보안맨

상당히 재미있었던 웹해킹 문제 Command Injection 과 관련된 문제이다. Sometimes it happens things are there but you can't see it directly. We need to change our vision to make it visible. I believe you have that vision. 뭔가 철학적인 문제 설명과 함께 문제 페이지 주소가 주어진다. 플래그는 flag.txt 파일 안에 있다고 한다. 문제 페이지에 처음 접속했을 때 화면이다. 뭔가 도발적인 I Bet you can't 라는 문구와 함께 아래쪽에 뭔가를 입력받는 칸이 하나 보인다. 맨 아래는 What I See 라는 문구가 적혀있다. 아무런 정보가 없어서 일단 hello 라고 입..

Root Me의 세번째 SQL injection 문제 이번 문제는 쪼금 어려울 수도 있다. 문제자체는 어렵지 않은데 많이 생소하기 때문.. 문제의 목표는 admin 으로 로그인 하는 것이다. 중간에 보면 파란색으로 힌트가 써있는것이 보인다. Do you speak chinese ? 라고 적혀있는데 이건 문제 제목에도 적혀있는 GBK 때문이다. GBK 는 중국에서 사용하는 간체 중국어에대한 문자 세트를 말한다. 국가표준(国家标准) 을 중국어로 Guojia Biaozhun 이라고 발음하는데, 여기서 G 와 B 를따고, 확장하다는 의미인 扩展 (Kuozhan) 에서 K 를 따와서 GBK 라고 지었다고 한다. 그냥 쉽게 생각하면 컴퓨터로 간체 중국어를 쓰기위해 만든 인코딩이다. 문제 페이지에 접속하면 이런 화면..

아주 재미있고 간단한 포너블 문제였다. 문제 설명을 읽어보면 John_123 이라는 사람이 만든 흥미로운 게임을 발견했는데 간단한 배팅게임이고, 이 게임을 pwn 해서 $1000000를 가져가 보라고 한다. 아래쪽에 접속할 수 있는 서버 주소가 나와있다. 보이는 것처럼 칼리 리눅스 터미널에서 그대로 입력하면 문제 서버에 접속이 가능하다. 접속하면 이런 화면이 나온다. 몇가지 게임의 규칙을 알려주는데 최초 주어지는 금액은 500$ 컴퓨터가 제시하는 숫자가 무엇인지 맞춰야한다. 컴퓨터가 제시하는 숫자의 범위는 1 - 10 이다. 10번의 기회가 주어진다. 사용자가 입력한 숫자가 10을 초과하더라도 기회는 계속 차감된다. 이정도가 이 게임의 룰이다. 이제 준비가 되었으니 아래쪽에 Y라고 입력해서 게임을 시작하..

이번 대회의 두번째 스테가노그래피 문제 비슷한 유형의 문제들을 이미 블로그에서 다룬적이 있었다. (https://hackingstudypad.tistory.com/149) 문제 설명을 읽어보면 Agent가 어떤 이미지를 줬는데 이미지 안에 어떤 정보가 있는지 찾을 수 있냐고 물어보고 있다. 문제에서 주어진건 Hidden.jpg 파일이다. 이것이 에이전트가 줬다는 Hidden.jpg 파일이다. 파일을 우클릭해서 속성을 눌러 자세히 탭으로 이동해보면 만든 이 칸에 이상한 글이 보인다. the password is shell 이라고 적혀있는데 이 문제가 스테가노그래피 문제이고, 비밀번호를 언급했다는점에서 steghide 라는 도구를 떠올렸다. 스테가노그래피 문제를 풀때 사용하는 다양한 도구 중, steghid..

계속해서 이어지는 Root Me의 SQL Injection 문제 이번 문제의 목표 역시 취약점을 이용해 administrator 의 비밀번호를 빼앗는 것이다. 문제페이지에 처음 접속했을때 화면이다. Home 의 아래에 있는 버튼이 총 5개 있는데 버튼을 하나씩 눌러보면 위처럼 뭔가 게시글같은 느낌으로 글들이 써있는게 보인다. 페이지 오른쪽 위에는 Search 와 Login 페이지로 이동할 수 있는 버튼이 있다. SQL Injection 문제이니 검색창에 가장먼저 ' or 1=1-- - 라고 입력해봤다. 그랬더니 인젝션이 성공해서 아래쪽에 모든 게시글이 출력된 것이 보인다. ' or 1=1-- - 이라고 입력한다면 where 절이 항상 참이되기 때문에 테이블의 모든 결과가 나온것이다. SQL 인젝션이 가능..

