럽습니.. 2019. 9. 20.
불충분한 세션관리 잠이 오지 않는다면? 평소에 시간이 없어서 못했던 취미활동을 해보세요. 음악도 듣고, 영화도 보고, 산책도 하고, 책?도 읽고, 재미있는 드라마도 정주행하고 저도 열공하는 베짱이라.. 공부도 해야하지만.. 음악도 듣고, 기타도 치고, 단! 노래부를 땐 혼자 코노도 갑니다. 혼자가는 이유는? 제가 못해서,, 도 있지만 주변사람들이 너어어어어어어무 잘해서 그래서 ... 세상에서 가장 슬픈 세가지 할 수 있었는데 했어야 했는데 해야만 했는데 랍니다..(Louis E. Boone) 나중에 하지 말고 여유가 조금 생기면 취미를 가지는 것도 좋은 것 같습니다. 1. cookie와 session 1) cookie란? [1] 클라이언트 로컬에 저장되는 키와 값이 들어있는 작은 데이터파일 입니다. [2] 뭐.. 이름, .. 2019. 9. 20.
command injection 누군가 울고있어요. 창문 밖에서.. 귀뚜라민가? 그래도 자동차 경적소리보다는 좋네요.. 유저는 사악하다고 합니다. 입력할 때 이상한 값을 넣지요. 명령어 삽입? 뭘까요?! command_injection (경로조작 및 자원삽입, 허가되지 않은 명령 실행) 1) 정의 공격자가 입력값 조작을 통해 시스템 자원에 임의로 접근하여 자원의 수정, 삭제, 정보누출, 서비스장애 등을 유발시킬 수 있는 취약점 입니다. 적절한 검증을 거치지 않은 사용자의 입력값에 의해 의도하지 않은 시스템 명령어가 실행되어 부적절하게 사용자 권한이 변경되거나 운영에 악영향을 줄 수 있습니다. 2) 시연 [영상1] command_injection 3) 대응방안 [1] command기능을 사용하지 않습니다. [2] 정 써야한다면? 화이트리.. 2019. 9. 20.
메모리 상에 있는 code영역을 수정하는 프로그램 오늘이 내일이 되었네요. 바쁜하루를 보내고 바람을 쐬고 다시 컴퓨터 앞에 앉았습니다. 메모리 상에 올라와있는 프로세스의 code영역을 수정하는 프로그램을 만들기 위해서는 주의해야할 사항이 있습니다. 빠밤!! 먼저 타짜: 원 아이드 잭을 보셨나요? 저는 개인적으로 재밌게 보았습니다. 금수저나 흑수저나 카드 7장 들고 치는건 똑같답니다. 단, 잘 조작(변조)했다면 정상적인거고 애매하게 조작하려다 걸리면 죽는거구,, 프로그램도 마찬가지라는 생각이 드는건 기분탓이겠죠? 하하.. 어쨋든 포커에서 포카드이상 나올 확률로 수정할 영역을 사용하고 있는 스레드가 존재할 수 있으므로 명령어 바이트코드의 실제크기를 감안하고 스레드 동기화를 통해 해당 영역을 수정해야 합니다. 스레드 동기화라고요? 낯설지만 소개를 해볼게요. .. 2019. 9. 18.
[웹 애플리케이션 취약점 이해 및 대응] 지친 하루의 끝에서 열공하는 베짱이가 되기 위해 한자한자 끄적여 볼까요? 왠지 웹 취약점 이해 및 대응이라고 쓰고 웹 해킹이라고 읽을 것 같네요.. 해커란? 위키백과 왈 "컴퓨터 전반, 특히 정보보안에 능통한 전문가" 라네요. 해킹이란? 다른 사람의 컴퓨터 시스템이나 통신망에 정당한 접근 권한 없이 접근하거나 허용된 접근 권한의 범위를 초과하여 침입하는 행위를 말합니다. 즉, 이후 시스템을 파괴하는 것을 크래킹이라고 말하지요. 왼손이 한 해킹을 오른손이 모르도록 해야겠죠? 1. 웹 사이트 변조를 하는 이유가 무엇일까요? (1) 돈!!이 되기 때문이겠죠? (2) 정치적인 신념을 드러내기 위해 하는 핵티비스트가 있고 (3) 또한 시스템해킹이나 네트워크해킹에 비해 공격하기 쉽습니다. 2. 웹 사이트에 로그인 .. 2019. 9. 17.

티스토리툴바