해킹왕 양선규

Natas Level 5 입니다. 메인 페이지 입니다. 로그인이 되어있지 않아 액세스 허용이 안되어있다고 합니다. 음.. 분명히 접속할때 아이디와 password를 입력했는데 말이죠. 딱히 뭔가를 입력할 폼도 파라미터도 안 보이고.. Level 4처럼 상대를 속여볼까요? Burp Suite를 이용해 Request패킷을 조작해서, 내가 로그인 된 상태라고 인지하도록 속여 봅시다. Burp Suite 실행해서 Intercept is on 눌러준 후, 문제 페이지에서 "새로고침"(F5) 을 눌러 줍시다. 이렇게 Request 패킷을 잡았습니다. Level 4 에서는 Referer 부분을 수정했었죠. 하지만 이번엔 보이지 않네요.. 하지만 10행에 Cookie 헤더가 보이십니까? 헤더 내용 끝부분까지 따라가 보..

Natas Level 4 입니다. 메인페이지 입니다. 액세스가 허용되지 않았다. 너는 "" 에서 방문하고 있지만, natas5에서 접속해야 한다.. 대략 그런 뜻입니다. Refresh page 버튼을 클릭하면, 비어있던 더블쿼터("") 안에 현재 나의 경로가 입력됩니다. 이외에 별 반응은 없습니다. 처음엔 또 디렉터리 리스팅인가? 아니면 php파일이 있는걸 이용하라는건가? 속임수인가? 라는 생각을 했지만 그런건 없었습니다. 그냥 문장 그대로 이해하면 됩니다. 문제에서, natas5에서 접속을 하라고 했지만 우리는 natas5의 password를 모릅니다. 따라서 우리는 natas4인 채로, 마치 우리가 natas5인 것처럼 속일 필요가 있습니다. 이를 위해선 HTTP Request(요청 메시지)를 조작할..

Natas Level 3 입니다. Level 3 메인페이지 입니다. Level 2와 마찬가지로 이 페이지엔 아무것도 없다고 나오네요. 역시 개발자도구부터 켜봅니다. 늘 답이 있던 자리에.. 더이상의 정보유출은 없다! 구글조차 이번엔 정보를 찾지 못할거야... 라고 쓰여 있군요 일단 저번레벨에서 /files 디렉터리가 있다는걸 알았으니, 접근해보았습니다. 하지만 없는 디렉터리였고, 관리자페이지 취약점인가 싶어서, /admin /manager /system 등등 해보았으나 실패했습니다. 그때 문득 robots.txt 파일이 생각났습니다. robots.txt파일은 웹서버라면 무조건 가지고 있는 파일이죠. robots.txt 파일에 접근 성공했습니다. User-agent : * Disallow: /s3cr3t/..

Natas Level 2 문제이다. Level 2 메인 페이지이다. "이 페이지에는 아무것도 없습니다" 음.. 일단 개발자도구부터 켜보자 보이는가 ? 문제 메인 페이지의 There is nothing on this page 문구와 함께 이미지 파일이 함께 삽입되어 있는 것 같다. 해당 주소로 이동해보았다. 이동 방법은, 메인 페이지 주소 뒤에 /files/pixel.png 를 그대로 붙이면 된다. 아무것도 없다. 하지만 files 디렉터리에 pixel.png 라는 파일이 지금 존재한다는 것은, 다른 파일도 존재할 수 있다는 것이다. 뒤에 pixel.png 경로를 지우고 files 디렉터리로 이동해 보았다. files 디렉터리 접근에 성공했다. 방금 우리가 본 pixel.png 파일과, 또 하나의 user..

Natas Level 1이다. Level 1의 메인 페이지이다. 마우스 우클릭이 봉인되어 있다고 한다. 우클릭 봉인을 해제해야 하는건가? 일단 개발자도구부터 열어보았다. 개발자도구에 패스워드가 있다. 근데 이러면 Level 0 이랑 똑같은데? ...의아해서 찾아보니, Level 0 은 우클릭을 통하여 소스보기를 유도한 문제였다. Level 1은 우클릭이 아닌 개발자도구(F12) 를 이용한 소스코드 확인을 유도한 문제였던 것 같다.

