본문 바로가기

자기계발

SQL Injection -Part2 -1 ExplotiTech: System Table Fingerprinting 1.intro 범죄 현장에 있어 증거를 수집하고 부석하는 것은 수사의 핵심이다. 범죄 현장에서 발견할 수 있는 증거 중 하나인 지문은 사람이 가지고 있는 고유 정보로 수사를 해결하기 위한 열쇠이다. 지문은 영단어로 핑거프린트(fingerprint)이며 해당 단이는 모의 해킹에서도 등장한다. 모의 해킹은 penetration Testing Execution Standard (PTES0에 의하면 총 일곱 가지 단계로 구성되어 있다. 이는 체계화된 방법으로 모의 해킹을 수행할 수 있도록 돕는다. 처음 과정을 살퍼보면, 먼저 공격 대상을 지정하고, 대상의 정보를 수집한다. 이때, 대상의 정보를 수집하는 과정을 핑거프린팅이라고 한다. 정보 .. IT/웹해킹 2023. 1. 26.
1/25일 현재 개강까지 한달 정도 남았다. 개강 이전에는 mbti 사이트를 배포 바로 전 까지 완료하고, mt 및 ot, 개강 이벤트 등을 모두 끝마치고 개강을 맞이하고 싶었다. 모든게 계획대로 진행되면 좋겠지만, 늘 변수는 존재한다. 대게 변수는 내가 아닌 나의 외부에서 발생한다. 이번에 가장 큰 걸림돌들을 키워드별로 분석을 하고 적어보며 하나하나 격파해보고자 작성한다. keyword 1) mbti 사이트 개발 학회장 당선때부터 기획을 하였고, 자료수집을 하며 꾸준히 계획 중이었던 일이다. mbti 사이트를 직접 만들기 위해서 html, js, css 를 간략하게 공부했고, mbti 사이트 즉 Seed는 완성이 되었다. Seed라고 표현한 이유는 정말 작동이 가능하게만 만들어놨다는 의미이다. 나름 학과 특색에 .. 나의 일상/21대 과 학생회장 2023. 1. 25.
SQL injection -4
SQL injection -4 Error & Time based SQL Injection 1. Intro application이 어떻게 동작하는지에 따라서 SQL Injection 공격 형태가 달라진다. 예를 들어 게시판 서비스에서 해당 취약점이 발생하면 게시물의 제목, 본문을 이용해 데이터 베이스이 정보를 획득할 수 있다. 이는 SQL 쿼리가 실행되는 결과를 공격자가 직접 눈으로 확인할 수 있다. 이와 달리 쿼리 결과를 애플리케이션의기능에서 출력하지 않는 경우도 있는데, 이러한 상황에서 공격을 수행하는 Error based SQL injection과 TIme based SQL Injection이 파생됬다. 이들은 취약점 발생 형태는 동일하나 공격 성공 여부를 어떻게 판단하냐에 따라 명칭이 구분된다. 2.Error based SQL .. IT/웹해킹 2023. 1. 25.
SQL injection-2
SQL injection-2 SQL Features 1.Intro 데이터 베이스는 손 쉽게 접근 할 수 있도록 다양한 문법을 지원한다. 예를 들어, 조회할 때 두개 이상의 쿼리문을 함께 실행하여 두 조건을 모두 만족하는 데이터를 가져 올 수 있다. 이러한 문법은 개발자가 데이터를 접근하는데 있어 편리함을 가져다 주지만 공격자 입장에서는 더욱 다양한 조건으로 원하는 데이터를 검색할 수 있다. 이렇게 파생된 공격 기법은 이후에 자세히 다루며, 이번에는 SQL에서 여러개의 쿼리를 사용하여 데이터를 검색하는 방법과 애플리케이션이 반환하는 결과값을 통해 데이터를 유추하는 방법에 대해 배워 보겠다. 2.UNION union은 다수의 SELECT 구문의 결과를 결합하는 절이다. 해당 절을 통해 다른 테이블에 접근하거나 원하는 쿼리 결과를 생성해.. IT/웹해킹 2023. 1. 24.
SQL injuection -1
SQL injuection -1 SQL DML 1. intro SQL에는 Data Definiton Language (DDL), Data manipulation Language(DML), Data Control Language(DCL) 총 세가지의 질의 언어를 제공한다. 이번 시간에는 세 가지 중 DML에 대해 알아볼 건데, DML은 데이터베이스에서 데이터를 조회, 추가, 삭제, 수정을 수행하는 구문이다. 우리가 웹 서비스에서 이용하는 대두수의 기능은 DML을 통해 처리한다 해도 과언이 아닐 정도로 가장 많이 사용된다. DML 구문을 사용하는 목적과 형태를 알고 있다면 SQL injection 공격을 보다 쉽고 빠르게 이해 할 수 있다. 2.DML (1)SELECT select는 데이터를 조회하는 구문이다. 아래는 공식 홈페이지의 구문.. IT/웹해킹 2023. 1. 24.
Web 해킹 이해하기 이번 1월달 기본 목표였던 web hacking에 대해 전반적인 이해를 하는 것이 목표였다. 이에 무작정 인터넷 조사를 해본 결과 dreamhack 이란 사이트가 꽤나 잘 맞을 것 같아 배우면서 느낀 것들을 정리 해볼까 한다. 우선 web hacking에 대해서는 기본적으로 인터넷 구조에 대해서 이해를 요한다. html, css, js, python 등 다양한 언어에 대한 전반적인 이해를 바탕으로 해야 한다. 나는 이 부분에서는 그럭저럭 이해를 하고 있다고 굳게 믿었다. 작년 8월 혼자공부하는 python 책을 독학하였고, 이번 web해킹에 대해 본격적으로 공부하기 전 이번년도 학생회 이벤트에 사용할 웹 사이트를 하나 만들어 보았기에 이 정도면 뭐 괜찮겠지 하고 기고 만장한 상태로 시작하였다. 내가 가장.. IT/웹해킹 2023. 1. 19.
무작정 웹해킹 공부해보기 나만의 인사이트를 적어보고자 했는데, 작년 하반기부터 현재까지 바쁘게 지내 이제와 그동안 해왔고 현재 하고있는 것들을 정리 해보려고 한다. 글의 날짜에 따라서 시간순으로 진행되는 것이 아닌, 당분간은 중간중간 생략되는 부분도 많을 것이나 추후 과거의 이야기가 다 채워진다면 굉장히 짜임새 있는 서사를 만들어 보겠습니다. 무작정 웹해킹 공부하기. 이 글을 적는 시점은 웹해킹을 공부하기 시작한지 7일차이다. 그동안 해왔던 것들 부터 차례로 업로드 할 예정이다 끝까지 포기하지 않길 바라며 오늘도 홧팅 IT/웹해킹 2023. 1. 10.
무작정 시작하는 IT 공부 때는 2022년 8월 경찰시험 직후로 거슬러 올라간다. 경찰시험 이후 굉장한 난이도로 인해 시험이 끝난 이후에도 후유증이 길었다. 내가 이 경찰이 되더라도 정말 보람을 느끼며 일을 할 수 있을까? 현 사회에서 가장 지적받는 매너리즘에 빠진 경찰이 되버리진 않을까, 라는 수많은 고민을 통해 학과 공부를 하면서 가장 흥미가 있었던 정보보안에 관한 법률이 문득 떠올랐고. 무작정 공부를 시작해보기로 한다. 첫 시작은 혼자서 공부하는 Python 책 한권을 사서 독학을 해보기로 한다. IT/혼공파(혼자 공부하는 Python) 2023. 1. 10.

티스토리툴바