은율님의 블로그

HTML Injection - Stored (Blog)란?HTML Injection - Stored (Blog)는 사용자가 입력한 악성 HTML 코드가 서버에 저장되고, 다른 사용자가 이를 볼 때마다 실행되는 취약점입니다. 이는 블로그, 게시판, 댓글 시스템과 같이 사용자 입력을 저장하고 표시하는 웹 애플리케이션에서 발생합니다.어떻게 작동하나?악성 코드 입력: 공격자는 블로그 게시글이나 댓글 입력란에 악성 HTML 코드를 삽입합니다.저장: 이 입력은 서버의 데이터베이스에 저장됩니다.표시: 다른 사용자가 해당 게시글이나 댓글을 볼 때, 저장된 악성 HTML 코드가 실행됩니다.문제점다수의 사용자에게 영향: 한 번의 공격으로 여러 사용자가 영향을 받을 수 있습니다.데이터 유출 및 도난: 악성 스크립트가 실행되..

HTML Injection - Reflected (Current URL) 란?HTML Injection - Reflected (Current URL)은 사용자가 입력한 데이터를 URL의 쿼리 스트링을 통해 서버로 보내고, 이 입력 데이터가 서버에서 처리되어 다시 웹 페이지의 HTML 코드로 반영되는 취약점을 이용한 공격입니다. 이 공격 방식은 URL에 포함된 악의적인 HTML 코드가 서버를 통해 반사되어 사용자에게 반환됩니다.어떻게 작동하나?사용자 입력 : 사용자는 URL 쿼리 스트링을 통해 데이터를 입력합니다. 이 데이터는 URL의 일부로 서버에 전달됩니다.서버 처리 : 서버는 URL에서 쿼리 스트링을 추출하여 이를 HTML 페이지에 반영합니다.데이터가 적절히 검증되지 않고 HTML 콘텐츠에 그대로 삽..

HTML Injection - Reflected (POST)란?HTML Injection - Reflected (POST)는 사용자가 입력한 데이터를 HTML 형식으로 처리하여 페이지에 즉시 반영하는 방식의 취약점을 이용한 공격입니다. 이 때, 데이터 전송 방식이 POST 메서드를 사용합니다. 공격자가 악의적인 HTML 또는 JavaScript 코드를 삽입하여, 서버로 전송된 후 응답 페이지에 반영되도록 합니다. 이로 인해 브라우저에서 의도하지 않은 동작이 발생할 수 있습니다.어떻게 작동하나?사용자 입력 : 사용자는 웹 페이지의 입력 폼에 데이터를 입력합니다. 이 데이터는 POST 메서드를 통해 서버로 전송됩니다.서버 처리 : 서버는 입력된 데이터를 받아 이를 HTML 페이지의 일부로 처리합니다.페이지 ..

HTML Injection - Reflected (GET)란?HTML Injection - Reflected (GET)는 웹 페이지에 사용자가 입력한 HTML 코드가 그대로 반영되어 표시되는 취약점을 이용한 공격이며, 여기서 Reflected는 입력한 데이터가 서버에 저장되지 않고 즉시 웹 페이지에 반영된다는 뜻이고, GET은 입력 데이터가 URL에 포함되어 전달된다는 걸 의미한다. 어떻게 작동하나?사용자가 입력: 사용자가 웹 페이지의 URL이나 검색창 같은 곳에 데이터를 입력한다.서버가 반영: 서버는 이 입력을 그대로 웹 페이지에 반영한다.브라우저가 렌더링: 브라우저는 서버가 반환한 HTML 페이지를 렌더링하면서 사용자가 입력한 HTML 코드를 실행함문제점스크립트 실행: 공격자가 삽입한 악성 스크립트가..

우선 첫번 째로는 bWAPP를 실습하기 위해 필요한 기본 애플리케이션 설치 및 과정을 진행해볼 예정이다.1. VMware Workstation Pro 다운로드2. beebox 설치 ( beebox를 활용해 bWAPP 접속 ) 3. Burp Suite 설치  1. VMware Workstation Pro 다운로드https://support.broadcom.com Home - Support Portal - Broadcom support portalIt appears your Broadcom Products and Services are supported by one of our certified Support partners Click below to be redirected to the appropriat..