웹개발자를 위한 홈페이지 취약점 분석 누리집: 웹해킹, 웹취약성분석, 모의침투

                                                                                                                
               #      #                    #                 #                                              m   
m     m  mmm   #mmm   # mm    mmm    mmm   #   m          mmm#  m   m  m mm   m   m         m mm    mmm   mm#mm 
"m m m" #"  #  #" "#  #"  #  "   #  #"  "  # m"          #" "#  "m m"  #"  #  #   #         #"  #  #"  #    #   
 #m#m#  #""""  #   #  #   #  m"""#  #      #"#           #   #   #m#   #   #  #   #         #   #  #""""    #   
  # #   "#mm"  ##m#"  #   #  "mm"#  "#mm"  #  "m    #    "#m##   "#    #   #  "mm"#    #    #   #  "#mm"    "mm 
                                                                 m"                                             
                                                                ""

웹취약점점검 실습 및 설명은 Kali Linux를 기반으로 합니다.
먼저 가상머신(VMWare/VirtualBox)으로 칼리리눅스를 설치하시기 바랍니다.

취약점 분석에서의 웹해킹, 모의침투, 웹취약점분석

웹해킹(Web Hacking)은 "블랙박스(black-box) 환경에서 웹서버에 비정상적으로 접근할 수 있는 모든 경로를 탐지하는 작업"이라고 할 수 있습니다. 웹해킹은 소수 전문가로 진행할 수 있으나 많은 시간이 소요됩니다. 모의침투(Pentest: Penetration Test)는 "블랙박스(black-box) 또는 화이트박스(white-box) 환경에서 대상 네트워크에 침투를 시도함으로써 악의적 공격을 사전에 차단할 수 있는 방법을 모색하는 전방위적인 작업"입니다. 모의침투는 다수의 전문가가 필요하며 매우 장기적인 작업입니다. 웹취약점분석은 "화이트박스(white-box) 환경에서 홈페이지 서비스를 위한 서버환경과 웹 어플리케이션 결함을 진단하는 작업"이라고 정의할 수 있습니다. 웹취약점 분석은 소수의 전문가가 가장 짧은 기간 내에 진행할 수 있는 작업입니다. 이 누리집은 주로 white-box 시험방식의 웹취약점 분석 및 진단에 대한 정보를 제공하려고 합니다.

개발자를 위해서는 가능한 취약점이 발생하는 소스를 분석하고 이에 대한 해결책을 제시함으로써 보다 안전한 코딩(Secure Coding)에 대한 안내서로 활용할 수 있도록 할 예정입니다.

웹취약성분석은 경험이 결과의 품질을 좌우합니다.
실전 경험이 많다면 가장 좋겠지만 훈련장도 이에 못지 않은 도움을 줍니다.
훈련장 해설서, 답안지를 보면서 문제를 풀면 가장 빨리 경험치를 높일 수 있습니다!

주요 꼬리표구름(Tag Cloud)

#/cgi-bin/authLogin.cgi #/etc/passwd #/etc/shadow #/manager/html #A1-Injection #A10-Unvalidated Redirects and Forwards #A2-Broken Authentication and Session Management #A3-Cross-Site Scripting (XSS) #A4-Insecure Direct Object References #A5-Security Misconfiguration #A6-Sensitive Data Exposure #A7-Missing Function Level Access Control #A8-Cross-Site Request Forgery (CSRF) #A9-Using Components with Known Vulnerabilities #AJAX #Anonymity on the Internet #Apache log #Apache Tomcat Default Manager #ASP 웹쉘 #b374k.php #Base64 인코딩 #Bash Shellshock #Blind SQLi #brute-force attack #Cookie Misuse #Cross-site Script #curl #CVE-2014-6271 #Damn Vulnerable Web Application #DDoS #Denial of Service #DoS #DVWA #DVWA Blind SQL Injection #DVWA SQL Injection #FCKeditor #Guest OS #hsqldb #HTML Injection #HTML 삽입 #HTTP Method #HTTP 프록시 #HTTP 헤더 #HttpOnly #hydra #iframe 삽입 #information_schema #John the Ripper #Kali Linux #LFI #Live ISO #Local File Inclusion #Manual SQL Injection #MITM #muieblackcat #MySQL #mysql #nc #nikto #nmap #Null-byte Injection #OWASP WebGoat #owasp-zap #Path Traversal #PentesterLab #phishing #PHP 웹쉘 #phpMyAdmin #POST /command.php #ProxyAbuse #RFI #ServerTokens #Shared Folder #SmartEditor2 #SQL Injection #sqlmap #SQL구문삽입 #SQL인젝션 #ssh brute-force #SSL #telnet #Tor Browser #Tor Network #TRACE #Union-based SQLi #VirtualBox #weak-root-pw #Web Editor #WebGoat #webshell #website defacement #WH-Account-01 #WH-Account-02 #WH-COOKIE-01 #WH-deface-01 #WH-IllInst-WordPress #WH-LFI-01 #WH-WebEditor #WordPress #X-Frame-Options #XMLHttpRequest #XSS #가상머신 #경로재지정 #경로조작 #공격로그 #공유폴더 #관리자 비밀번호 #관리자계정탈취 #권한인증 취약점 #내부파일실행 #널문자삽입 #네트워크 감청 #네트워크 해킹 #대용량 네트워크 트래픽 #로그분석 #명령어삽입 취약점 #무작위대입공격 #반사형 XSS #방어법 #방화벽 #버추얼박스 #비ASCII문자 삽입 #비밀번호 복잡도 #서버해킹 #서비스거부공격 #세션탈취 #수동 SQL구문삽입 #쉘쇼크 #스마트에디터 #스캔로그 #시험페이지 #실습설명서 #악성코드 #운영체제명령어삽입 #워드프레스 #웹방화벽 우회 #웹쉘 #웹쉘등록 방어 #웹쉘생성 #웹쉘업로드 #웹에디터 #웹취약성 분석보고서 #웹취약점 분석도구 #웹해킹 과제 #웹해킹 실습 #웹해킹 훈련장 #이미지웹쉘 #인터넷 익명성 #자동화 공격도구 #자바스크립트 삽입 #저장형 XSS #조치방안 #중간자공격 #취약점해설 #취약한 비밀번호 #취약한 회원정보 처리 #침해사고 #침해사고 조사 #칼리리눅스 #칼리리눅스 한글 설정 #크로스사이트스크립트 #토르 네트워크 #파일다운로드 취약점 #파일업로드 취약점 #피싱 #한글입력기 #해킹 시나리오 #홈페이지 위변조 #확장자 검증 ::

