Techbrad

이전 포스팅에서 리눅스의 Pam을 사용하여 root계정 임계치 설정을 진행하였다. [Linux] SSH Brute Force 보안 - root 계정 원격 접속 차단 및 포트 변경 (CentOS7) 이전 포스팅에서 리눅스 CentOS7 기준으로 root의 계정을 찾기 위한 Brute Force를 진행하였다. 리눅스 Brute Force Attack 파이썬 구현 및 확인 Brute Force Attack 시스템을 해킹하기 위해서는 사용하는 여러가. techbrad.tistory.com 계정에 대한 임계치 설정과 더불어 IP를 통한 접근제어를 진행하는 방법을 알아보고자 한다. TCP wrapper을 활용하면 서비스에 접근하는 IP를 설정할 수 있다. /etc/hosts.allow, /etc/hosts.deny..

CSRF 공격이란 사용자의 권한으로 공격자가 원하는 행위를 수행하게끔 하는 것이다. 즉 공격자는 서버가 사용자(브라우저)를 식별할 때 사용하는 세션이나 쿠키를 이용하여 사용자인 척하고 서버에 요청을 보내는 것이다. 따라서 서버는 요청이 공격자 또는 사용자로부터 온 것인지 판단하지 못하여 모두 정상적인 응답을 하게 된다. 예를 들어 사용자가 A 사이트에 로그인을 하고 공격자가 심어놓은 ‘비밀번호 변경 링크’를 클릭하였다고 가정하자. 공격자는 사용자의 세션 혹은 쿠키를 알고 있는 상태에서 ‘비밀번호 변경 링크’를 서버에 보낸다. 서버는 요청을 수신하고 공격자가 원하는 패스워드로 사용자의 패스워드를 변경하게 된다. DVWA 사이트를 이용해 사용자의 권한으로 공격자가되어 패스워드를 변경해보자. 보안 레벨을 Lo..

Union sql injection은 Uinon 함수를 이용하여 원하고자 하는 정보를 조회하는데 사용된다. 예를 들어 select 절 Union select 절 처럼 두개의 조회 절을 합쳐서 출력하고자 할때 사용한다. [WEB] DVWA 사이트를 이용한 Form SQL Injection 1. Form SQL Injection Form은 검색하려는 데이터를 입력하는 HTML의 구조이다. User ID에 1을 입력하면고 Submit을 누르면 http://서버IP/vulnerabilities/sqli/?id=1&Submit=Submit URL로 요청을 하게된다. 이.. techbrad.tistory.com 위에 글에 나와있는 대로 하자면 SELECT first_name, last_name FROM users ..

1. Form SQL Injection Form은 검색하려는 데이터를 입력하는 HTML의 구조이다. User ID에 1을 입력하면고 Submit을 누르면 http://서버IP/vulnerabilities/sqli/?id=1&Submit=Submit URL로 요청을 하게된다. 이후 id라는 키값에 1이라는 값이 입력되어 $id라는 변수에 할당되고 아래와 같이 쿼리의 where절에 있는 $id에 1이 입력이 되는 구조이다. $id = $_REQUEST[ 'id' ]; $query = "SELECT first_name, last_name FROM users WHERE user_id = '$id';"; Form SQL Injection은 쿼리 문의 where 절을 무력화 시키는 방법이다. 아래와 같이 쿼리를 작..