DarkSoul.Story

이 문서에 포함된 어떠한 내용도 불법적이거나 비윤리적인 목적으로 보안 도구나 방법론을 사용하도록 가르치거나 장려하지 않습니다. 항상 책임감 있는 태도로 행동하세요. 여기에 설명된 도구나 기법을 사용하기 전에 개인 테스트 환경 또는 허가를 받았는지 확인하세요. 1. OverviewBrute Force 공격은 시도와 오류(trial-and-error) 방식을 사용해 시스템의 암호나 인증 정보를 알아내려는 공격 유형으로, 공격자는 가능한 모든 조합을 체계적으로 시도하여 올바른 정보를 찾으려고 한다. 이 방법은 단순하고 효과적일 수 있지만, 일반적으로 시간과 자원이 많이 소모된다. 따라서 약한 비밀번호나 제한 없는 인증 시도가 Brute Force 공격의 주요 표적이 된다.종류설명예시 단순Brute Force ..

Vulnerability Assessment/Web Application 2024. 12. 28. 22:48

[ 환경]구분설명OSCentOS 8  DVWA 설치가 완료되면, 초기 세팅이 필요하다. Default ID : admin ,Password : password를 입력하면 Setup DVWA 화면을 확인할 수 있다.  데이터베이스를 설정하려면, 주 메뉴에서 Setup DVWA 버튼을 클릭한 다음 Create / Reset Database 버튼을 클릭하면 된다. 이렇게 하면 데이터베이스가 생성되거나 재설정되며 일부 데이터가 포함된다.  Create / Reset Database 버튼을 클릭하여 정상적으로 데이터베이스가 생성되면, [그림 4]와 같이 Setup successful 화면을 확인할 수 있으며 잠시 후 로그인 페이지로 이동한다. 로그인 페이지에서 앞서 입력한 Default ID : admin ,Pa..

Vulnerability Assessment/Web Application 2024. 12. 28. 20:07

1. 필수 패키지 설치DVWA를 사용하기 위해서는  Apache 등 필수 패키지를 설치해야 한다. yum install -y httpd mariadb-server php php-mysqli php-gd php-xml php-mbstring 2.  설치된 Apache 실행# 부팅 시 Apache 자동 실행systemctl enable httpd# Apache 실행systemctl start httpd# Apache 상태 확인systemctl status httpd 3.  설치된 Mariadb 실행# 부팅 시 Mariadb 자동 실행systemctl enable mariadb# Mariadb 실행systemctl start mariadb# Mariadb 상태 확인systemctl status mariadb..

Vulnerability Assessment/Web Application 2024. 12. 28. 19:21

[ 사전 준비 ]CentOS 8 / REHL 8에 Docker Engine 설치 [ 환경]구분설명OSCentOS 8Docker EngineDocker Engine - Community 26.1.3   Damn Vulnerable Web Application (DVWA)은 매우 취약한 PHP/MySQL 웹 애플리케이션이다. DVWA의 주요 목표는 웹 취약점과 관련된 기술과 도구를 합법적인 환경에서 테스트하고, 웹 개발자들이 웹 애플리케이션 보안 프로세스를 더 잘 이해아도록 돕는 것에 있다. DVWA의 목표는 가장 흔한 웹 취약점들에 대한 연습을 다양한 난이도로 제공하는 것이다. 1. Search and download the DVWA Docker Image아래 명령어를 입력하여 Docker Hub에서 DV..

Vulnerability Assessment/Web Application 2024. 12. 27. 23:37

정보통신기반 보호법에 의거하여 정당한 접근권한이 없거나 허용된 접근권한의 범위를 초과하여 정보통신망에 침해하는 행위 등은 관련 법률에 따라 처벌 받을 수 있습니다. 허가 받지 않은곳에서 테스트를 절대 금지하며, 악의적인 목적으로 이용할 시 발생할 수 있는 법적 책임은 사용자 자신에게 있음을 알립니다. 이는 해당 글을 열람할 때 동의하였다는 것을 의미합니다. SQL Injection 이란 무엇인가? SQL Injection은 응용 프로그램이 데이터베이스에 대해 수행하는 쿼리를 공격자가 방해할 수 있는 웹 애플리케이션 취약점이다. SQL Injection 취약점으로 인한 여 공격자는 일반적으로 검색할 수 없는 데이터를 볼 수 있으며, 여기에는 다른 사용자에게 속한 데이터 또는 응용 프로그램 자체에서 액세스 ..

Vulnerability Assessment/Web Application 2022. 2. 11. 22:46

Steps. 1. 개요 2. 테스트 방법 1. 개요 HTTP는 웹 서버의 동작하는 데 사용할 수있는 몇개의 메소드를 제공하며, 대부분은 배포 및 HTTP 응용 프로그램을 테스트하는 개발자를 지원하기 위해 설계 되었다. HTTP Method는 아래와 같다. ① GET Method : GET 요청 방식은 URI(URL)가 가진 정보를 검색하기 위해 서버 측에 요청하는형태이다. ② POST Method : POST 요청 방식은 요청 URI(URL)에 폼 입력을 처리하기 위해 구성한 서버 측 스크립트(ASP, PHP, JSP 등) 혹은 CGI 프로그램으로 구성되고 Form Action과 함께 전송되는데, 이때 헤더 정보에 포함되지 않고 데이터 부분에 요청 정보가 들어가게 된다. ③ HEAD Method : HE..

Vulnerability Assessment/Web Application 2016. 7. 11. 21:17

Steps. 1. 개요 2. 테스트 방법 1. 개요 관리자 인터페이스는 어플리케이션 프로그램 또는 특정 사용자가 사이트에 특별한 활동을 할 수 있도록 어플리케이션 프로그램 서버에 존재 한다. 관리자 인터페이스는 아무나 접근해서는 안된다. 만약 관리자 인터페이스가 노출되어 공격자가 접근 할 수 있다면, 인증 우회, 무차별 대입 공격등을 이용하여, 관리자로 로그인이 가능하게 된다. 이러한 관리자 인터페이스는 인증되지 않은 접근으로로부터 보호하기 위한 충분한 제어를하지 않는 경우 많다. 2. 테스트 방법 관리자 인터페이스는 존재하지만, 테스터의 눈에는 보이지 않을 수 있다. 이런 경우 아래와 같은 방법으로 관리자 인터페이스를 찾아본다. 1. 가장 기본적으로 /admin, /administrator, /mana..

Vulnerability Assessment/Web Application 2016. 7. 3. 11:54

Steps. 1. 개요 2. 테스트 방법 1. 개요 웹 서버 핑거프린팅 (Web server fingerprinting)는 침투테스트에서 중요한 작업이다. 실행중인 웹 서버의 버전 및 종류를 알고 있으면, 알려진 취약점을 선택하여 적절한 공격을 진행 할 수 있다. Web 서버의 종류를 안다는 것은 테스트 프로세스에 도움이 되며 테스트 과정을 변경할 수 있다. 웹 서버의 소프트웨어의 각 버전을 확인하는 방법은 특정 명령을 전송하여, 명령에 의한 응답값을 분석하여 도출 할 수 있다. 하지만 특정 명령을 전송하였을 때, 동일한 반응을 하지 않는다. 그렇기 때문에 여러 명령을 전송하여 응답값을 비교하여 정확도를 높여야 한다. 2. 테스트 방법 웹 서버를 식별하는 간단하고 가장 기본적인 형태는 HTTP 응답 헤더..

Vulnerability Assessment/Web Application 2016. 7. 2. 16:25