Natas는 웹해킹 워게임이다. Level 0 ~ Level 34 까지 존재하며, 웹해킹 기법이나 취약점 등을 이용해 다음 레벨로 갈 수 있는 password를 획득하여야 한다. 해당 URL 로 접속 후, Username과 Password를 입력하면 문제 페이지로 진입할 수 있다. 초심자를 위한 웹해킹 워게임이며, 다른 워게임에 비해 기초적인 부분부터 도전하고 연습할 수 있다. 처음 웹해킹에 도전하는 사람이라면, 여기서 시작하는 것은 매우 좋은 선택이라고 생각된다. OverTheWire에서 만든 "Bandit" 이라는 시스템해킹 워게임도 존재한다. 리눅스를 이용한 워게임인데, 다음에 소개하겠다. Level 0 메인 페이지이다. 다른 건 없고 해당 문구만 덩그러니 존재한다. 해당 페이지에서 다음 레벨을 위..

기초적인 SQLi(SQL Injection) 공격 실습이다. 해결 방법으로는 인증우회 ,그리고 Blind SQLi 를 이용한 패스워드 획득 후 정상 로그인. 두가지 방법이 있다. 해당 문제의 메인페이지이다. 심플하게 Login 페이지만 존재한다. Login페이지이다. 해당 문제 DB엔 guest, admin 계정이 있는데 admin계정으로 로그인에 성공하면 FLAG를 획득할 수 있다. 우회 구문은 ======================================================= userid : admin" -- password : 아무거나 userid : admin" or "1 password : 아무거나 =============================================..

1. 본인 소개 26살이고 보안관련 학과 4학년에 재학 중이며, 졸업을 앞두고 있습니다. 네트워크, 시스템, 애플리케이션보안 등 과목을 성실히 수강한 편입니다. 리눅스마스터 1급 자격증 보유 중이고 케이쉴드주니어(정보보안 교육 프로그램) 교육을 이수했습니다. 프로그래밍언어는 파이썬을 조금 공부했습니다. 워게임 풀이, 실무경험, 대회경험 등은 없습니다. ​ 상세하게 말씀드리는 이유는, 처음 보안기사에 도전하고자 하는 분들이 공부계획과 기준을 편하게 잡을 수 있도록 해드리기 위함입니다. ​ 필기는 65점, 실기는 66점으로 합격했습니다. ​ ​ 2. 공부한 교재/강의 2022알기사 교재로 공부하였습니다. 단 전공자이기 때문에 기초지식이 어느정도 있었던 터라, 문제편 위주로 공부했습니다. ​ 필기 이론서 : ..

입장 전엔 얼굴인식과 간단한 신분증 검사를 하고, 시험장에 들어가기 전 앞 의자에서 대기하다가 시험시작 20분 전에 입장했다. 감독관이 없는 대신 사방에 CCTV가 있고 자리는 떨어져 앉으며, 모니터엔 캠이 설치되어 있어 내 시선과 행동을 감시한다. 지정석에 앉아, CBT시험에 대한 안내메시지와 실제 시험방식 대비를 위한 연습문제 3문제를 풀고 10분정도 추가로 대기한다. 혹시 몰라 컴퓨터용 수성싸인펜과 수정테이프를 챙겨갈까~~ 고민하다가 안 챙겨갔는데, 다행히 필요 없었다. 14시가 되고, 시험 시작. 그리고 준비를 철저히 한 나는 설렁설렁 해도 합격할 줄 알았는데.. 어렵다. 정~~~~~~~~~~말 어려웠다. 알기사 1200제, 그리고 인터넷 cbt 2018년 까지의 필기문제를 거의 90%이상 완벽하..

6월부터 약 2개월간 진행된 케이쉴드주니어 8기드디어 교육이 끝나고 수료식에 갔다왔다. 교육받는 동안 서울에 고시원을 구해서 혼자 살았는데, 참 힘들면서도 새로운 경험이었다내 입장에서는 첫 자취였는데, 생각보다 할만했다 그냥 사니까 살아지더라 ㅋㅋㅋ힘든 점이라고 하면 방이 좁은것도 있지만, 창문이 없어서... 밤낮 구분이 안돼서 너무 답답했다!!몇시에 눈을 뜨든 불을 안 켜면 항상 어두웠다. 그것만 빼면 뭐.. 에어컨도 잘 돼서 괜찮았음 어쨌든 교육 끝나고 광주 본가에 내려갔는데, 수료식에 참석하러 잠깐 올라온 것이다 내 성적표다. 나는 176명중에 최종등수 2등을 받았다!!!케이쉴드주니어는 성적 상위 5%까지 과학기술정보통신부장관 인증서, 5%~25% 까지는 한국인터넷진흥원 인증서를 준다이번엔 8등까지..