본문 바로가기

Penetration

[Oh Bank] 앱 취약점 학습 앱 - 앱 분석 및 작동확인
[Oh Bank] 앱 취약점 학습 앱 - 앱 분석 및 작동확인 2023. 10. 23. 앱이 본격적으로 접속되었다면 해당 서버에 본격적으로 침투하기 위해서 준비가 필요합니다. 처음에는 시나리오를 어느정도 작성해서 생각해보려고 합니다. 파일 다운로드 취약점을 통해서 경로를 파악하고 파일 업로드 취약점을 통해서 웹쉘과 같은 도구를 삽입합니다. 해당 앱의 경우 게시판이 존재하고, 게시판을 이용해서 파일 업로드 하는것이 가능합니다. 따라서 해당 취약점을 이용해서 공격을 시도해보려고 합니다. 이제 앱을 켜서 QnA게시판에 들어가줍니다. 게시판에는 예전에 작성한 글 하나가 남아있습니다. 이제 다른 글을 작성해서 취약점을 확인햅려고 합니다. 일단 앱이 서버와 통신하기 위한 부분을 프록시를 이용해서 잡아주려고 합니다. ipconfig 명령을 통해서 아이피 주소를 찾아줍니다. 해당 ip주소를 찾고 휴대폰에..
[Oh Bank] 앱 취약점 학습 앱 - 정적 분석 및 루팅탐지 우회
[Oh Bank] 앱 취약점 학습 앱 - 정적 분석 및 루팅탐지 우회 2023. 10. 23. 이번에 공부해볼 취약점 진단 앱은 Oh Bank 입니다. 해당 앱은 실제 은행에서 사용되는 앱의 원리를 가지고 있고, 루팅탐지, frida 탐지 등의 보호기법을 가지고 있기 때문에 공부하기 좋다고 생각하였습니다. 해당 앱을 안드로이드 진단용 기기에서 실행해보기로 하였습니다. 일단 로컬 pc에서 앱이 있는 directory로 이동하여 powershell을 작동시켜서 adb 명령어를 실행하였습니다. adb install '.\Oh Bank\' 명령어를 이용해서 설치하면 아래와 같은 앱이 설치되는 것을 확인할 수 있습니다. 앱을 설치 한 후 실행 시키면 역시 특정 보호조치가 되어있어서 바로 작동할 수 없습니다. 해당 앱은 일단 루팅탐지를 우회하고 있기 때문에 이를 우회해야 앱에 접근이 가능합니다. 루팅 탐지 ..
[정보보안기사] 필기 합격 및 실기 준비
[정보보안기사] 필기 합격 및 실기 준비 2023. 10. 23. 이번에 합격 소식을 들고 찾아왔습니다.(정보처리기사 실기는 확실히 떨어진거 같은데...) 뭔가 공부한거에 비해서 잘 찍었던 느낌이 강했던 시험이라 붙었을 때 상당히 얼떨떨 했습니다. 자격증 공부라는게 결국 따는 시기가 길어지면 길어지는 만큼 수험생한테 힘든 부분이 있어서 이번에 붙어야 되겠다고 생각했습니다. 합격자 발표일인지 모르고 출근하는 날이었는데 아침에 문자하나가 와있었습니다. 해당 문자를 보고 각 문항마다 결과는 잘 알지만 어떻게 붙고 떨어졌는지 확인해보기 위해서 사이트에 방문하였습니다. 정말 딱 신기하게도 60점으로 합격하였습니다(ㅎㅎ) 그래서 이번부터 실기 시험은 확실하게 준비하기 위해서 계획을 실천하고 있습니다. 1. 개념서를 무조건 한바퀴 이상은 읽어봐야 한다. 이 부분을 실천하기 위해서 ..
CSAP[클라우드 서비스 보안인증]
CSAP[클라우드 서비스 보안인증] 2023. 10. 16. 해당 글은 아래의 블로그를 참조하여 작성하였습니다. [보안]'CSAP' 란 무엇인가? (tistory.com) [보안]'CSAP' 란 무엇인가? csap(cloud security assurance program) 클라우드서비스 제공자가 제공하는 서비스에 대해 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제23조의2에 따라 정보보호 수준의 향상 및 보장을 위하여 jjang-joon.tistory.com 처음 CSAP를 접하고 일을 시작했을 때 모두 같은 것이라고 생각했기에 보고서를 잘못 작성하였습니다. 따라서 이를 바로잡기 위해서 위의 블로그를 참조하였습니다. 어떤 대상을 전달 받았을 때 "표준","간편" 이런 기준에서 가장 많이 헷갈렸었습니다. 그래서 직접 KISA(한국인터넷진흥원) 사이트에 이..
