[DVWA 실습] File Inclusion✔ 공격대상 : `file1.php`링크를 누르면 아래와 같은 결과가 나온다. `localhost/dvwa/vunlerabilities/fi/?page=file1.php`에서 `page=file1.php` 부분을 `page=file4.php`로 입력하면, File Inclusion 공격이 잘 진행되는지 알 수 있다. page 파라미터를 조작해서 원하는 파일을 실행시키는 공격을 진행하면 된다.📌 1. Low Level📕 LFI 공격page 파라미터값에 `page=../../../../../../etc/passwd`을 입력하여 서버의 `/etc/passwd`파일을 읽도록한다. 📕 RFI 공격page 파라미터값에 `page=http://naver.com`을 입력..
[DVWA 실습] Command Injection✔ 공격 대상 : 👉 입력창은 IP 주소를 넣어 ping을 확인하는데, 이곳을 통해서 다른 시스템 명령어가 실행되도록 하면 된다.📌 1. Low Level우선, IP주소를 넣으면 아래와 같이 뜬다. 해당 검색창에 시스템 명령어를 넣어 보았다.1) `ls`👉 아무것도 뜨지 않는다. 2) `127.0.0.1; ls`IP 주소 뒤에 `;`을 붙이고 시스템 명령어(`ls`)를 입력하였다.👉 `ping 127.0.0.1` 결과와 함께 `ls` 결과가 나온다.(성공😀) 3) `127.0.0.1; cat /etc/passwd`추가적으로 계정정보도 확인해 보았다. 👉 `ping 127.0.0.1` 결과와 함께 `cat /etc/passwd` 결과도 나온다. ..
[DVWA 실습] Brute Force Attack📌 1. Low Level✔ 공격 대상 : 로그인 페이지👉 brute force 공격을 해야 하는 로그인 페이지. 무작위로 대입하여 Username이랑 Password를 얻어내면 된다.✔ 공격 도구 : `Burp Suite` 도구를 이용하여 무차별 공격 1. Burp Suite를 통해서 Proxy 설정을 한다. 2. Proxy 설정 후 `Intercept`를 하게 되면, HTTP Request 되는 패킷을 확인할 수 있다.👉 GET 방식으로 `username`과 `password` 파라미터 값이 전달 된다. 3. Intruder 이용하기- Proxy에서 HTTP history에서 원하는 요청의 오른쪽 마우스 클릭 → `Send to Intruder`..
[웹 보안] DVWA 설치하기*이글은 과거에 DVWA로 실습했던 글을 다시올리는거여서 현재 버전과 맞지 않을 수 있음* 1. DVWA 개요DVWA(Damn Vunlerable Web Application)은 취약한 웹 어플리케이션으로 웹 모의해킹을 연습하기 위한 어플리케이션DVWA는 리눅스기반의 OS에서 `Apache` + `PHP` + `MySQL(또는 MariaDB)`로 이루어져있다. 2. Kali Linux에 DVWA 설치하기 📌 Kali Linux 설치하기1) https://www.kali.org/downloads/ 에서 ios다운2) Oracle VM VirtualBox에 ios파일을 넣어서 설치 📌 DVWA 설치하기1) 설치파일 다운받기www.dvwa.co.uk 홈페이지에서 `DVWA-1...
