티스토리

MetaCODING

검색하기

블로그 홈

MetaCODING

metacoding.tistory.com/m

METACODING 님의 블로그입니다.

구독자: 3

방명록 방문하기

728x90

반응형

주요 글 목록

미러사이트(Mirror Site) 미러사이트는 다른 사이트의 정보를 마치 거울처럼 그대로 복사하여 동일한 정보를 제공하는 웹사이트이다. 공식적인 호스트에 의해 유지되는 파일 이외의 그 파일의 집합과 똑같은 파일 집합을 축적하고 있는 파일 서버의 자료가 해킹이나 장비 고장으로 훼손되는 것을 방지하기 위해 데이터 백업 및 이중보관용으로 만든 별도의 사이트를 뜻한다. 즉, 미러사이트는 일반적으로 웹 사이트나 콘텐츠를 복제한 것으로써 주로 원본 사이트와 유사한 주소나 디자인을 갖추고 있고 원본 사이트의 콘텐츠를 불법적으로 복사하거나 동일한 서비스를 제공하는 경우가 많다. http://wiki.hash.kr/index.php/%EB%AF%B8%EB%9F%AC%EC%82%AC%EC%9D%B4%ED%8A%B8 이러한 미러사이트는 기술적인 측면에서 원.. 공감수 0 댓글수 0 2023. 10. 15.
RTO(Recovery Time Objective, 복구 시간 목표) RPO(Recovery Point Objective, 복구 시점 목표) https://zrr.kr/t15v 미러사이트(Mirror Site) 미러사이트는 다른 사이트의 정보를 마치 거울처럼 그대로 복사하여 동일한 정보를 제공하는 웹사이트이다. 공식적인 호스트에 의해 유지되는 파일 이외의 그 파일의 집합과 똑같은 파일 집합 metacoding.tistory.com 재해 복구시스템 유형 재해 복구시스템은 복구 수준별 유형에 따라 크게 4가지로 구분된다. 복구 시간/범위 정도에 따라 미러 사이트, 핫 사이트, 웜 사이트, 쿨 사이트 4가지로 나눌 수 있다. 우선, 4가지 유형을 이해하는 데 필요한 용어들 복구 시간 목표(Recovery Time Objective, RTO) : 재해 발생 시 서비스가 복구되는 데 걸릴 수 있는 시간. 서비스 중단을 감내할 수 있는 최대 시간을 결정.. 공감수 0 댓글수 0 2023. 10. 10.
ISMS-P https://zrr.kr/Jsxz ISMS(Information Security Management System) 와 ISMS-P(for Public Organizations) 1994년 우리나라의 인터넷 도입기부터 2023년 현재까지 빠르게 발전하여 인터넷 강국으로 발돋움하였다. 지금 우리나라의 인터넷 발전지수는 세계 1위라고 해도 과언이 아닐정도다. 이처럼 고도 metacoding.tistory.com ISMS-P는 "정보보호경영체계 평가"로써 정보보호의 국제 표준을 준수하는 조직의 정보보호 능력을 평가하기 위한 프레임워크를 나타낸다. ISMS-P는 다음과 같은 내용을 포함할 수 있다. 정보보호 정책 및 절차 : 정보보호를 위해 수립한 정책과 절차를 검토하고 이것들이 국제 표준을 준수하는지 확인 정.. 공감수 0 댓글수 0 2023. 10. 9.
SQL 인젝션 sql injection 공격 및 예방 복습 https://zrr.kr/JWxJ 웹 서비스 기반 주요 위협 SQL Injection [SQL Injection] 내가 입력할 수 있는 영역에 진단을 수행함(입력값) 웹 사이트를 둘러보다가 DB에 질의할 것 같은 페이지에서 진단을 수행 ※인증우회 - ' or 1=1 -- - ' or '1'='1 - ' or 'a'='a - ' or '222222'='222 metacoding.tistory.com SQL 인젝션(SQL Injection)은 웹 애플리케이션 보안에서 중요한 주제 중 하나다. SQL 인젝션은 악의적인 공격자가 웹 애플리케이션의 입력 필드를 통해 악성 SQL 쿼리를 실행하도록 하는 공격 기술이다. 이로 인해 데이터베이스에 무단 접근하거나 데이터를 삭제, 수정 또는 탈취 등의 피해를 입을 수 .. 공감수 0 댓글수 0 2023. 9. 27.
