Search Results

01. JDK 설치 - 자바로 만든 웹 프레임 워크이기 때문에 자바 설치가 필요 설치 링크 : https://www.oracle.com/java/technologies/downloads/#jdk24-windows - 필자는 Windows에서 x64 installer 를 선택했다. - 설치진행 설치 경로 : C:\Program Files\Java\jdk-24 02. STS 설치 (Spring Tool Suite) - 스프링 부트 프로그...

01. 컨트롤러 만들기 프로젝트를 생성했으니 이제 예시로 페이지를 만들어 보려한다. http://localhost:8080/hello 라는 URL을 만들어 테스트할 것이며, 해당 요청을 받기 위해선 컨트롤러를 만들어서 사용하여야 한다. * 컨트롤러는 클라이언트에서 받은 요청을 관리하는 자바의 클래스이다.프로젝트의 메인 파일을 우클릭하여 Class를 새로 만들어 준다 컨트롤러 명을 입력 후 생성해준다. 정상적으로 컨트롤러 클래스가 생성됨을 확인...

설명 고객사에서 웹 모의해킹을 하다보면 개발용 웹페이지, 관리자 페이지에서 흔하게 볼 수 있는 취약점이다. 디버깅에 편의성을 올리기 위해 오류를 웹 페이지에 출력하는 설정 기본 값 display_errors = Off -> 양호 예시 위의 예시는 어느 파일의 몇번째 줄에서 오류가 났는지 출력이 된다. 오류가 난 파일의 경로까지 확인이 가능하므로 설정을 꺼두는 것이 좋다. 조치 방법 01. PHP의 conf 파일 진입 -> php.ini ...

설명 웹 모의해킹 시 프록시 툴을 사용하여 응답 값을 확인할 때가 많은데 웹서버의 버전 정보가 노출되는 경우가 있다. php 8.3, nginx 1.27 처럼 EOS가 되지 않은 안전한 버전이라고 하더라도 보안 조치의 기본은 공격 범위를 줄이는 것이기 때문에 불필요하게 정보를 제공할 필요가 없다. EOS 확인용 페이지 버전을 특정할 수 있다는 것은 해당 버전의 공개된 취약점을 사용해 볼 수 있다는 의미이기 때문에 조치가 필요하다. 기본 값 기...

설명 개발언어는 보통 다른 파일들을 불러와 사용할 수 있다. 파이썬의 import 혹은 php의 include 등등... 외부에서 만들어 놓은 php 파일을 URL에 삽입하였을때 별다른 제한 없이 실행이 될 경우 치명적인 공격이 가능하기 때문에 해당 설정을 Off 로 바꿔주어야한다. 딴소리 관련된 취약점으로는 LFI 와 RFI 가 있다. (현재 취약점의 경우 RFI 가 해당) LFI = Local File Inclusion RFI = Remot...

설명 웹 페이지 중에 명령어를 입력할 수 있는 칸이 있다면 공격자가 악의적인 명령어를 입력할 수 있으므로 비활성화 해주어야 한다. 단순한 예제로 Command injection 공격을 시연할 수 있는 CTF 등이 많다. 딴소리 정말 특이한 케이스가 아닌 이상 서버의 명령어를 그대로 실행하는 입력창을 웹 사이트에 구현하는 일은 없다. 그치만 웹 모의해킹을 하다보면 웹 페이지 상에는 보이지 않게 hidden으로 가려져있거나, 파라미터에 실행할 명령어가 ...