모드 꼬리표 모아보기 (Tag Cloud)

위의 꼬리표 구름(Tag Cloud)은 각 문서의 해쉬(#) 중에서 빈도 2 이상으로 나타나는 것들을 표현한 것입니다. 여기에서 모든 해쉬를 모았습니다. (참고: A1 ~ A10까지의 OWASP TOP 10 해쉬 항목은 2013판을 기준으로 하였습니다.)

웹 취약점 분석은 많은 경험이 필요한 작업입니다. 가능한 많은 취약점을 접해보는 것이 중요합니다. 인터넷에서 이미 많은 홈페이지 취약점 관련 훈련장이 존재하므로 하나씩 풀어보는 것도 큰 도움이 됩니다. 웹 취약점 분석의 입문자라면 [PentesterLab] Web for Pentester 훈련장을 먼저 풀어보시길 권장합니다. 이후에 다른 웹해킹 훈련장들을 풀어보시기 바랍니다.
웹개발자에게는 DVWA(damm vulnerable web application) 훈련장이 취약점을 이해하고 이를 조치할 수 있는 방법을 습득하는 데 큰 도움이 될 것입니다.

정보보안관련 바깥고리

허락없이 서버나 누리집을 공격하는 일은 불법입니다!

[정보통신망이용촉진 및 개인정보보호 등에 관한 법률]
- 정보통신망 침해행위 등을 금지하고 있으며 이에 위반할 경우 3년 이하의 징역 또는 3천만원 이하의 벌금에 처합니다.
- 이용자의 동의를 받지 않고 개인정보를 수집하거나 개인의 권리·이익이나 사생활을 뚜렷하게 침해할 우려가 있는 개인정보를 수집한 자, 이용자의 동의를 얻지 않고 개인정보를 이용하거나 제3자에게 제공한 자, 그러한 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자, 이용자의 개인정보를 훼손·침해 또는 누설한 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처합니다.

[정보통신기반보호법]
- 주요정보통신기반시설 침해행위등을 금지하고 있으며, 이에 위반할 경우 10년 이하의 징역 또는 1억원 이하의 벌금에 처합니다.

[형법]
- 타인의 재물, 문서 또는 전자기록 등 특수매체기록을 손괴 또는 은닉하여 그 효용을 해한 자에 대해서 3년 이하의 징역 또는 700만원 이하의 벌금에 처합니다.

이 저작물은 크리에이티브 커먼즈 저작자표시 4.0 국제 라이선스에 따라 이용할 수 있습니다.
잘못된 내용, 오탈자 및 기타 문의사항은 j1n5uk{at}daum.net으로 연락주시기 바랍니다.

 __
/ C는 유별나고 결함이 있으며 엄청나게  \
| 성공했다.  |
|  |
| - 데니스 맥칼리스터 리치, C 프로그래밍  |
\ 언어 개발자  /
 --
                       \                    ^    /^
                        \                  / \  // \
                         \   |\___/|      /   \//  .\
                          \  /O  O  \__  /    //  | \ \           *----*
                            /     /  \/_/    //   |  \  \          \   |
                            @___@`    \/_   //    |   \   \         \/\ \
                           0/0/|       \/_ //     |    \    \         \  \
                       0/0/0/0/|        \///      |     \     \       |  |
                    0/0/0/0/0/_|_ /   (  //       |      \     _\     |  /
                 0/0/0/0/0/0/`/,_ _ _/  ) ; -.    |    _ _\.-~       /   /
                             ,-}        _      *-.|.-~-.           .~    ~
            \     \__/        `/\      /                 ~-. _ .-~      /
             \____(oo)           *.   }            {                   /
             (    (--)          .----~-.\        \-`                 .~
             //__\\  \__ Ack!   ///.----..<        \             _ -~
            //    \\               ///-._ _ _ _ _ _ _{^ - - - - ~

.. -- -- | - .. .... | ... / .. .../ ... {] . .. .. .. ..| ...... .../ .../ .. ...... ... ... ] .. [ .../ ..../ ......./ .. ./// ../ ... .. ... .. -- -- | - .. .... | ... / .. .../ ... {] . .. .. .. ..| ...... .../ .../ .. ./// ../ ... .. ... ...| ..../ ./ ... / ..| ....| ........ / ... / .... ...... ... ... ] .. [ .../ ..../ ......./ .....| ..../ ./ ... / ..| ....| ........ / ... / .... ...| ..../ ./ ... / ..| ....| ........ / ... / .... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

WebHack 누리집의 저작권

취약점 분석에서의 웹해킹, 모의침투, 웹취약점분석

주요 꼬리표구름(Tag Cloud)

정보보안관련 바깥고리

허락없이 서버나 누리집을 공격하는 일은 불법입니다!