U-01 root 계정 원격 접속 제한Account Remote Access Restrictions(feat. telnet, ssh, bfa, da) Telnet 네트워크 상의 다른 컴퓨터에 로그인하거나 원격 시스템에서 명령을 실행에 사용되는 네트워크 프로토콜로 보안 문제 때문에 원격 제어를 위해 ssh로 대체되고 있다. 23번 포트를 사용한다. ssh Secure Shell의 약자로 네트워크 상의 다른 컴퓨터에 로그인하거나 원격 시스템에서 명령을 실행하고 다른 시스템으로 파일을 복사할 수 있도록 해주는 응용프로그램 또는 그 프로토콜로 강력한 인증 방법 및 안전하지 못한 네트워크에서 안전하게 통신을 할 수 있는 기능을 제공한다. 22번 포트를 사용한다. 무작위 대입 공격 Brute Force Attack 패스워드를 알아내기 위해 입력 가능한 모든 값을 대입하는 공격 방법이다. 사전 대입 공격 Dictionary Attack 사전에 있는 단어를 입력하여.. 공감수 0 댓글수 0 2023. 9. 23.
Blind SQL Injection 공격 및 복습 https://zrr.kr/xL8S SQL(Structured Query Language) Injection 공격 개념 취약점 웹서버와 DB서버가 연동되는 웹 서비스 중 사용자의 입력을 받는 화면이 로그인 화면, 검색 입력 창 등 존재하고 입력 받는 문자열에 별도의 처리없이 데이터베이스 조회를 위한 SQL 구문이 사용 metacoding.tistory.com Blind SQL Injection Blind SQL(Structured Query Language) Injection은 데이터베이스에 True&False을 하고 애플리케이션의 응답에 따라 답변을 결정하는 SQL Injection 공격의 한 유형이다. 이 공격은 웹 애플리케이션이 일반 오류 메시지를 표시하도록 구성되었지만 SQL Injection에 .. 공감수 0 댓글수 0 2023. 9. 21.
IDC(Internet Data Center)와 DR(Disaster Recovery)의 필요성(feat. SK C&C의 IDC화재, 카카오톡 먹통) IDC는 Internet Data Center로 인터넷(Internet) 연결의 핵심이 되는 서버(Server)를 한 곳에 모아 집중시킬 필요가 있을 때 설립하는 시설이며 IDC를 통해 온라인 게임의 운영에 필요한 서버 컴퓨터(Server Computer)와 네트워크(Network) 회선 등을 제공하는데 서버 호텔(Server Hotel)이라고도 부른다. 또한, IDC는 서버들을 한 곳에 두어 안정적으로 운용해 주기 때문에 IT기업에서 중요한 시설로 손꼽힌다. IT를 다루며 서비스하는 조직이나 기업은 그 특성 상 서버가 없으면 서비스 자체가 힘들기 때문에 엄청나게 많은 서버가 필요한 게임회사에서는 네트워크 속도와 관리 면의 이점 때문에 IDC를 이용하기도 한다. 위에 언급한 바와 같이 IDC는 정전 등으.. 공감수 1 댓글수 0 2023. 9. 19.
ISMS(Information Security Management System) 와 ISMS-P(for Public Organizations) 1994년 우리나라의 인터넷 도입기부터 2023년 현재까지 빠르게 발전하여 인터넷 강국으로 발돋움하였다. 지금 우리나라의 인터넷 발전지수는 세계 1위라고 해도 과언이 아닐정도다. 이처럼 고도화 되어가는 정보화 환경에 따른 역기능도 점점 확대되고 있는데, 내가 사용하는 플랫폼이나 속한 조직들의 주요 기밀 유출 가능성이 높아지고 있다. ISMS 정보보호관리체계 ISMS는 2002년부터 시행된 정보보호 안전진단 제도를 폐지하고 2012년 정보통신사업자 등을 대상으로 규제를 시행하면서 2013년 의무화 된 정보보호관리다. ISMS 인증의무 대상은 인터넷 서비스 공급기업(ISP), IDC, 연매출 또는 세입이 1500억원 이상이거나 정보통신서비스 매출액 100억 또는 일일 평균 이용자 수 100만명 이상인 사업자.. 공감수 0 댓글수 0 2023. 9. 15.
