웹해킹 실습2 [ Bee-Box ] 기타 Injection - OS 커맨드 injection OS command Injection? OS 커맨드 인젝션이란 취약한 변수로 시스템 명령어를 주입하여 서버 운영체제에 접근하는 공격입니다. 보통 웹 페이지에서 서버의 시스템 쉘을 호출할 때 관리자가 의도한 명령어가 아닌 다른 명령어를 주입하여 서버의 정보를 알아냅니다. 여기서, 쉘이라는 개념이 익숙하지 않으신 분들을 위해 잠시 쉘을 간단하게만 설명하고 가겠습니다. Shell? 쉘이란 사용자에게 입력받은 명령어를 기계어로 번역하여 커널에게 전달하는 명령어 해석기입니다. 커널과 사용자를 이어주는 일종의 매개체라고도 볼 수 있습니다. OS 커맨드 인젝션은 공격자가 취약한 변수에 악의적인 코드나 명령어를 삽입하면 서버가 악의적인 코드를 실행하거나 명령어를 입력한 결과를 출력하는 흐름으로 진행됩니다. OS com.. 2020. 3. 30. [ Bee-Box ] HTML Injection - Reflected(GET) HTML 인젝션이란? HTML 인젝션은 일종의 코드 인젝션 공격입니다. HTML 인젝션의 기법은 크게 두가지로 나뉩니다. 반사(Reflected) 기법 저장(Stored) 기법 반사(Reflected) 기법 HTML 인젝션 - 반사기법은 URL에 악의적인 HTML 태그를 삽입해서 링크를 클릭한 사용자의 PC에서 HTML 태그가 실행되게 하는 공격입니다. 저장(Stored) 기법 HTML 인젝션 -저장기법은 악의적인 HTML 태그를 데이터베이스에 저장해서 저장된 태그 내용을 확인한 사용자의 PC에 HTML태그가 실행되게 하는 공격입니다. 반사기법 vs 저장기법 반사기법과 저장기법의 가장 큰 차이점은 악의적인 HTML 태그의 삽입 위치입니다. 반사기법은 URL에 태그를 삽입하고, 저장기법은 데이터베이스에 삽.. 2020. 3. 27. 이전 1 다음
