이게 왜 돌아가지 이게 왜 돌아가지

XSS game 01 문제: alert 함수를 사용해서 경고창이 뜨게 만들어라. ​ ​ 을 빈 칸에 입력한다. ​ 경고창이 뜨는 것을 확인할 수 있다. ​ XSS game 02 문제: alert 함수를 사용해서 경고창이 뜨게 만들어라. ​ 3으로 create timer를 설정하면 3초 후 경고창에 Time's up! 이라고 뜬다. 한글로 설정해도 Time's up! 이라고 뜬다. ​ 로 하면 그대로 아래에 출력된다. ​ 페이지 소스코드를 확인해보자. 3을 입력한 후 페이지 소스코드를 보며 onload 부분을 확인해보자. "stratTimer('3');"이라고 되어있다. ​ 따라서 빈 칸에 ')alert('을 작성해준다. ​

Cross-Site Scripting – Stored(Blog) 난이도 : low Quest. 다음 화면과 같이 경고창을 띄워봅시다. ​ ​ bee를 입력하면 이 나온다. ​ 따라서 를 빈칸에 적자. ​ Quest. 사용자의 쿠키 값을 경고창에 띄워봅시다. Hint1. 사용자의 쿠키값은 document.cookie에 저장되어 있습니다. ​ hint 를 이용해서 를 입력한다. Quest. (게시판에 등록된 내용을 삭제하지 않았다면) XSS 공격을 시도할 때마다 경고창이 여러 개가 뜨는 것을 확인했습니다. 왜 그럴까요? 이유를 작성해주세요. Hint1. Stored XSS 방식에 대해 잘 생각해봅시다. Hint2. 소스코드를 확인해봅시다. 테이블에 어떻게 저장되어 있나요? ​ hint2를 참고해서 소스코드를..

Cross-site scripting – Reflected (GET) 난이도 : low Quest. xss 취약점이 있는지 알아봅시다. 다음 화면을 띄워보세요. 경고창을 누른 후 화면 (Welcome success 출력) Hint1. 스크립트 태그 안에 alert함수를 넣어 경고창을 띄울 수 있습니다. Hint2. First name과 Last name에 각각 공격을 하면 어떤 결과가 나오는지 알아봅시다. ​ ​ ​ h1태그를 사용하면 그냥 입력한대로 태그가 나온다. 따라서 hint 1을 이용해 first name 에 alert 를 입력해주자. ​ welcome success 를 출력해야 하므로 last name 에 success를 입력해주자 ok 클릭 시 ​ 난이도 : medium Hint1. xss ..

MISSON. 버프스위트를 이용해 사용자들의 id와 password를 획득하자. 난이도 low 모든 공격은 버프스위트를 이용해주세요. 공격 과정은 GET방식과 유사합니다. Quest. 데이터베이스 정보를 알아내세요. Hint1. DB버전을 확인하는 쿼리를 찾아보세요. Hint2. @@version, database()으로 버전과 이름을 알 수 있습니다. ​ ​ 먼저 버프스위트를 이용해 bwapp 에 접속하고 버프스위프트를 확인하자. title과 action 이라는 변수가 있다.( 마지막 줄) ​ hint 1을 바탕으로 작은 따옴표를 search 칸에 입력한다. 에러가 나는 것을 확인할 수 있다. ERROR 문구에서 에러가 SQL syntax에 있다고 적혀있다. 따라서 데이터베이스 서버는 SQL 이다. ​..

​ burp suite 를 다운로드 받는다. Download Burp Suite Community Edition - PortSwigger proxy 서버-option 변경 컴퓨터 환경 설정에서 프록시 서버 사용 변경 burp suite 안에서 인터넷 접속 - ip 주소 url 입력 - bwapp 들어가서 풀기 bwapp 들어가면 로딩 중이라고 계속 뜨면 forward 계속 클릭하면서 로딩 확인하고 풀기 ​ 프록시 서버 변경하면 다른 서버에서 하던 활동 (블로그 글쓰기 등) 을 못하게 되는 경우가 발생했음.. 어쩔 수 없는 것 같아서 그냥 끄고 문제 풀고 난 후 프록시 서버 다시 변경해주었다. ​ Quest. 분명 당신은 검색 창에 아무 의미도 없는 값을 입력했습니다. 하지만 burp suite라는 취약점..

1. HTML Injection이 무엇인지 정리하시오. 공격자가 악의적으로 페이지에 html 코드를 삽입해 다른 사이트에 들어가게 하는 것이다. ​ ​ 2. 난이도 low hint1. 페이지 소스 코드를 확인해봅시다. bee bug를 입력하면 그대로 first name과 last name이 뜨는 것을 확인할 수 있다. ​ 페이지 소스 코드를 확인해보자. 태그에 들어있는 글씨와 /SUCCESS/ 의 글씨가 같아야 한다. SUCCESS 을 first name에 적어주면 된다. ​ 꿀벌 사진도 나와야 한다. 꿀벌 사진을 last name 에 적어주면 된다. ​ ​ 2. 난이도 medium hint1. low일 때 성공한 페이지와 비교해봅시다. 소스코드 차이점이 반드시 있습니다. hint2. URL Encodi..