DarkSoul.Story

이 문서에 포함된 어떠한 내용도 불법적이거나 비윤리적인 목적으로 보안 도구나 방법론을 사용하도록 가르치거나 장려하지 않습니다. 항상 책임감 있는 태도로 행동하세요. 여기에 설명된 도구나 기법을 사용하기 전에 개인 테스트 환경 또는 허가를 받았는지 확인하세요. [ 환경 ]DVWAv1.9Burp SuiteCommunity Edition v2024.11.21. OverviewBlind SQL Injection은 웹 애플리케이션에서 발생할 수 있는 SQL Injection의 한 유형으로, 애플리케이션이 데이터베이스와 상호작용하면서 발생하는 보안 취약점을 악용한 공격 방식이다. 이 공격은 데이터베이스의 직접적인 응답이 사용자에게 노출되지 않는 상황에서도, 공격자가 간접적인 방법을 통해 정보를 추출할 수 있다는 점..

Vulnerability Assessment/Web Application 2025. 1. 26. 22:36

속성 기반 접근 제어는 사용자가 자원에 접근하려는 요청을 다양한 속성(attribute)을 평가하여 동적으로 결정하는 접근 제어 모델이다. ABAC는 사용자(User), 자원(Resource), 행동(Action), 환경(Environment)의 속성을 활용하여, “누가, 무엇에 대해, 어떤 조건에서, 어떤 작업을 수행 할 수 있는가”를 정책으로 정의한다. 이 접근 방식은 기존의 정적이고 고정된 접근 제어 모델 보다 유연성과 확장성이 뛰어나며, 동적인 환경에서도 효과적으로 동작한다.구성 요소설명속성접근 결정을 내리는 기준으로 사용되며, 사용자, 자원, 행동, 환경과 관련된 정보를 포함사용자 속성사용자 ID, 직무, 부서, 직급, 인증 상태 등예:직급=관리자, 부서=IT, 국가=대한민국자원 속성파일 유형,..

Infomation 2025. 1. 24. 21:54

역할 기반 접근 제어는 사용자의 직무나 책임을 기반으로 역할(Role)을 정의하고, 역할에 권한(Permission)을 부여하여 자원 접근을 관리하는 보안 모델이다. 사용자는 역할을 통해 권한을 간접적으로 부여받기 때문에, 접근 관리의 효율성을 높이고 정책의 일관성을 유지할 수 있다. RBAC는 사용자와 권한 간의 관계를 직접적으로 설정하는 대신 역할-권한 관계를 정의하고, 사용자를 역할에 매핑하는 방식으로 동작한다. 이를 통해 사용자가 변경되거나 추가될 경우에도 역할을 재사용할 수 있어 관리 부담을 줄이고 보안 정책을 쉽게 유지할 수 있다.구분설명역할(Role)조직의 특정 직무, 업무 또는 책임을 나타냄예: 관리자(Admin), 개발자(Developer), 운영자(Operator)권한(Permissio..

Infomation 2025. 1. 24. 21:48

다중 보안 수준(MLS, Multilevel Security)은 서로 다른 보안 등급을 가진 사용자와 데이터가 동일한 시스템 내에서 안전하게 작동할 수 있도록 설계된 보안 모델로, 민감한 데이터를 보호하기 위한 핵심 접근 방식 중 하나이다. MLS는 기밀성, 무결성, 그리고 특정 상황에서는 가용성을 보장하는 데 초점을 맞추고 있으며,  데이터를 등급화하고 사용자의 보안 수준을 분류함으로써 민감 정보에 대한 적절한 접근 제어를 구현한다. 이러한 분류는 민감 데이터의 체계적인 관리를 가능하게 하고, 불필요하거나 부적절한 데이터 접근을 방지하여 보안 위협을 줄이는 데 기여한다. 미국 국방부가 발표한 신뢰할 수 있는 컴퓨터 시스템 평가 기준(Trusted Computer System Evaluation Crit..

Infomation 2025. 1. 24. 21:35

강제 접근 제어는 정보 시스템에서 자원의 접근 권한이 중앙에서 엄격하게 통제되는 접근 제어 모델이다. MAC은 보안 관리자 또는 시스템 자체에 의해 정의된 정책에 따라 자원에 대한 접근이 허용되거나 거부되며, 개별 사용자가 권한을 변경하거나 수정할 수 없다. MAC의 핵심은 보안 등급(security levels)과 보안 라벨(security labels)의 개념이다. 이 두 요소는 계층적 및 비계층적 보안 정책을 결합하여 데이터의 기밀성과 무결성을 보장한다. 보안 등급은 데이터와 사용자(또는 프로세스)에 할당된 계층적 수준을 나타내며, 정보의 민감도를 구분하고 이에 따라 접근을 제한하는 기준이다. 보안 라벨은 보안 등급과 함께 자원 및 사용자에게 부여되며, 특정 조건이나 속성을 정의하는 비계층적 요소이..

Infomation 2025. 1. 24. 21:28

임의 접근 제어는 정보 시스템에서 자원의 접근을 소유자가 통제할 수 있도록 허용하는 접근 제어 모델 중 하나이다. DAC는 자원의 소유자가 권한을 부여하거나 회수할 수 있는 유연성을 제공하며, 주로 개인 및 조직 내에서 자율적으로 접근 권한을 관리할 때 사용한다. DAC의 주요 특징은 “소유자 중심의 제어”라는 점으로, 자원의 소유자는 다른 사용자에게 자원에 대한 읽기, 쓰기, 실행 등 다양한 접근 권한을 할당하거나 제거할 수 있다.  DAC는 파일 및 디렉터리의 권한 설정과 같은 파일 시스템에서 흔히 사용되며, 예를 들어 Windows 또는 Linux 운영체제의 접근 제어 리스트(ACL, Access Control List)가 이에 해당한다. 하지만 이러한 유연성은 보안 약점을 초래할 가능성도 있다. ..

Infomation 2025. 1. 24. 21:24

접근 제어(Access Control)는 정보보안의 핵심 개념으로, 사용자, 애플리케이션 또는 장치와 같은 엔터티가 시스템 내 자원에 어떻게 접근하고 사용하는지를 결정한다. 이를 통해 데이터의 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)을 보호하며, 허가된 사용자만이 특정 자원에 대해 작업을 수행할 수 있도록 보장한다. 시스템 자원은 객체(Object)로 간주되며, 이 객체에 접근하는 사용자나 프로세스는 주체(Subject)로 정의된다. 객체와 주체 간의 상호작용은 다음과 같은 특징을 포함한다.구분설명객체(Object)데이터베이스, 파일, 네트워크 자원, 디바이스 등 시스템 내에서 보호되어야 할 자원을 의미객체는 접근 정책의 대상이 되며, 접근 권한..

Infomation 2025. 1. 24. 21:17

[ 환경 ]DVWAv1.9Burp SuiteCommunity Edition v2024.11.21. Source code analysis  CSRF 토큰 검증checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' ); checkToken( ) 함수는 CSRF 토큰을 검증한다.사용자가 요청에 포함한 user_token과 세션에 저장된 session_token을 비교한다,두 토큰이 다르거나 세션에 유효한 토큰이 없으면 CSRF 공격으로 간주하고 index.php로 리디렉션한다. 사용자 입력값 가져오기$id = $_GET[ 'id' ]; 사용자가 입력한 id 값을 GET 요청에서 가져온다.데이터베이스에서 조회할 id 값을 ..

Vulnerability Assessment/Web Application 2025. 1. 14. 12:02