본문 바로가기

분류 전체보기93

481 ~ 600 481. 화이트박스 테스트는 모의해킹 중 프로그램 내부 구조에 대한 타당성 여부를 시험하는 방식으로 프로그램 내부 구조를 분석하여 프로그램의 모든 처리 루틴을 테스트하는 방식 482. CVE는 공개적으로 알려진 소프트웨어의 보안취약점이다. 483. Zone Transfer은 DNS와 관련 있다. 484. 역방향 조회도 가능하다. 485. DNS는 53번 포트를 사용한다. 486. 중계 취약점은 DNS 보안 취약점과 거리가 멀다. 487. DNSSEC는 기밀성은 제공하지 않는다. 488. GRANT는 권한을 부여한다. SELECT를 이용하여 레코드를 볼 수 있게 한다. 489. 보기가 설명하고 있는 건 대체키다.(Alternate Key) 490. 정보조합, 집성(Aggregation)은 여러 소스로부터 .. 2023. 6. 10.
File Upload 마무리 및 File Download 다시 한번 정리해 보면 File Upload 공격은 공격자가 원하는 임의의 파일을 업로드할 수 있는 공격이다. File Upload 취약점이 발생하는 이유는 업로드 되는 파일을 검증하지 않기 때문이다. File Upload 공격 시나리오 1. 웹 쉘 공격자가 올린 파일이 어디에 올라가고 어디에서 실행이 되는지 확인을 해야 한다. POC 코드를 올려서 확인을 한다. 2. 도스 공격 서버에 많은 파일 또는 크기가 큰 파일을 올려서 서버의 자원을 고갈시킨다. 3. 디페이스 공격 웹 서버의 index.html을 변경시켜서 웹 서비스를 방해 4. 페이지 변조(피싱) 사이트를 변조시켜 공격자가 서버 사용자들의 정보를 탈취한다. 5. 악성코드 유포 XSS를 이용하여 악성코드를 유포시킨다. File Upload 대응 .. 2023. 6. 10.
361 ~ 480 361. Slowloris는 마지막 개행문자를 보내지 않고 지속적으로 의미 없는 변수를 추가한다. 362. DNS 싱크홀은 특정 주소로 연결을 시도할 때 실제 해당 주소로 연결되지 않게 한다. 363. DoS 공격 : UDP Flooding, Smurf, Land, Syl Flooding DDoS 공격 : Trinoo, TFN, TFN2K, Stacheldraht 364. 발신지와 수신지 IP 주소를 동일하게 설정하여 공격하는 건 Land Attack의 설명이다. 365. Stacheldraht는 트리누와 TFN을 참고하여 제작된 도구다. 366. 클라이언트의 보호를 위해 HTTP 프로토콜을 차단하는 건 좋은 방법이 아니다. 367. Foot Printing은 정소를 수집하는 사전 작업이다. 368. N.. 2023. 6. 9.
File Upload 실습 내가 만들어 놓은 웹서버에 파일 업로드 공격을 해볼 것이다. 파일 업로드 기능을 만들 때 별다른 보안조치를 하지 않아서 바로 가능할 것이다. 먼저 test를 할 수 있는 쉘을 올릴 것이다. 이것을 먼저 올려서 실행이 되는지 확인을 해볼 것이다. 테스트 파일은 업로드되었고 이 파일의 경로를 확인하기 위해 이미지 파일을 하나 올려서 경로를 확인할 것이다. 파일이 있는 경로를 알아냈다. 우리가 올렸던 test.php를 확인해 볼 것이다. 이제 웹 쉘을 올려서 파일 업로드 취약점을 공격할 것이다. 이렇게 웹 쉘을 만들어주고 게시판에 올릴 것이다. 이렇게 웹 쉘을 업로드했고 이제 파일이 있는 경로로 들어가 볼 것이다. 테스트 파일은 다운에 성공했지만 웹 쉘은 실패하였다. 그러면 경로로 그냥 진입해 볼 것이다. 파.. 2023. 6. 8.
