로픽의 IT블로그

lord of sqlinjection 3번 GOBLIN if(preg_match('/\'|\"|\`/i', $_GET[no])) exit("No Quotes ~_~"); 정규표현식 조건이 추가된 문제로 ', ", ` 를 사용하지 않고 문제를 해결해야 합니다. 우선 no 파라미터에 무작위로 숫자를 대입할 때, 1을 넣으면 'Hello guest'라는 문구가 출력됩니다. 3번 문제를 풀이는 no 파라미터의 값은 1이 아닌 값으로 설정하고, id 파라미터에 Quotes를 사용하지 않고 admin 텍스트를 넣어주어야 합니다. *** 예시 where id='guest' (=True) and no=1 (=True) (뒷 구문은 비교하지 않고 결과 출력) char() 및 헥사 값 이용 * 정답 * 더보기 ?no=0 ..

lord of sqlinjection - cobolt 1번 문제와 비슷하면서 약간 다른 구조입니다. pw파라미터에 md5(128비트 해시함수)가 적용되었습니다. 이전과 비슷한 SQL 구문을 삽입 시 정답이 아닌 다른 멘트가 출력됩니다. id='||True%23 PHP 구문 확인 시 if($result['id'] == 'admin') solve("cobolt"); id값에 admin을 입력해야 정답을 맞출 수 있습니다. * 정답 * 더보기 ?id=admin'%23

lord of sqlinjection 첫번째 문제 - GREMLIN 제시된 query에서 where id='' and pw='' 구문을 참으로 만들면 정답을 맞출 수 있습니다. $_GET[id], $_GET[pw]를 통해서 2개의 파라미터를 받지만 '#' 이나 '--'으로 이어지는 구문을 생략할 수 있으므로 id 파라미터만 채워도 문제를 해결할 수 있습니다. * 정답 * 더보기 (%23 = #) ?id=' or 1=1%23 ?id=' or 'x'='x'%23 ?id=' || True%23 ?id=' || 1%23

EDR - Endpoint Detection and Response - 앤드포인트 위협 탐지 및 대응 - 컨슈머 보안(일반 사용자를 위한 보안) 보다는 엔터프라이즈 보안(기업을 위한 보안)이 일반적 - 사용자의 활동과 행동을 관찰하고 시스템의 백그라운드에서 동작하는 어플리케이션 활동을 관찰. - EDR 솔루션은 각 PC에 에이전트를 설치 EDR 솔루션 - Endpoint에 에이전트 설치 - 에이전트는 어플리케이션이 실행되면서 만들어내는 파일, 메모리에 읽거나 기록하는 것, 네트워크 송수신 감시 - 탐지 Data를 패턴 DB와 비교하여 격리나 제거 등 행위 - 탐지를 스스로 하지 않고 EDR 클라우드 서비스로 수집 및 분석 결과를 받아 액션을 취할 수 있음 - 시스템의 과부하를 막기 위해 화이트리스트를 만..

뉴크스페드(NukeSped) - 원격 접근 트로이목마(RAT) - 피해자 시스템에 대한 원격 관리 가능 - 샘플 대부분(70%)이 한국어로 구성 - 북한 해커들이 사용해온 폴칠(멀웨어 행위)이나 홉라이트(암호화 기술)와 비슷 - 북한 해킹 그룹 라자루스와 관련 있는 것으로 추정. 뉴크스페드 특징 - 동적으로 기능들을 발휘 - API 이름들도 암호화. 정적 분석을 회피하기 위한 수단 - 공격 지속성을 확보하기 위해 Run 레지스트리 키에 자신을 삽입 뉴크스페드 기능 - 감염된 호스트에 대한 관리 및 접근 권한을 원격에 있는 공격자에게 부여 - 추가 페이로드를 확보해 실행 시키고, 자기 자신을 포함한 여러가지 흔적들을 삭제 뉴크스페드 행위 1) 다른 사용자의 프로세스를 생성 2) 폴더 내 파일들을 반복적으로..

#include #include #include BOOL ProcessAllKill(const char *szProcessName) { //시스템 프로세스에 대한 전체 스냅샷 찍기 HANDLE hndl = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); DWORD dwsma = GetLastError(); HANDLE hHandle; DWORD dwExitCode = 0; //스냅샷 찍은 프로세스에 대한 실행파일 이름, 프로세스 정보, PPID에 대한 정보를 저장한 구조체 PROCESSENTRY32 procEntry = { 0 }; procEntry.dwSize = sizeof(PROCESSENTRY32); //스냅샷에 첫번째 프로세스를 검색 Process32Fir..

파워쉘(PowerShell) - 마이크로소프트가 개발한 확장 가능한 명령 줄 인터페이스(CLI) 쉘 및 스크립트 언어를 특징으로 하는 명령어 인터프리터 - 윈도우 버전은 닷넷 프레임워크 기반으로, 그 외 운영체제 버전은 닷넷 코어 기반으로 개발 - 파일 시스템이나 레지스트리와 같은 다른 데이터 저장소의 데이터에 엑세스하여 작동 가능 PowerShell vs cmd - PowerShell은 명령 줄 쉘과 관련 스크립팅 언어로 구성된 MS의 작업 자동화 및 구성 관리 프레임워크 - CMD는 Windows NT, Windows CE, OS/2 및 eComStation 운영체제의 명령 줄 해석기 - CMD는 배치 명령만 해석할 수 있는 반면, PowerShell은 배치 명령과 PowerShell 명령까지 해석 ..

크롬 프로세스(Chrome.exe) PID 검색하기 #include #include #include DWORD pid = 0; BOOL Search_Pid(const char *szProcessName) { //시스템 프로세스에 대한 전체 스냅샷 찍기 HANDLE hndl = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); DWORD dwsma = GetLastError(); //스냅샷 찍은 프로세스에 대한 실행파일 이름, 프로세스 정보, PPID에 대한 정보를 저장한 구조체 PROCESSENTRY32 procEntry = { 0 }; procEntry.dwSize = sizeof(PROCESSENTRY32); //스냅샷에 첫번째 프로세스를 검색 Process32F..

CVE 취약점 코드 CVE-2018-1273 Vendor Pivotal - Spring Framework 취약점 요약 Spring Data Common의 특정 버전에서 binding 관련 취약점 존재. 악의적인 사용자는 조작된 HTTP 매개변수를 전달하여 원격 코드 실행 공격 가능. 영향받는 버전 * Spring Data Commons 1.13 ~ 1.13.10 * Spring Data REST 2.6 ~ 2.6.10 * Spring Data Commons 2.0 ~ 2.0.5 * Srping Data REST 3.0 ~ 3.0.5 POC https://github.com/wearearima/poc-cve-2018-1273 wearearima/poc-cve-2018-1273 POC for CVE-2018..

vBulletin 관련 제로데이 취약점 https://unit42.paloaltonetworks.com/exploits-in-the-wild-for-vbulletin-pre-auth-rce-vulnerability-cve-2019-16759/ Exploits in the Wild for vBulletin Pre-Auth RCE Vulnerability CVE-2019-16759 A new zero-day vulnerability was recently disclosed for vBulletin and now, several weeks later, Unit 42 researchers have identified active exploitation of this vulnerability in the wild..