ModSecurity 무료 오픈소스 웹방화벽 (feat. VMware Workstation) ModSecurity는 웹 애플리케이션 방화벽(WAF)으로 사용되는 오픈 소스 보안 솔루션입니다. ModSecurity는 웹 공격에 대한 침입 탐지 및 침입 방지 기능을 추가해주는 아파치 웹서버 모듈이다. 웹 클라이언트와 아파치 웹 서버 사이에 ModSecurity가 존재하는데, 클라이언트로부터 악의적인 접속 요청이 발견되면 공격이 차단되고 로깅 등 사전에 정의된 행위를 수행한다. ModSecurity는 Ivan Ristic이 개발한 Apache, IIS, Nginx 등 웹 서버용 공개 웹 방화벽으로 Trustwave사의 SpiderLabs에 의하여 개발되었고 PHP Injection 공격 등 Apache 웹 서버의 주요 공격을 차단하는 기능을 가진다. 또한, 설치 및 차단 Rule 설정 인터페이스가 불.. 공감수 0 댓글수 0 2023. 9. 14.
윈도우7 가상환경 설정(feat. VMware Workstation) VMware에서 Windows7 64Bit 설치하기!! 윈도우7을 설치하기 위해서는 VMware Workstation 15 Player와 Windows7 iso 파일이 필요합니다 VMware Workstation 15 Player를 실행해주면 VMware Workstation 15 Player가 작동하게 되면서 다운로드 진행이 시작됩니다. 설치할 윈도우 iso파일을 불러와서 Installer disc image file 부분에 iso파일 경로를 찾아 불러옵니다. 가상윈도우에 사용 할 공견을 배분하는 부분인데, Maximum disk size의 기본 설정을 따르는게 맞습니다. 지금까지 잘 따라오셨다면, 위의 사진과 같이, Customize Hardware..을 클릭!! 메모리 네트워크 등 설정을 변경할 수.. 공감수 0 댓글수 0 2023. 9. 13.
CSRF(Cross Site Request Forgery) 공격이란? 해커의 공격의 종류 중 대표적인 세가지가 있다. 1. XSS(Cross-Site-Scripting) attack 2. SQL-Injection attack 3. Buffer-Overflow attack 4. CSRF(Cross-Site Request Forgery) attack 1. XSS attack 어플리케이션에서 다양한 기능을 위해 Server에서 수행하는 작업 말고 Browser에서 스크립트를 실행하는 기능이다. XSS attack은 Client Side에서 동작하는 Client-Side-Script(ex.자바스크립트) 환경에서 스크립트 기능을 악용하여 이루어지며 해커가 Browser에 악성 스크립트가 실행되도록 하는 기법이다. 예컨대, 웹서버의 어플리케이션이 방문자의 input을 받아 저장하는 .. 공감수 0 댓글수 0 2023. 9. 13.
웹 서비스 주요 해킹 기법 - SSRF(Server-Side Request forgery) SSRF(Server-Side Request forgery) 일반적으로 외부에서도 접근 가능하도록 웹 서버를 운영하는 조직은 공인 IP 주소를 부여하여 인터넷에 공개한다. 반면, 조직 내부에서 사용하는 서버는 방화벽을 통해 외부 접근을 막거나 내부에서만 사용가능한 사설 IP를 할당한다. 외부에서는 웹 서버만 접근이 가능하지만 웹 서버 내에서는 동일한 로컬 네트워크에 속해 있는 내부망들로 접속할 수 있다. 웹서버가 SSRF취약점이 있다면 공격자는 웹 서버를 통해 조작된 요청을 내부망으로 보내고 내부망에서는 신뢰하는 접근이기 때문에 정상적으로 요청에 대한 응답을 보낸다. 이때, 공격자는 취약한 웹 서버를 통해 내부망의 응답 결과를 확인할 수 있다. 외부에서도 접근이 가능한 외부망과 내부에서만 접근이 가능한 .. 공감수 0 댓글수 0 2023. 9. 8.
