주의사항 1

안녕하세요.진단자의 핸들링이 벗어날 수 있는 상황일 경우 담당자와 협의가 필요한 부분입니다.예를 들어, 공지사항의 XSS 취약성 여부 진단은 공지사항 작성 만으로 전사 직원에게 알람이 갈 수 있으며, 삭제 가능 여부 등으로 인해 진단자의 커버에서 벗어난 영역들이 발생할 수 있기에 이러한 부분은 담당자와 협의가 필요합니다.그러나 세션하이재킹의 경우, 공격자/희생자를 진단자가 구성해서 할 경우는 진단자 레벨에서 커버가 가능하기 때문에 굳이 담당자 협의 없이 진행하시면 됩니다. 물론 공격 대상의 웹 어플리케이션에서 세션 하이재킹 글 작성 후 신속히 삭제는 해야 됩니다.단, 세션하이재킹 공격의 희생자가 고객센터 직원 혹은 사내 직원이 될 경우는 담당자 협의가 필요한 부분입니다. 또한 업무에 문제가 생기지 않게 스트립트 구성도 필요하겠죠.따라서 진단지 레벨에서 커버 가능한 영역들은 담당자 협의 없이 보고서 작성으로 이어지면됩니다.

저 웹페이지는 어떻게 들어가나요?

맥에 대한 부분은 잘 모르지만, 어떤 프로그램으로 설치하셧는지 알려주세요. 제대로 실행될 수 있게 도와드릴게요. 그리고 short_open_tag 설정을 변경하신뒤 아파치 재기동을 해주셔야 합니다.

PPT 자료 받을 수 있을까요?

별도로 교재는 제공하고 있지 않습니다. 죄송합니다.

게시판 취약점 찾기 속 미션2) 질문

접근이 괜찮습니다. 조금더 하심될 것 같은데요 ㅎㅎ 문법을 준수해야 한다고 생각하시고 쪼금더 고민 해보심 좋을 것 같습니다. 그리고 이벤트헨들러는 태그마다 적용 가능한 종류가 다르고, 동작하는 방식도 태그의 특성에 따라 달라집니다. 해당 태그에 사용될 수 있는 이벤트헨들러를 사용해야 되는거죠.

질문드립니다

php.ini에서 short_open_tag 설정을 On으로 해보시고 다시 아파치 재시작 해보실래요?

왜 후위 처리 방식을 사용하나요?

영상의 설명에도 있을 것 같긴한데,전위 처리 시 문자 하나는 1byte인데, 인코팅을 하게 되면 4byte가 됩니다. 따라서 용량이 더 늘어나겠죠.그래서 저장의 효율 측면을 고려하여 후위로 했을 수도 있고, 아니면 개발자 환경에 따라 후위로 할 수 있습니다.결국 로직 설계는 개발자가 하기 때문에 개발자 맘이 되는거죠 ㅎㅎ실무에서 코드를 보면 같은 기능이라도, 내부 로직이 다양한데 이는 개발자의 성향이나 환경, 편의성, 효율성 모두를 고려해서 결정 내리는 거라 ㅎㅎ

PHP 기갑 게시판 설치에서 오라클 게시판 오류

에러상으로는 아이디, 패스워드가 정확하게 입력되지 않아서 그런것 같습니다.오라클 연동되는 소스코드의 아이디, 패스워드를 다시 확인해보실래요?

Burp Suite 관련 질문

네. 버프에 저장된 웹 브라우저를 사용하시면 됩니다.

XXE Injection 퀴즈에서 궁금한 점이 있습니다.

안녕하세요.XXE 취약점에 대한 대응 방안은 "외부 엔티티 및 DTD 처리 기능 비활성화"가 맞습니다. 기존의 기능 자체가 XML 파서이기에 기존 기능을 유지한 상태에서의 대응 방안이 근본적 대응 방안이 맞습니다.추가 대응 방안에 대한 부분은 컨설턴드들의 기본적인 부분입니다. 고객사에 따라서 A 대응 방안이 안되면 B 혹은 C 등의 선택지를 두는 것이 좋습니다. 현재 기능은 XML 파서를 사용하지만 레거시 시스템이고 새로운 기능들에서 JSON 파서를 사용하는 상태라면 개발자가 JSON 파서 기능 구현 또한 충분히 고려해볼 수 있는 요소입니다. 레거시 시스템에서 외부 문서들을 참조하는 경우들이 있는데 이 기능들의 경우 문제가 발생될 수 있습니다. 이경우 허용된 DTD만 참조하는 대응 방안을 고려해 볼 수 있습니다. 아니면 관리자 기능에서 발생이 되었을 경우 기존 기능을 강화하고 인증 기능들에 대한 부분의 보안 강화하는 차선책등을 고려해 볼 수 있습니다. 일반적이론 저희가 대응 방안에 대해 여러개를 제시합니다. 예를들어, SQL 인젝션의 경우 근본적인 대응 방안은 Prepared Statement 입니다. 머 저희 입장에선 이것만 대응 방안으로 제시를 하면 좋죠. 간단하기도 하구요. 그러나 추가로 사용자 입력 값에 따른 검증 로직을 추가로 제시 합니다. 이유는 개발자의 환경에 따라 Prepared Statement를 적용하지 못하는 경우도 있습니다.(이유는 엄청 다양한 경우가 많습니다. 핑계인 경우도 있구요.) 따라서 다양한 대응 방안 제시를 통해 취사선택을 할 수 있게끔하는 것이 컨설턴트라서 다양한 방안을 제시한 것입니다.

실습 부분은 버프 사용법을 별도 공부를 하고 와야 따라하는게 가능 한 강의 인가요?

해당 실습에서는 버프 스위트 기본적인 부분밖에 나오지 않습니다.웹 통신 인터셉트 => Intercept On 설정요청 메시지 리피터 전송 => Ctrl + r그리고 리피터에서 Send 버튼 단축키 해당 부분들은 버프스위트 설치 영상 마지막부분에 나오는 내용들입니다.