XSS 랩스 9~13관 핵심 분석 및 공격 기법
제9관: 프로토콜 기반의 스크립트 인젝션 탐색
페이지에 <a href="your link is invalid? Is it not?">파트너링</a> 형태의 링크가 존재하며, 입력값을 통해 동작을 확인할 수 있다. 일반적으로 http://는 정상적으로 해시를 처리하지만, https://는 일부 필터링이 발생함을 발견했다.
이를 활용해 javascript:alert(123)//http:// 형태로 인젝션 시도 시, 브 ...
8월 5일 00:21에 게시됨
CTF 챌린지 Write-up: Babier CSP, Missing Flavortext, Web Utils
CTF 챌린지 Write-up
이번 CTF 챌린지에서는 세 가지 웹 취약점 문제를 해결했습니다. Node.js에 대한 경험이 부족했기에 새로운 기술을 배우면서 문제를 풀어나갔습니다.
1. Babier CSP
문제 설명은 "Baby CSP was too hard for us, try Babier CSP."이며, Admin Bot이 제공되어 CSP(Content Security Policy)를 우회하여 XSS 공격으로 쿠키를 탈취하는 것이 목표입니 ...
7월 25일 00:57에 게시됨
DOM 기반 XSS 방어: 프레임워크 사례와 필터 컴포넌트 개발
프론트엔드에서의 DOM 기반 XSS 방어: 2가지 프레임워크 사례 + 1개 필터 컴포넌트
"3년간 프론트엔드 개발을 했지만, Vue/React에만 익숙해서 보안 전환 시 'DOM 기반 XSS'에 대해 구체적인 방어 전략을 설명하지 못하는 경우가 많습니다." 이는 프론트엔드 개발자가 보안 분야로 전환할 때 겪는 대표적 어려움입니다.
DOM 기반 XSS는 프론트엔드 개발자에게 자연스러운 ...
6월 21일 19:28에 게시됨
Django 블로그 프로젝트 구현 - 완료된 배포 방식은 uwsgi 또는 gunicorn
프로젝트 흐름:
제품 요구사항
사용자 인증 컴포넌트 및 Ajax를 활용한 로그인(이미지 캡차)
폼 컴포넌트 및 Ajax를 사용한 사용자 가입 기능
1과 2의 데이터베이스 테이블은 사용자 정보 테이블에 통합
시스템 홈 페이지 설계
개인 웹사이트 설계
4의 개인 사이트 설계 필드는 title(개인 사이트 이름), site_name(https://xxx/alex 형식의 URL 후缀), theme(개인 사 ...
6월 17일 16:03에 게시됨
Apache·MySQL·PHP 연동 및 웹 취약점 실습
1. Apache 웹 서버 환경 구성
웹 애플리케이션 실습을 위해 먼저 Apache 서비스를 준비합니다. Kali Linux에는 Apache가 기본 설치되어 있으므로, 80번 포트 사용 여부를 확인합니다.
ss -tlnp | awk '$4 ~ /:80$/'
80번 포트를 점유 중인 프로세스가 있다면 종료 후 Apache를 기동합니다.
sudo systemctl start apache2
sudo systemctl is-active apache2
2. HTML 폼과 ...
5월 28일 06:49에 게시됨
Base64 인코딩 메커니즘과 CTF 문제 해결 전략
Base64 인코딩의 개념과 필요성
Base64는 바이너리 데이터를 인쇄 가능한 ASCII 텍스트 문자열로 변환하는 인코딩 스킴입니다. 네트워크 프로토콜이나 웹 환경에서는 바이너리 데이터를 직접 전송할 경우 데이터 손상이나 제어 문자 충돌이 발생할 수 있습니다. 이를 방지하기 위해 이메일 본문, JSON 페이로드, URL 파라미터 등 텍스트만 허용되는 채널에서 바이너리 데이 ...
5월 27일 20:36에 게시됨
xss.haozi.me 연습 환경에서의 XSS 공격 실습 및 방어 설정
xss.haozi.me 연습 환경에서의 XSS 공격 실습
다음은 xss.haozi.me 연습 환경에서 XSS 공격을 실습하며 얻은 경험과 각 단계별 서버 코드, 공격 페이로드, 그리고 분석 내용입니다.
1단계
서버 코드:
// server code
function render (input) {
return '<div>' + input + '</div>'
}
설명: 기본적인 HTML 태그 내에 입력값이 그대로 삽입되는 ...
5월 20일 23:09에 게시됨