웹 해킹을 즐겁게해주는 wappalyzer
웹 해킹을 즐겁게해주는 wappalyzer 2023. 10. 16. 오랜만에 블로그를 작성하는데 너무 기초적인 부분 없이 취약점에 대한 설명만 작성하다보니 꿀팁 같은 것이 없어서 아쉬웠습니다. 웹 해킹할때 대상파악에서 도움을 주는 Wappalyzer에 대해서 작성해보려고 합니다. 웹 해킹을 처음 배웠을 때~ PHP 사이트에 JSP 웹쉘을 올리기도 했었고, 대상 파악도 하지 못하고 SQL 쿼리도 막 입력했었습니다. 이런 슬픈일들을 겪고 나서 어떻게 해야 공격 대상을 정확히 파악할 수 있을까 하여 알게 된 것이 Wappalyzer 였습니다. Find out what websites are built with - Wappalyzer 이것을 이용하면 어느정도 대상파악을 쉽게 할 수 있는 장점이 생깁니다. 설치 방법은 아래와 같습니다. 1. chrome 웹 스토어에 접속해서 Wa..
[주요정보통신기반시설] 1. 버퍼 오버플로우
[주요정보통신기반시설] 1. 버퍼 오버플로우 2023. 10. 12. 버퍼 오버플로우란 데이터의 길이에 대한 정의가 불명확하여 할당된 메모리 공간을 넘어서 다른 메모리까지 덮어쓰게 되는 것을 말합니다. 공격자는 다른 메모리를 덮어쓸 때 시스템 중단 및 시스템 제어를 갖기 위한 특별한 소스코드를 삽입할 수 있습니다. 시스템 해킹 영역에서 버퍼 오버플로우는 SFP 영역 및 Canary같은 보호영역을 넘어서 본격적인 RET(리턴) 주소를 찾아 그 부분에 실행 시키고 싶은 코드를 실행시켜서 exploit 하는 경우에 주로 사용되는 경우가 많습니다.(추후에 시스템 해킹 영역으로 다뤄보고 싶기 때문에 웹 점검에서는 간단히 다루겠습니다) 웹 홈페이지 점검시에는 입력을 허용하는 파라미터 및 입력폼에 비정상적으로 긴 값을 입력하여 웹 사이트(웹 어플리케이션)의 반응을 살펴보는 것으로 확인..
정보처리기사 실기 & 정보보안기사 필기 결과(가채점)
정보처리기사 실기 & 정보보안기사 필기 결과(가채점) 2023. 10. 7. 오늘은 정말 힘든하루였습니다. 한숨 돌리고 글을 작성해보곘습니다 (후우) 추석 때 공부에 시간을 많이 못 썼다는 점과 회사일에 밀려서 공부하지 못했다는 점에도 불구하고 이번 결과는 꽤나 선방했다고 생각하는 하루였습니다. 일단 정보처리기사 실기는 확실히 가채점 해보지 않았지만 준비 자체가 미흡했고 코딩 문제 몇개의 답안을 맞춰보았을 때 확실히 떨어졌다는 것을 느꼈습니다....(변태같은 연산문제 두개는 확실히 틀렸습니다..) 하지만 정보보안기사 필기는 절대적으로 부족한 공부량에도 대학교때 배웠던 정보보호개론 내용이 생각나서 붙었습니다~~ 정보처리기사 실기 정보처리기사 실기의 경우 공부를 안하고 들어간 수준이었지만 "오? 좀 외웠으면 붙겠는데?" 하는 느낌의 문제들이 많이 출제되었습니다. 코딩 자체는 이해가 ..
정보처리 기사 실기공부 6일차 & 정보보안 기사 필기 1일차
정보처리 기사 실기공부 6일차 & 정보보안 기사 필기 1일차 2023. 10. 2. 이번에 추석을 겪으면서 수많은 유혹들을 극복하면서 극복할 수 있다고 생각했으나 생각보다 쉽지 않았습니다. 1일차(회사 휴일전 마지막날) 공부하고 2~4일차 공부를 쉬었습니다. 그렇게 생각하던 도중에 5일차부터 정신을 차려서 부랴부랴 강의를 들었습니다. (수, 목, 금은 회사에 있으니 미리 해야되겠다는 생각) 그래서 이번에 공부한 내용에 대해서 작성해보려고 합니다. 실질적으로 정보처리기사 실기 정보보안기사 실기를 준비하는데 쓴 시간이 3일밖에 안되었다는게 가장 큰 흠인것 같습니다. 정보 처리 기사 실기 정보 처리기사 실기는 2023년 정보처리기사 실기 1회차 시험후기 기출문제비율 정리 (tistory.com) 와 같이 참조해보면 23년도 실기 1회차 정보에 따르면 프로그래밍 언어 8문제 SQL 응용 3문제..

티스토리툴바