241 ~ 360 241. tripwire은 무결성과 관련되있고 TCP-wrapper과 xinetd는 접근통제와 관련이 있고, chown은 파일과 디렉터리에 소유자 및 소유그룹을 변경하는 명령어다. 242. ㉠은 취약점 점검도구이고, ㉡은 Snort다. 243. ifconfig는 네트워크 인터페이스를 보여주는 도구이다. 244. referer는 사이트를 방문한 사용자가 어떤 경로를 통해 사이트를 방문했는지 알 수 있게 해준다. 245. 택스트영역-데이터영역-스택영역 : 생성된 프로세스의 주소 영역을 구성하는 요소이다. 246. 최기화 되지 않은 전역, 정적변수 등이 저장되는곳은 데이터 영역이다. 247. 버퍼 오버플로우 공격은 스택 영역에 할당된 크기를 초과하는 데이터를 기록하고 저장된 복귀주소를 변경하는 공격이다. ㉡은.. 2023. 6. 7.
121 ~ 240 121. 주체 키 식별자는 인증서 확장 영역에 속한다. 122. 인증서의 유효성은 CRL로 확인 가능하다. 123. CRL Number은 안 들어간다. 124. 인증서 폐지는 인증기관도 가능하다. 125. OCSP는 CRL의 단점을 보완하기 위한 프로토콜이다. 126. Root CA는 최상위 인증기관이다. 127. 커버로스는 대칭 암호기법을 이용한다. 128. 10명이 대칭키를 공유하면 n(n-1)/2이므로 45개다 129. 2^16/2^10이므로 2^6=64다. 130. 마스터키 : 반복적으로 사용하는 대표키 세션키 : 한 번만 사용하는 키로 사용이 종료되면 폐기되는 키 공개키 : 비대칭 암호시스템에서 전자서명용 검증키이다. 131. HSM은 전자서명 키 생성 및 서명 생성 등이 가능한 하드웨어 장치를.. 2023. 6. 6.
1 ~ 120 1회 차 기출은 풀어봤고 이제 문제집의 문제를 풀 것이다. 1. 보기는 트래픽 분석에 대한 설명이다. 2. 무결성 : 메시지가 변경 없이 전송되었는지 인증 : 분명히 송신자 "A"가 보낸 것인가 기밀성 : 메시지가 공격자에게 노출되는 것에 대응 3. 인증 : 불법자가 정당한 사용자로 가장 가용성 : 사용자의 사용 요구가 있을 경우 언제든지 접근이 가능 부인방지 : 일부 혹은 전부를 부인하는 것을 방지 4. 프로토콜 데이터 부분의 접근제어는 접근제어 서비스라고 볼 수 없다. 5. 무결성은 승인 또는 허가받지 아니한 사람이나 프로세스에 의한 데이터의 변경 또는 훼손을 방지하는 것이다. 6. 도청은 수동적 공격이다. 7. 능동적 공격 : 재생 공격, 삭제 공격, 삽입 공격 수동적 공격 : 전송파일 도청, 트래.. 2023. 6. 5.
[10주차-2] 마이페이지 개발 마이페이지를 만들고 내 정보를 확인하고 내 정보를 수정하는 기능을 만들 것이다. 기존의 페이지에서 수정된 페이지이다. 회원가입 시 입력한 정보를 볼 수 있고 비밀번호는 새로 입력을 받을 거다. 기존의 비밀번호를 사용하고 싶으면 기존의 비밀번호를 입력해도 괜찮다. 주소는 수정받을 수 있게 만들었다. 값을 전부 입력받으면 change_mypage.php에서 값들을 새로 업데이트해 준다. mypage에서 입력받은 값을 받아오고 수정을 진행한다. 수정되기 전의 상태이고 내용이 수정되면 세션이 로그아웃되면서 로그인페이지로 넘어가진다. 위의 사진처럼 진행이 되고 위의 내용처럼 회원정보가 수정되었다. 2023. 6. 4.
2023년도 제1회 문제풀이 시스템 보안, 네트워크 보안, 애플리케이션 보안, 정보보호일반에 대해서 강의는 정리해 봤다. 법규 쪽은 문제를 풀어보는 것으로 정리를 할 예정이고 시험이 얼마 안 남아서 2023년도 1회 차랑 기출 1200제를 풀고 시험을 봐야 할 거 같다. 오늘은 지난 시험문제를 풀어볼 예정이다. 시스템 보안 1. 일반계정이 아닌 시스템 계정으로 확인이 가능하다. 2. SCAN은 헤드셋의 진행방향에 있는 요청을 처리하고, 다시 반대 방향으로 틀어 반대 방향에 있는 요청들을 처리한다.(엘리베이터가 동작하는 원리가 같아서 엘리베이터 알고리즘이라고 한다.) 3. exFAT 파일 시스템도 지원한다. 4. EDR의 주요 기능으로는 탐지, 통제, 치료 영역이 있다. 5. 서버에 등록된 계정을 모두 등록하면 위험하다. 6. "/".. 2023. 6. 3.

티스토리툴바