목록Burp Suite (3)

처음 만나는 클라우드 보안

사전 공격(Dictionary Attack) 실습

이번 포스팅에선 사전 공격에 대해 알아보고 DVWA의 타깃 계정에 대한 암호를 알아낸다. 사전 공격(Dictionary Attack)이란? : 사전 대입 공격이라고도 불리며, 암호를 알아내기 위해 사전의 단어를 순차적으로 입력하는 공격 기법을 말한다. - 테스트 입력 후 패킷 확보 : 공격대상 서버인 DVWA에 우선 테스트 계정을 입력한다. Burp Suite를 실행하여 해당 패킷을 수집한다. - 사전 업로드 후 공격 시작 : 해당 암호 입력 패킷을 Intruder에 입력, 준비된 사전(Dictionary)을 업로드하여 공격을 시작한다. - 계정 정보 확인 : Burp Suite의 응답 길이를 통해 ‘charley’가 패스워드임을 알 수 있다. - 로그(log) 확인 : 사전의 암호 값을 계속해서 대입하..
정보보안 2022. 5. 17. 13:01
WebDav취약점을 이용한 백도어 해킹실습

WebDav취약점을 이용한 백도어 업로드 WebDav란? (Web-based Distributed Authoring and Versioning) : 웹을 기반으로 웹서버에 파일을 조회, 수정, 이동, 삭제할 수 있는 확장된 HTTP 프로토콜을 말한다. 설정이 간단하고 접근 제어가 용이하지만, 악성코드(웹쉘)가 업로드될 수 있어 웹서버 보안에서 꼽히는 취약점 중 하나이다. 1. Kali의 'Cardever'도구 활용 아래 cardever명령어로 공격대상 서버 IP로 해당 백도어 업로드 cadaver http://192.168.5.130/dav/ // 공격 대상 서버 WebDav에 연결 > put 업로드 // 대상 파일 업로드 2. Burp suite 활용 공격대상 서버의 Local proxy 설정, Bur..
정보보안 2022. 5. 11. 20:01
SQL 인젝션(Injection)이란? 해킹실습과 대응방안

이번 포스팅에선 대표적인 해킹 기법인 'SQL Injection'에 대해 알아보고, 이를 이용한 해킹을 실습한다. SQL Injection이란? : 공격자가 보안상의 취약점을 이용하여 임의의 SQL 쿼리 문을 주입하여 데이터베이스가 비정상적으로 작동하여 공격자에게 중요한 정보를 가져오게 하는 해킹 기법을 말한다. OWASP TOP10 에서도 수년간 1순위로 꼽히는 치명적인 보안위협이다. [환경구축] https://cloudinfosec.tistory.com/26 SQL Injection 실습을 위한 환경 구성하기 (with Win7 server) cloudinfosec.tistory.com 1. 로그인 우회 (Login Bypass) : 아이디와 패스워드 없이 SQL 쿼리 구문으로 로그인한다. 로그인 창..
정보보안 2022. 5. 10. 00:08
Prev 1 Next