레퍼체크 기법이란? 레퍼체크 기법은 웹 개발 및 웹 디자인 등 소프트웨어 개발 과정에서 사용되는 관리 기법 중 하나입니다. 이 기법은 코드나 소프트웨어 모듈의 품질과 안정성을 평가하기 위해 다양한 검사 및 테스트를 수행하는 것을 중점적으로 다룹니다. 레퍼체크는 소프트웨어에서 버그를 찾아내고 수정하는 데 도움을 주며 소프트웨어의 신뢰성과 성능을 향상시키는 데 기여하고 웹 페이지가 다양한 브라우저에서 올바르게 작동하고 일관된 모습으로 표시되는지 확인하는 데 사용됩니다.레퍼체크 기법은 다양한 검사 방법을 포함할 수 있으며, 대표적인 예로는 코드 리뷰, 정적 분석, 유닛 테스트, 통합 테스트, 시스템 테스트 등이 있습니다. 이러한 검사와 테스트를 통해 프로그램의 오류나 결함을 발견하고 이를 해결함으로써 소프트웨어 품질을 향상시키는.. 공감수 0 댓글수 0 2023. 9. 7.
웹 서비스 주요 해킹 기법 - 파일 업로드 다운로드 취약점 1. 파일 업로드 취약점 File Upload 웹 애플리케이션 개발/운영 환경에서 공격자가 실행 가능한 언어로 작성된 공격 프로그램(webshell)을 업로드한 후 원격으로 해당 파일에 접근하여 실행 시키는 취약점이다. 대상이 되고 있는 웹 애플리케이션 환경과 동일한 언어로 작성된 파일(webshell)을 업로드 하여 그 파일로 원격으로 실행(접근)이 되는가 점검한다. (거의 웹쉘을 업로드하는게 목표) [점검 방법] (1) 업로드 기능을 찾는다. (2) 업로드를 하는 확장자를 검증하는가? (하고 있다면 어떻게 하고 있는가?) (3) 대상의 웹 애플리케이션 환경을 파악하여 맞는 것을 삽입 (4) 동일한 언어의 파일을 업로드 후 실행 및 접근이 가능한지 점검한다. (서버 어딘가에 저장되어 있으니 유추하여 U.. 공감수 0 댓글수 0 2023. 9. 7.
웹 서비스 기반 주요 위협 XSS(Cross-Site Scripting) XSS(Cross-Site Scripting) - OWASP 2021 항목에 인젝션과 포함됨 - 공격자가 원하는 구문이 클라이언트 영역에서 실행 - 악성 URL 유도 혹은 사용자의 인증값(세션/쿠키 등) 탈취에 활용 - 피해자의 권한을 악용하여 공격자가 원하는 행위를 수행(CSRF) - 클라이언트(사용자) 입장에서 입력할 수 있는, 입력하는 모든 값은 모두 진단 대상이 됨 - 내가 입력하는 구문(입력값) 스크립트를 웹사이트에 일시적/무기적으로 삽입되어 실행 가능하도록 함 XSS 취약점 외부의 공격자가 클라이언트 스크립트를 악용하여 웹사이트에 접속하려는 일반 사용자로 하여금 공격자가 의도한 명령이나 작업을 수행하도록 하는 공격이다. 공격자는 이 공격을 이용하여 악성 서버를 유도하거나 사용자 쿠키정보를 추출.. 공감수 0 댓글수 0 2023. 9. 6.
웹 서비스 기반 주요 위협 SQL Injection [SQL Injection] 내가 입력할 수 있는 영역에 진단을 수행함(입력값) 웹 사이트를 둘러보다가 DB에 질의할 것 같은 페이지에서 진단을 수행 ※인증우회 - ' or 1=1 -- - ' or '1'='1 - ' or 'a'='a - ' or '222222'='222222 - ETC.... ※Error-Based SQL Injection - DB에러가 출력되고, 에러 메시지가 친절할 때 = ' and db_name() > 1 -- (DB이름) = ' having 1=1 -- (Table, 첫번째 column) = ' group by num, user_id -- (컬럼들) = ' or 1 in (select user_id from members where num > 0) -- = ' or 1 in (.. 공감수 0 댓글수 0 2023. 9. 6.
