Security/SecureCoding(233)
-
WebGoat Version
Version 두 가지 버전이 있으며 각 문제(Lesson)에서 사용자는 WebGoat application 안에 실제 존재하는 취약점에 대한 보안이슈를 실습하게 됩니다. Standard vs Developer Standard웹 취약점 확인 및 모의해킹 수행DeveloperStandard + 소스코드 수정Standard/ Developer버전 모두 사이트의 취약점들을 하나씩 학습하며 취약점들을 이해 하고 방어 할 수 있는 방법을 학습할 수 있습니다. Developer 버전은 Standard 버전을 모두 포함하고 있습니다. Developer 버전으로만 풀 수 있는 문제가 있으며 각 lesson의 특정 LAB에 표시되어 있습니다. 주의 사항 수행되는 시스템은 공격에 매우 취약한 상태이므로 이프로그램을 실행하..
-
WebGoat - OWASP(오픈 웹 보안 프로젝트)
WebGoat OWASP(오픈 웹 보안 프로젝트)에서 만든 WebGoat은 웹 보안에 대한 기초적인 지식을 쌓을 수 있는 웹프로그램입니다. 웹 애플리케이션에서 자주 발생하는 취약점을 쉽게 테스트할 수 있도록 만든 환경으로 각 웹 보안 취약성을 이해하고 공격 방법을 인식할 수 있도록 작성되었으며, 거의 모든 웹 보안 취약성을 다루어 볼 수 있습니다. 다양한 웹 애플리케이션 취약점을 가지고 있는 J2EE 환경으로 구성되어 있으며 OWASP Top 10에서 언급된 주요 취약점을 실습해 볼 수 있습니다. 지금도 개발자들에 의해 계속 업그레이드 되고 있습니다. OWASP WebGoat Project Homepage 1 https://www.owasp.org/index.php/Category:OWASP_WebGoa..
-
세션 처리 및 접근 통제 취약점
세션 처리 및 접근 통제 취약점 입력 값 검증 취약점과 함께 가장 중요하고 많이 발생하는 취약점 개발 단계에서 사용자 권한에 대한 검증을 적절하게 수행하지 않을 경우에 주로 발생 세션 처리 및 접근 통제가 취약할 경우 매개변수 조작이나 강제 브라우저 접근 등을 통해 공격자가 다른 사용자의 정보 또는 상위 관리자의 정보를 볼 수 있게 됩니다. 디렉터리 웹 애플리케이션에서는 파일을 업로드 하는 부분에서 파일명을 검사하는지 체크해 보아야 합니다. 매개변수/쿠키 조작 매개변수 조작은 URL상의 변수 또는 POST 형태로 전송되는 매개변수 값을 조작하여 자신이 소유한 권한 외의 권한을 획득하는 공격 기법 강제 브라우징 강제 브라우징 취약점은 권한이 필요한 페이지에서 권한 체크 코드가 누락된 경우에 발생할 수 있습..
-
DBMS의 특성에 따른 SQL 삽입 공격
DBMS의 특성에 따른 SQL 삽입 공격 SQL 삽입 공격은 데이터베이스의 종류에 따라 약간씩 다른 공격기법을 필요로 합니다. Microsoft SQL Server에 대한 SQL 삽입 공격 http://codedragon.tistory.com/1428 Oracle에 대한 SQL 삽입 공격 http://codedragon.tistory.com/1429
-
Oracle에 대한 SQL 삽입 공격
Oracle에 대한 SQL 삽입 공격 사용자 정의 테이블 가져오기 SELECT tname FROM sys.tab SELECT table_name FROM all_tables WHERE tablespace_name='USERS' 컬럼 이름 가져오기 SELECT column_name FROM cols WHERE table_name='column이름을 얻기 원하는 table이름' SELECT column_name FROM all_tab_columns WHERE table_name='table이름' 현재 데이터베이스 이름 가져오기 SELECT global_name FROM global_name 사용자와 패스워드 정보 가져오기 SELECT name, password FROM sys.users WHERE type#..
-
Microsoft SQL Server에 대한 SQL 삽입 공격
Microsoft SQL Server에 대한 SQL 삽입 공격 Microsoft SQL Server는 운영을 좀 더 편리하고 효율적으로 하기 위해 내부에 여러 가지 확장 저장 프로시저(Extended Stored Procedure)를 가지고 있습니다. Microsoft SQL Server의 주요 테이블 테이블설명sysobjects데이터베이스에 있는 모든 객체들을 제공sysdatabases데이터베이스의 생성 날짜, 파일명, 경로 정보를 제공syscolumns테이블과 뷰에 있는 각 컬럼 정보를 제공sysfiles선택한 특정 데이터베이스에 존재하는 모든 파일 정보를 제공syspermissions사용자, 그룹, 역할에 대해 부여되거나 거부된 허가 항목 정보를 제공systypes데이터베이스에 있는 모든 시스템 데..