지난번 씨라이프부산아쿠아리움 방문 후기를 포스팅 한 적이 있었는데 아쿠아리움을 갔던건 사실 파라다이스호텔부산 온더플레이트 방문 전 시간이 조금 애매하게 남았기 때문이다. 15:40 부터 브레이크타임이고 디너는 18:00 부터 시작이다. 주말 디너는 125,000원인데, 네이버페이로 예약을 하면 10% 할인된 112,500원에 이용할 수 있다. 참고로 온더플레이트는 방문 전 무조건 예약이 필수이다. 창가 쪽 좋은 자리에 앉으려면 거의 이주전에는 해야되는듯 하다. 파라다이스호텔부산 온더플레이트는 해운대 해수욕장 바로 뒤에 있다. 이왕 부산간거 좋은 뷔페가 먹고싶어서 여러 호텔뷔페를 찾아봤는데 서면롯데호텔 라세느, 파라다이스호텔부산 온더플레이트, 부산그랜드조선 아리아 이 세가지가 제일 유명한듯 했다. 그중에 ..

CTFlearn 의 스물 네번째 문제 오랜만에 나온 웹해킹 분야의 문제이다. 사실 이번 문제는 웹해킹이라기 보다는 숨은그림찾기에 가깝다. 이번 문제가 특이한게 실제 운영중인 블로그를 이용해 문제를 냈다. 문제 설명에도 써있는데, Noxtal 이라는 사람이(문제 출제자) Cyberworld 라는 자기 블로그 어딘가에 플래그를 숨겨놓았다고 한다. 강조해서 써놨는데 진짜 웹사이트고, exploit 할 수 있는 버그도 없으니 여기다가 어떤 악성행위를 하면 안된다. 힌트로 제공되는건 You may find a good application for your memory :) 라는 문구이다. 문제에서 주어진 링크를 클릭해서 들어가면 이런 화면이 나온다. 링크 몇개를 클릭해서 들어가봤는데 2020년 12월 이후로 글이..

간단한 스테가노그래피 문제이다. 스테가노그래피는 데이터를 은폐하는 기술을 말한다. 사진파일이나 음악파일 등에 비밀데이터를 숨겨서 전송하는데 사용한다. 문제 설명이 아주 큰 힌트이다. I was in the seventh heaven painted red green and blue 이 문구를 잘 기억해두면 문제 푸는데 아주 큰 도움이 된다. 문제 파일로 주어지는것은 Seventh_Heaven_Image.jpeg 파일이다. 사진은 위에 보이는것과 같다. 사진을 자세히 보면 왼쪽 위가 뭔가 깨진것처럼 되어있는것을 볼 수 있다. 문제제목과 설명에 언급된 Heaven 이 여기를 의미하는것이 아닐까 싶었다. 800% 정도 사진을 확대해보면 보이는것 처럼 1픽셀마다 다른 색깔이 들어있는게 보이는데, 색상에 어떤 규칙..

올해 1월에 CISA를 취득하고나서 약 8개월 만에 받아본 자격증 (https://hackingstudypad.tistory.com/47) 사실 조금 더 일찍 받을 수 있었지만 밍기적거리다가 이제야 받게 되었다. CISA는 Certified Information System Auditor 의 약자로, 국제공인정보시스템감사사 자격이다. 미국에 있는 ISACA(Information Systems Audit and Control Association) 이라는 기관에서 주관하며 정보보안기사, CISSP와 함께 보안 3대 자격증으로 잘 알려져 있다. 지난번엔 시험정보 / 후기 / 접수방법에 대해서 올렸는데, 이번엔 자격증 신청 방법에 대해서 포스팅 해보려고 한다. 아무래도 외국 자격증이다보니 국내 자격증들이랑은 ..

Root Me 에서 제공하는 SQL Injection 문제 문제의 목표는 취약점을 이용해 administrator 의 비밀번호를 빼앗는 것이다. 문제페이지에 접속하면 이렇게 간단한 로그인 창이 나오게 된다. 시험삼아 Login / Password 에 admin / admin 이라고 입력해봤다. 당연하게 Error : no such user/password 라는 문구가 출력된다. 웹을 구현할 때 DB와 상호작용하는 로그인창, 게시판, 검색창 등등 부분에 SQL(Structrued Query Language) 이라는 DB 언어를 이용해 데이터를 불러오고, 또 저장하는데 서버에서 DB로 전달하는 SQL문을 비인가자가 조작이 가능할 경우 취약점이 발생한다. SQL 인젝션 취약점이 존재하는지 알아볼 수 있는 가장..