SK Rookies 9

설치 #인터넷이 안된다? sudo dhclient #도커 컨테이너 환경 설치 sudo apt update sudo apt install docker.io #네트워크 할당 보기 ifconfig #잘 깔렸는지 확인 sudo docker version 도커 네트워크가 할당되지 않았을 시 - 재시작 해보기 sudo service docker stop sudo service docker start https://hub.docker.com/ 에서 다양한 이미지들을 볼 수 있다. 도커 실행 #다운받고자 하는 이미지 검색 #OFFICIAL이 OK된 것이 안전한 이미지다.(백도어같은 악성코드가 담긴 이미지가 있을 수 있음) sudo docker search nginx #찾은 후 다운로드 및 확인 sudo docker p..

XSS 취약점 심화 HTML, JS 등 클라이언트 스크립트를 이용하여 사용자의 브라우저를 통해 악의적인 특정 행위를 하게 하는 것 XSS 정의보다는 XSS 취약점을 이용하여 어떤 공격을 할 수 있는지?!!! 고민하는게 중요 사용자의 쿠키 정보(세션)을 획득하여 다른 사용자의 권한을 획득 (쿠키 재사용 공격) 악의적인 사이트로 유도를 하여 악성코드 배포 피싱 사이트를 이용하여 개인정보 탈취 Beef를 활용한 공격 1. 다운로드 및 실행 sudo apt update sudo apt install beef-xss #id, password 수정 후(password must be not 'beef') kali 재시작 cd /usr/share/beef-xss sudo vi config.yaml #실행 sudo be..

모의해킹 변화 : 웹 해킹 -> 클라우드 기반 중점 : 인증 처리 미흡 사용자 권한을 가지고 접근되지 않아야 할 곳 접근 허용되는 것 다른 사용자의 게시물 수정 및 삭제 사용자 권한으로 관리자 권한 페이지 접근 및 제어 회원 가입 과정에서 주민번호 포함을 해서 우회를 할 수 있나? 유료 서비스를 무료 서비스로 사용할 수 있나? 비밀글의 패스워드를 우회하여 열람 이벤트 한번 참여했는데? 반복해서 또 참여 가능할까? 10만원짜리 쇼핑물 가격을 1000원으로 바꿀 수 있나? 1:1 문의 게시물을 열람할 수 있나? 열람 가능 취약점 수정 가능 취약점 삭제 가능 취약점 JavaScript 우회 이벤트 투표하는 곳을 우회해보자. 로직 : 투표 -> 기간이 지났다고 alert창이 나옴 -> 코드중에 alert를 띄..

초기 아파치 서버, php, mariadb 설치 $ sudo yum update -y // -y는 미리 yes로 설정 $ sudo yum install httpd // 아파치 웹서버 설치 $ sudo amazon-linux-extras install -y lamp-mariadb10.2-php7.2 php7.2 // lamp : Linux용 Apache2 MySQL PHP (웹서버 세트) $ sudo yum install -y mariadb-server $ sudo systemctl start httpd // 아마존 리눅스에서는 아파치 시작명령을 사용해야 아파치가 시작함 $ sudo systemctl enable httpd // 부팅할 때마다 시작하도록 등록함 db에 database 생성 및 user 생성..

원격으로 aws 하기(반복 작업이 많은 경우 효과적) $ sudo apt update (비밀번호 : ubuntu ) $ sudo apt install python-setuptools python3-pip -y $ sudo apt install vim $ sudo apt install net-tools $ sudo pip install awscli // 아마존에서 CLI설치 완료 $ aws --version IAM에 들어가서 엑세스 키 생성 및 다운받기 그 후 aws cli 들어가기 (aws configure시 sudo 붙이면 계속 붙이고 안붙이면 계속 안붙여도 됨) S3 Bucket 실습 $ sudo aws configure ----> Accessk key ID와 Secret access key, 리전은..

putty : 서버와 연결할 때 사용 (SSH 등) puttygen : 키 형식을 변경해주는 도구 (dogyun-key.pem -> dogyun-key.ppk) ppk : putty private key형식으로 변경하면 chmod400 으로 권한변경 안해줘도 됨 실습 Load를 누른후 Save Private Key눌러서 ppk로 저장하기 Bitnami wordpress 이미지로 인스턴스 생성 그 후 Putty켜서 Session에 HostName에 퍼블릭 IP넣기 SSH-Auth에 프라이빗 키 넣기 aws에서 만든 키를 ppk로 변환해서 접속해보기 접속시 bitnami입력 접속후 DB 아이디와 비밀번호를 cd /home/bitnami 에서 cat bitnami credentials 로 얻은 후 관리자 페이..