ARP Spoofing 스푸핑 공격을 이용한 MITM 공격 원리 ARP 스푸핑(ARP Spoofing)은 근거리 네트워크(LAN)에서 사용되는 대표적인 중간자 공격으로 두 단말 간의 통신을 속여 자신의 IP를 통해 통신하도록 만들어 중간에서 네트워크 통신 내용을 스니핑 또는 스푸핑 하도록 하는 기술입니다. ARP Spoofing은 서비스거부공격으로써 사용자가 평소처럼 컴퓨터를 사용가능 합니다. 이는 DOS가 아닌 스나핑이 된 것으로 IP에서 MAC주소로 변환하는 과정에서 발생하는 ARP Reply패킷을 변조하여 공격하는 방식이라 감염을 확인하기는 어렵다. ARP스푸핑을 이용한 MITM 공격 원리 두 컴퓨터 간의 통신 사이에서 통신을 정상적인 것처럼 속여 데이터가 공격자를 경유하도록 유도하는 기술로써 두 컴퓨터는 정상적인 통신을 하는 것으로 인지하지만, 실제로는 공격자.. 공감수 0 댓글수 0 2023. 9. 1.
SQL(Structured Query Language) Injection 공격 대응방안(2) Blind SQL Injection Boolean based 불 방식의 SQL Blind SQL Injection은 데이터베이스로부터 특정한 값과 데이터를 전달받지 않고 단순히 참과 거짓의 정보만 알 수 있을 때 사용합니다. 로그인 폼에 SQL Injection이 가능하다고 유추되면 서버가 응답하는 로그인 성공과 로그인 실패 메시지를 이용하여 DB의 테이블 정보 등을 추출해 낼 수 있습니다. 블라인드 공격은 에러 기반 공격과 다르게 DB 서버 에러 메시지를 이용하지 않고 바로 DB를 공격합니다. 이 공격은 DB 취약점을 노리고 공격하는 기법보다 성공하기 어렵긴 하지만 꾸준히 발생하는 공격 중 하나입니다. 위의 그림은 Blind Injection을 이용하여 데이터베이스의 테이블 명을 알아내는 방법입니다. .. 공감수 0 댓글수 0 2023. 8. 31.
SQL(Structured Query Language) Injection 공격 위험성(1) SQL인젝션 공격은 대표적으로 DB를 공격해서 개인정보 등의 정보를 탈취하는 방식입니다. 예컨대, 어떤 웹사이트가 있는데 사용자 아이디가 ‘korea' --’이고 비밀번호는 ‘사용자pw’으로 설정했을때 사용자 아이디와 비밀번호를 제대로 입력해야 해당 웹사이트 DB에 접속해 정보를 볼 수 있는 것입니다. SQL Injection은 사용자 비밀번호를 제대로 입력하지 않고 해커가 임의로 여러 문자 조합을 이용해 DB에 접속해 비밀번호를 볼 수 있게 도와주는데 아이디로 ‘사용자id’를 넣고, 비밀번호로 '사용자pw’를 입력하여 DB에 접근해 정보를 탈취합니다. 구글 검색을 통해 공격 대상 웹사이트에 추가적인 문자열을 입력하여 웹사이트 접속 오류를 유도한 다음, 해당 웹사이트 관리자 모드로 들어가 내부 정보를 빼.. 공감수 0 댓글수 1 2023. 8. 31.
SQL(Structured Query Language) Injection 공격 개념 취약점 웹서버와 DB서버가 연동되는 웹 서비스 중 사용자의 입력을 받는 화면이 로그인 화면, 검색 입력 창 등 존재하고 입력 받는 문자열에 별도의 처리없이 데이터베이스 조회를 위한 SQL 구문이 사용될 경우, 정상적인 SQL 구문 인자 값의 변조를 통해 데이터 베이스 접근 및 임의의 SQL Query문을 실행할 수 있습니다. SQL Injection은 데이터베이스에 직간접적으로 악영향을 줌으로써 치명적이죠. 만연하게 사용되어 온 웹 해킹 공격법 SQL Injection은 웹 애플리케이션 사용자 입력 값에 필터링이 제대로 안되어 있을 때 발생합니다. 공격자가 조작된 SQL 질의문을 삽입하여 웹서버 DB 정보를 열람하거나 정보를 유출·조작합니다. SQL Injection을 이해하려면 우선 SQL이 무엇인지 알고 넘.. 공감수 0 댓글수 0 2023. 8. 31.
