Webhaking27 [Webhaking.kr] old 24번 24번 문제이다. 아래의 화면처럼 'client ip'와 'agent' 옆을 보니 사용자의 환경을 뜻하는 것이도고, 'client ip'는 난수가 들어가있는 것처럼 보였다. 그리고 'Wrong IP!'까지 현 화면에서는 문제를 풀 수 없는 것들만 보였다. 처음 화면에서는 아무것도 발견할 수 없었다. 따라서 'view-source'에 들어가서 소스코드를 확인해보기로 했다. 아래 화면은 24번 문제의 소스코드이다. 문제를 풀기 위해서는 쿠키 하나를 추가시켜줘야 한다. "EditThisCookie"라는 확장 프로그램을 이용해서 'REMOTE_ADDR'를 추가시켰다. REMOTE_ADDR에 값을 넣어서 ip 값을 127.0.0.1이 출력되게 하려면 "112277...00...00...1"을 넣어주면 된다. 쿠키.. 2021. 9. 29. [웹 방어 레시피] 5장, 요청 데이터 분석 요청 데이터 수집 인바운드 요청 데이터에 대해 보안 분석을 하기 전에 모든 데이터 요소에 제대로 접근할 수 있는지 확인해야 한다. 웹 서버의 기본 로깅 설정인 공통 로그 포맷(Common Log Format)으로 캡처된 제한된 데이터를 떠올릴 것이다. 어떠한 잠재적인 공격 경로를 놓치지 않으려면 모든 요청 데이터에 적절한 가시성을 가지고 있는지 확인해야 한다. 예를 들어 모든 요청 헤더 데이터 또는 요청 바디에 접근할 수 없다면 공격을 놓칠 수도 있다. '오류 발생 시 개방(Falt Open)'이라는 개념은 시스템이 오류가 발생하는 경우 데이터의 전달을 허용하는 것으로 심각한 보안 문제다. 레시피 5-1, 요청 바디 접근 이 레시피는 다양한 유형의 요청 바디(Request body) 콘텐츠에 접근할 수 .. 2021. 3. 7. [웹 방어 레시피] 4장, 평판 및 서드파티 연관성 클라이언트가 사이트에 최초로 접속할 때 클라이언트에 대한 정보를 미리 알 수 있다면 좋지 않을까? 어디서 왔는가, 그리고 웹사이트에서 무엇을 하길 원하는가. IP 주소는 사람이 아닌 컴퓨터를 위한 정보다. DNS가 IP 주소를 이해하기 쉬운 이름으로 매핑하는 데 도움을 주고자 만들어진 것처럼, 컴퓨터의 IP 주소를 기반으로 한 위치 정보 서비스(GeoOP) 주소 변환은 실제 클라이언트의 물리적인 위치에 대한 매우 중요한 정보를 제공할 수 있다. 우리는 클라이언트가 웹사이트와 상호작용하는 것을 바탕으로 로컬 위협 프로파일을 만들 수 있으며, 애플리케이션으로 로그인할 경우 알려진 사용자로 매핑할 수 있다. 이는 평판 시스템의 개념을 제공해준다. 의심스러운 소스 식별 클라이언트의 지리적인 위치를 식별하는 것은.. 2021. 2. 27. [웹 방어 레시피] 3장, 독을 품은 폰(해커 트랩) 우리는 애플리케이션 내부에 대해 아는 바 없이 공격자로부터 웹 애플리케이션을 보호해야 한다. 이와 같은 정보가 없다면 정상적인 트래픽의 홍수에 숨어있는 악의적인 행위를 식별하기는 어려울 것이다. 정상적인 사용자가 웹 애플리케이션을 어떻게 사용하는지 이해하면, 공격자가 이와 같은 사용 프로파일에서 벗어날 때 알아낼 수 있다. 불행히도 대부분의 조직인 악의적인 행위를 식별하기 위해 시그니처 기반의 탐지 시스템을 사용하려고 한다. 만약 모든 정상적인 사용자의 트래픽을 제거하도록 설정할 수 있다면 비정상적인 트래픽만 남게 될 것이다. 이는 우리가 허니트랩이라고 부를 허니팟의 개념을 제공해준다. 허니트랩의 개념 허니팟 시스템이 실제 대상처럼 행동하도록 네트워크에 배포하는 별도의 호스트를 말한다면, 허니트랩은 웹 .. 2021. 2. 27. [웹 방어 레시피] 2장, 취약점 확인 및 개선 웹 애플리케이션이 공격자들에게 아무런 인지 가치를 제공하지 않기에 잠재적 공격 대상이 아닐 것이라 생각할 수 있지만, 이는 잘못된 생각이다. 신원 도용 및 사기를 위한 조직들은 여러분 고객들의 신용카드 데이터를 노리고 있으며, 이런 정보는 전자 상거래 사이트에 때때로 부적절한 방식으로 저장돼 있게 마련이다. 악성코드 제작 그룹들은 대규모 고객층을 감염 대상으로 삼고, 이 과정에서 우리의 웹사이트를 배포지로 활용하려 할 것이다. 또한 핵티비스트들은 서비스 거부 공격으로 웹사이트를 마비시키려 할 것이다. 이와 같은 배경으로 알게 된 가장 신중한 대응 방법은 공격자가 공격하기 전에 모든 취약점을 발견하고 개선하는 것이다. 보안 테스터 및 방어자는 정상적으로 동작하고 있는 웹 애플리케이션과 상호작용하는 동적 분.. 2021. 2. 20. [웹 방어 레시피] 1장, 애플리케이션 요새화 첫 단계는 반드시 보호해야 하는 현재 웹 애플리케이션을 분석하고 방어 능력을 향상시키는 '애플리케이션 요새화'다. [ 레시피 1-1, 실시간 애플리케이션 프로파일링 ] 이 레시피는 예상되는 요청의 특징에 대한 학습된 프로파일을 만들기 위해 ModSecurity의 루아 API를 이용해 HTTP 트랜잭션을 분석하는 방법을 보여준다. 예상되는 요청의 속성에 대한 레시피 이 절에서는 우리의 웹 애플리케이션에 대해 입력 값 검증 화이트리스트 또는 보안 모델을 동적으로 생성하는 방법을 개념적으로 보여준다. 생성된 이후에는 외부의 보안 계층을 통해 애플리케이션의 중요한 요소에 대한 규칙을 적용하고, 정책을 위반하는 비정상적인 요청을 식별할 수 있게 한다. 이 레시피는 각각의 애플리케이션 자원에 대해 다음과 같은 요청.. 2021. 2. 20. 이전 1 2 3 4 5 다음
