SEC_JH

공통점 쿠키와 세션은 서버와 클라이언트가 통신을 할 때 마다 인증을 유지하기 위해 사용 차이점 1. 저장 위치의 차이 쿠키 : 클라이언트에 파일로 저장 세션 : 서버에 저장 세션은 서버에서 관리하기 때문에 로그 관리가 용이 2. 보안의 차이 쿠키 : 생성 시에 만료기간을 설정하여 브라우저 종료 시에도 만료시간 종료까지 쿠키 정보가 살아있어 재사용이 가능함. 세션 : 생성 시에 만료기간을 설정하지만 브라우저 종료 시 파기됨으로 재사용이 불가능함. + 브라우저 종료 시 쿠키를 파기시키는 방법을 찾아봤으나 beforeunload, unload 등이 있지만 브라우저 종료와 새로고침 링크 클릭 시 다 반응함으로 적절하지 않음. activeX로 구현이 가능하지만 세션 설정보다 구현이 까다로움.

정보보안 2022. 8. 2. 22:45

XSS(Cross Site Scripting) 웹 서비스에 스크립트를 삽입하여 공격자가 의도한 스크립트를 실행시키는 공격입니다. 공격 방식 1. Stored XSS 웹 서버에 스크립트를 삽입하여 공격을 진행합니다. 삽입된 스크립트는 데이터베이스에 저장이되며 스크립트가 삽입된 페이지를 방문 시 마다 공격을 당하게 됩니다. Stored XSS는 Reflected XSS 공격 방식 처럼 링크를 클릭하도록 유인할 필요가 없어 더 위험합니다. 2. Reflected XSS URL 파라미터를 통해 스크립트를 삽입하여 공격을 진행합니다. URL 입력을 누르도록 유도하여 공격을 진행합니다. URL 파라미터를 통해 입력한 값이 응답 내 노출될 경우 공격의 가능성이 높아집니다. 3. DOM-based XSS 클라이언트 측..

정보보안 2022. 7. 29. 22:18

Open Redirect 취약점 페이지를 이동시키는 요청에 대해 기존에 삽입된 URL이 아닌 공격자가 삽입한 URL로 이동시키는 취약점. 공격 방법 1. 페이지를 이동시키는 요청 URL이 존재. EX) https://www.example.com?URL=www.example.com/login 2. URL 파라미터 내 공격자가 개설한 웹사이트를 삽입. EX) https://www.example.com?URL=www.attacker.com 3. 2번의 URL 입력 시 www.attacker.com 로 이동. ※ 해당 예시는 실제로는 공격이 안되며, 이해를 돕기 위해 작성했습니다. 대응 방안 - 1 페이지를 이동시키는 파라미터에 대해서 도메인을 화이트 리스트로 검증. 화이트 리스트에 등록된 도메인이 아닐 경우 ..

정보보안 2022. 7. 26. 21:43

CTF 해킹 대회 준비 및 모의해킹 연습을 위한 사이트를 추천하려고합니다. vulnhub 입니다. 해당 사이트에는 취약한 가상 이미지가 업로드되어 있습니다. 가상 이미지를 다운로드 받은 뒤 실행시킨 후 부터 문제의 시작입니다. 다들 다양한 사고를 통해 문제를 해결하시기 바랍니다. https://www.vulnhub.com/ Vulnerable By Design ~ VulnHub According to information from our intelligence network, ICA is working on a secret project. We need to find out what the project is. Once you have the access information, send them to u..

해킹/CTF 2022. 7. 25. 20:46

네이버 댓글을 자동 수집하는 프로그램을 만들어보려고합니다. 글의 맨 하단에 전체 코드 적어놨습니다. 코드만 필요하신분은 하단으로 내려가서 코드를 참고하시길 바랍니다. 해당 코드의 크롬 드라이버 자동 업데이트 부분과 네이버 자동 로그인의 경우 하기 URL 참고 하시면 되겠습니다. https://nanjang12.tistory.com/2 셀레니움 - 크롬드라이버 자동 업데이트 준비물 1. 크롬 2. 파이썬 Chorme 드라이버 버전 확인 셀레니움을 이용하기 위해서는 chrome_driver 필요합니다. chrome_driver를 이용하기 위해서는 chrome 브라우저의 버전과 chrome_driver의 버전이 동일해야 nanjang12.tistory.com https://nanjang12.tistory.co..

개발/파이썬 2022. 7. 18. 22:33

셀레니움은 ID, Class 이름을 통해 Element를 찾고 Click 이벤트 등을 통해 자동화를 구현할 수 있음. 1. 네이버 창을 접속 2. 화살표 버튼 클릭 3. NAVER 로그인을 클릭 후 나오는 Class를 확인 4.아이디 입력 폼 확인 (id) 5. 패스워드 입력 폼 확인 (pw) 6. 로그인 버튼 폼 확인 (log.login) import chromedriver_autoinstaller from selenium import webdriver from selenium.webdriver.common.keys import Keys import time # 크롬 드라이버 버전이 다를 경우 실행이 안되기때문에 버전을 맞춰줘야한다. # 자세한 내용은 https://nanjang12.tistory.co..

카테고리 없음 2022. 7. 14. 22:34

1. 위협(Theat) - 허락되지 않은 접근, 수정, 노출, 파손 등이 존재 - 위협의 주체는 외부 해커 또는 내부자가 될 수 있음 2. 취약점 - 실제로 공격 구현이 가능한 오류 - 즉, 위협에 이용이 되는 대상 3. 위험 - 위협과 취약점의 활용도, 보호 대책에 따라 생길 수 있는 손실에 대한 가능성 - 위협 x 자산 x 취약성으로 표현 예를 들어서, 해커가 SQL Injection 공격을 통해 A 쇼핑몰의 회원 정보를 탈취를 한 상황입니다. 위협의 주체인 해커는 SQL Injection이라는 취약점을 통해 정보 노출이라는 위협을 가했습니다. + 여기서 위험은 A 쇼핑몰의 회원 정보를 해커가 탈취 할 수 있는 가능성입니다.

정보보안 2022. 7. 7. 20:52

탈옥에 사용된 기종 - 아이폰 7 ( iOS 14.6 ) 탈옥에 앞서 checkra1n을 구동시킬 수 있는 상황을 만들어야 합니다. Checkra1n 기동 Case 1. MacOS의 경우 하기 URL에 접근해서 macOS를 다운로드하여 실행시켜줍니다. https://checkra.in/releases/ All Releases Jailbreak for iPhone 5s through iPhone X, iOS 12.0 and up checkra.in Case 2. 윈도우 환경일 경우에는 부팅 USB를 만들어야 합니다. 만드는 방법은 하기 URL 참고 https://www.cocosenor.com/articles/iphone-ipad/2-ways-to-make-checkra1n-jailbreak-usb-fla..

해킹/모바일 2022. 6. 30. 20:59