OWASP(Open Web Application Security Project) TOP10 10대 취약점 가이드 변천사 OWASP 10대 취약점 가이드 변천사 저번에 OWASP(Open Web Application Security Project) 탑10 10대 취약점 가이드에 대해서 글을 작성했습니다. OWASP는 오픈소스 웹 애플리케이션 보안 프로젝트로써 주로 웹에 관한 보안 취약점에 대한 연구를 수행하지요. https://metacoding.tistory.com/entry/OWASP-10%EB%8C%80-%EC%B7%A8%EC%95%BD%EC%A0%90-%EA%B0%80%EC%9D%B4%EB%93%9C-TOP10 OWASP(Open Web Application Security Project) TOP10 10대 취약점 가이드 2022년 OWASP 10대 취약점 총정리 가이드 애플리케이션은 해커가 쉽게 악용할 수 있는 몇.. 공감수 0 댓글수 0 2023. 8. 29.
OWASP(Open Web Application Security Project) TOP10 10대 취약점 가이드 https://zrr.kr/JLk4 OWASP(Open Web Application Security Project) TOP10 10대 취약점 가이드 변천사 OWASP 10대 취약점 가이드 변천사 저번에 OWASP(Open Web Application Security Project) 탑10 10대 취약점 가이드에 대해서 글을 작성했습니다. OWASP는 오픈소스 웹 애플리케이션 보안 프로젝트로써 주로 웹에 metacoding.tistory.com 2021년 OWASP TOP10 취약점 총정리 가이드 모든 웹과 애플리케이션은 수 많은 취약점을 갖고 있고 공격자가 쉽게 악용할 수 있는 리스크를 갖고 있습니다. 그래서 보안에 대한 접근 시 어설프게 대응하면 치명적인 결과를 초래할 수 있지요. 보안의 전략을 오판한.. 공감수 0 댓글수 0 2023. 8. 29.
웹web 모의해킹, 해킹 도구들 웹 모의해킹 공부시 칼리리눅스에서 사용되어지는 도구들 ZAP (OWASP Zed Attack Proxy) - OWASP 오픈 소스 프로젝트 일환으로 웹 어플리케이션 취약점 스캔 도구 Burp Suite - 웹 페이지의 요청, 응답 과정의 데이터를 변조하거나 조작할 수 있는 도구 Dirbuster - OWASP 오픈 소스 프로젝트 일환으로 웹 서버에 관한 디렉토리, 파일 그리고 무차별 대입공격(Brute Force)를 테스트 하기 위한 도구 SQLMAP - SQLi 공격을 위해 파이썬으로 개발된 오픈소스 침투테스트 도구이며, mysql, postgresql,oracle, mssql등을 지원 Nikto - 오픈소스 기반의 웹 취약점 스캔도구로 약 6700개의 잠재적인 항목을 통해 취약점을 스캔한다. 공감수 0 댓글수 0 2023. 8. 21.
우분투 아파치 톰캣 다운로드 방법 공감수 0 댓글수 0 2023. 8. 17.
VMware Workstation Player 15버전 다운로드 설치와 사용 방법 1. VMware Workstation Player 15 다운로드 방법VMware Workstation 프로그램은 우리가 만연하게 사용하고 있는 윈도우Windows 안에서 이 프로그램을 통해 가상 환경 설정을 하고 Linux OS를 사용 혹은 공부하고자 가장 많이 사용하는 프로그램이다. 따라서, 이번에는 VMware Workstation Player 15를 다운로드 해보고 사용방법까지 알아보고자 한다. 파일을 실행하면 처음으로 뜨는 화면이다. Next 클릭!!라이센스License 동의란에 체크를 하고 Next 클릭!!개인 취향에 따라 설치 경로를 설정하고 Next 클릭!! 향상된 키보드 드라이버를 설치할 것인가의 물음에는 체크를 해주자!! 키보드 드라이버를 설치하면 리부팅은 필수이며 10MB의 용량이 필.. 공감수 0 댓글수 0 2023. 8. 16.

728x90

반응형

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.