본문 바로가기

2025/04/29

Local Authority
해킹&보안/공격 실습 2025. 4. 29. Local Authority 이번 문제는 그냥 웹 사이트 내에서 flag값을 찾으면 될 것 같습니다바로 접속해보겠습니다 이번에도 로그인 창이 뜨는걸 확인했습니다 당연히 로그인이 되진 않겠지만 일단 무작정 넣어봅니다Usename 입력 : adminPassword 입력 : 1234 로그인에 실패한걸 확인했습니다 소스코드를 확인해보겠습니다로그인창의 코드 소스를 확인해보면 Secure Customer Portal Only letters and numbers allowed for username and password. Login 이렇게 나옵니다 아래로 내려가다보면 입력값을 검증하는 로직이 있을 것으로 예상되는 login.php 파일이 보입니다뭐든 해봐야하니 저 ..
WebDecode
해킹&보안/공격 실습 2025. 4. 29. WebDecode 이번에 풀어볼 문제인데 제목부터 디코드라는 워드가 들어간걸보니 무언가를 디코딩하면 문제가 해결될 것 같은 느낌입니다 우선 웹으로 접속을 해보니 HOME, ABOUT, CONTACT라는 3개의 페이지로 구성되어있었고 내용만 봐서는 아무 정보도 얻을 수 없었습니다. 사이트 내용으로는 아무것도 못했으니 웹 소스코드를 확인해보겠습니다 ▼ ▼ ▼ HOME.html ▼ ▼ ▼ 더보기 Home About Contact Keep searching page. Don't give up!!! Cop..
웹 쿠키 조작을 활용한 플래그 추출
해킹&보안/공격 실습 2025. 4. 29. 웹 쿠키 조작을 활용한 플래그 추출 PICO 쿠키값 관련 web 문제간단히 요약하면 Cookie Monster가 웹사이트 어딘가에 비밀 쿠키 레시피를 숨겼으니웹사이트를 분석해서 그 숨겨진 레시피를 찾아내는 문제입니다. 사이트 접속을 하니 로그인 입력 폼이 떴고 당연히 Username, Password에 값을 넣어서 Login을 눌러봤습니다Username 입력값 : adminPassword 입력값 : 1234 브라우저의 쿠키를 확인하거나 조작해보라고 하네요쿠키값을 확인해보라고 하니 쿠키 값을 확인해보겠습니다 쿠키가 하나 들어있는 걸 확인했는데 이게 flag값은 아닌 것 같고 무언가를 인코딩한 것 같습니다인코딩은 보통 데이터를 사람이 읽을 수 없는 형태로 감추거나 웹 전송을 위해 자주 사용하는 방식이기에 base64 디코딩을 진행해봤습니다..
SSTI
해킹&보안/공격 실습 2025. 4. 29. SSTI SSTI(Server-Side Template Injection) 취약점 정리SSTI(Server-Side Template Injection)는 웹 애플리케이션의 서버 측 템플릿 렌더링 엔진에서 발생하는 취약점으로, 사용자가 입력한 데이터가 템플릿 엔진 내에서 코드로 실행될 수 있는 상황에서 발생합니다. 이 취약점은 공격자가 악의적인 템플릿 코드를 삽입하여 서버 측에서 원하지 않는 명령을 실행하거나 민감한 정보를 노출시키는 등 심각한 보안 문제를 초래할 수 있습니다SSTI 발생 원인SSTI는 사용자의 입력값이 템플릿 엔진에 그대로 전달될 때 발생합니다. 템플릿 엔진이 입력값을 코드로 처리하는 특성 때문에, 입력값에 악의적인 템플릿 코드가 포함되면 서버에서 이를 실행하게 되어 보안 취약점이 생깁니다공격 방..

티스토리툴바