본문 바로가기

해킹&보안/웹 & 앱

웹 해킹 실습
해킹&보안/웹 & 앱 2025. 1. 8. 웹 해킹 실습 로그인 폼이 있는 것을 확인할 수 있었습다 당연히 로그인 폼이 나와있으니 아무 값이나 넣어서 진행을 해봤습니다당연히? 틀렸다고 나옵니다 요청을 하게 되면이런식으로 응답을 하는 것을 확인할 수 있었습니다  JS코드를 봅시다코드 해석사용자가 입력한 id와 pw 값이 동일한지 확인하는데 만약 같다면, 경고창이 뜨고 id와 pw 입력란을 비우며 다시 입력하도록 유도합니다. 값이 다른 경우에는 폼이 제출되도록 구성되었습니다  ↓ ↓상세 설명 ↓ ↓ 더보기 var id = document.web02.id.value;와 var pw = document.web02.pw.value;는 웹 폼의 id와 pw 필드 값을 변수에 저장 if ( id == pw ) 조건문은 id와 pw가 동일한지를 확인 동일할 경우 경고창이 뜨..
FTP 보안
해킹&보안/웹 & 앱 2024. 9. 21. FTP 보안 FTP1. 하나의 호스트에서 다른 호스트로 파일을 복사하기 위해 TCP/IP에 의해 제공되는 표준 기능이다.2. 호스트 간에 두 개의 연결을 설정한다는 점에서 다른 클라이언트 서버 응용들과 다르다.3. 하나의 연결은 데이터 전송을 위해 / 다른 하나는 명령과 응답 등의 제어 정보를 위하여 사용한다. FTP 로그인 순서와 인증1. USER 명령을 통해 사용자명을 전송하여 어떤 사용자가 접근을 시도하는지 확인한 후 PASS명령을 통해 사용자의 비밀번호를 전송한다2. 서버는 DB에서 사용자명과 비밀번호를 대조해서 접근을 시도하고 있는 사용자가 서버에 접근할 권한이 있는지 확인한다. FTP 연결FTP Active Mode(능동) / FTP Passive Mode(수동)  FTP Active Mode(능동)특징F..
상태 코드 확인 및 변경 (실습)
해킹&보안/웹 & 앱 2024. 9. 15. 상태 코드 확인 및 변경 (실습) 상태 코드는 Express에서만 결정하는 것만이 아니라 웹 애플리케이션의 개발자가 결정할 수도 있다.요청하는 파라미터가 서버가 정한 형식과 맞지 않으면 잘못된 요청 정보의 상태를 브라우저에 전달할 수 있다.  // (routes/api.js)router.get("/", (req, res) => { let message = req.query.message; //추가 res.send({ message }); //수정});api.js의 GET 라우팅에 쿼리 스트링 message의 값을 받는 코드를 추가한다res.send함수의 인수로 message변수를 설정하도록 수정한다서버를 재시작하고 http:/ /localhost:3000/api/?message=hello로 접속하면 아래와 같이 표시된다/..
GET / POST로 데이터 전송하기 (실습)
해킹&보안/웹 & 앱 2024. 9. 14. GET / POST로 데이터 전송하기 (실습) HTTP서버는 미리 생성해놨으며, HTTP 통신으로 데이터를 송수신하는 API를 구현해볼 것이다. 서버는 경로와 HTTP 메서드에 따라 작업의 분기 처리가 가능하다.GET /api 요청을 보내면 /api 경로에 대한 GET 작업을 처리한다.POST /api는 같은 경로에 대해 POST작업을 처리한다처리 경로를 선택하는 과정을 routing(라우팅)이라고 한다//routes/api.jsconst express = require("express");const router = express.Router();router.get("/", (req, res) => { res.send({ message: "Hello" });});module.exports = router;Express를 불러온 뒤 라우팅용 객체..
메타데이터
해킹&보안/웹 & 앱 2024. 9. 6. 메타데이터 본 블로그의 정보는 공부 목적입니다. 허가 없이 어떠한 공격, 악용하는 경우 모든 법적 책임은 사용자 본인에게 있습니다.메타데이터다른 데이터를 정의하고 기술하는 데이터우리가 흔히 볼 수 있는 카메라에는 메타데이터라는게 존재합니다. 이 메타데이터 안에는 카메라 모델, 촬영 날짜 및 시간, 셔터 속도, 조리개 값, ISO 감도, 노출 보정, 해상도, 색 공간, 이미지 크기 등 많은 정보들을 포함합니다 즉, 사진만 보내는게 아니라 사진 속에 있는 정보들도 같이 주고 받습니다.직접 정보들을 확인해보겠습니다. 방금 카메라로 책상을 찍고 카톡으로 나에게 보낸 후 다운받았습니다.exiftool로 해당 사진의 정보를 확인해보겠습니다. 휴대폰 카메라로 찍었더니 파일 이름, 파일 크기, 제조사, 카메라 모델, 날짜와 시간..
웹 실습
해킹&보안/웹 & 앱 2024. 8. 21. 웹 실습 본 블로그의 정보는 공부 목적입니다. 허가 없이 어떠한 공격, 악용하는 경우 모든 법적 책임은 사용자 본인에게 있습니다.문제"할로윈 파티를 위해 호박을 준비했고 10000번 클릭해서 flag를 얻어라"html을 들어가니까 호박과 함께 10000번을 누르라는 문구가 나와있다. 호박을 9번 클릭하니 하나씩 감소하는 것을 확인했다.↓ ↓ 한번한번 클릭해서 플래그를 얻기에는 힘들기에 소스코드를 찾아봤다. click the pumpkin to make a jack-o-lantern! ..
모의해킹 실습1 [비밀 관리 서버 침투]
해킹&보안/웹 & 앱 2024. 8. 10. 모의해킹 실습1 [비밀 관리 서버 침투] 본 블로그의 정보는 공부 목적이며 가상환경에서 진행하였습니다. 허가 없이 어떠한 공격, 악용하는 경우 모든 법적 책임은 사용자 본인에게 있습니다.어느 한 일당의 비밀관리 서버라고 한다.침투 대상의 IP는 10.10.194.168(나중에 아이피가 10.10.185.84 로 바뀜)ICMP 패킷을 20번 보내보고 네트워크 상에서 접근 가능한지 확인해보니 접근 가능할 것 같다.  nmap으로 어떤 포트가 열려있는지 확인해보니 22번, 80번 포트가 있고 둘 다 열려있는 것을 확인했다 22번, 80번 포트를 대상으로 아래와 같은 기능을 하는 옵션을 활용했다 ( 좀 더 자세한 정보)ㅤ1 어떤 서비스가 실행 중인지, 서비스의 버전 정보 파악2 기본 스크립트 실행으로 추가적인 정보 수집3 핑을 생략하고 직접 스캔 수행..

티스토리툴바