[Root Me] It happens, sometimes - 웹해킹 / Verb tampering / Burp Suite

 

Root Me 웹해킹 문제에서 다뤘던 기법에 대한

 

실전느낌의 문제이다.

 

HTTP - Verb tampering 문제와 관련있다.

(https://hackingstudypad.tistory.com/120)

 

반응형

 

문제의 목표는 

 

administration section 에 접근하는 것이다.

 

 

문제 페이지에 접속하면

 

이런 허접한 홈페이지가 나온다.

 

 

주소창에 /admin 을 입력했더니

 

이렇게 팝업이 뜨면서 

 

id, pw 를 입력받는다.

 

/admin 경로가 administration section 인게 확실한것 같다.

 

문제는 id, pw 를 모른다는 것이다.

 

 

Burp Suite 라는 프록시 도구를 이용해

 

한번 패킷을 살펴보았다.

 

/admin 경로에 접근할때 GET 메소드를 이용해서 Request 를 보낸다.

 

Response 에는 401 Authorization Required 에러가 났다는 것을 알 수 있다.

 

id, pw 를 입력하지 않았기 때문이다.

 

 

HTTP - Verb Tampering 문제에서 했던것 처럼

 

GET 메소드를 AAAA 또는 아무 문자열으로 바꿔서

 

Request 패킷을 보내면

 

인증이 우회되면서 비밀번호를 찾을 수 있게 된다.