본문 바로가기
728x90

study/Network

 (3)
[Web Application] OWASP Top 10 A1. 인젝션 취약점 - 웹 어플리케이션은 사용자로부터 다양한 형태로 입력 값을 받고 있다. - 정상적이지 않은 방법으로 웹 어플리케이션이 입력값을 전달하여 공격자가 원하는 결과를 얻는 취약점 - SQL 쿼리문을 조작하는 SQL Injection, 운영체제 명령어를 호출하는 OS Command Injection등이 있음 SQL Injection - 공격 가능성은 쉽지만, 기술적 영향도는 심각하다. - password부분에 공격 코드 ' or "=' 형태를 넣었을 때, 쿼리문이 무조건 참으로 실행되면서 공격이 들어가게된다. A2. 취약한 인증 - 웹 어플리케이션은 사용자를 인증하기 위해 쿠키/세션과 같은 값을 사용한다. - 이런 쿠키/세션 관련 정보가 잘못 사용될 경우 취약점이 발생한다. - 패스워드 정책..
스푸핑(Spoofing) 공격- ARP, DNS spoofing Spoofing: 승인받은 사용자인 것처럼 시스템에 접근하거나 네트워크 상에서 허가된 주소로 가장하여 접근제어를 우회하는 공격행위 스위치 환경에서는 스푸핑 공격을 통해 MITM(중간자공격)등의 공격이 가능해진다. - 네트워크 계층 주소(ip)를 링크계층 주소(mac)로 대응시켜주는 프로토콜 - 내부 네트워크에서는 ip가 아니라 mac으로 통신이 이루어진다. 때문에 내부 호스트들은 mac을 알아내기위해 arp를 전송한다. 동작원리 - 유니캐스트(1:1), 브로드캐스트 통신(1:N) - 브로드캐스트 방식으로 전송할 경우, Destination address= ff:ff:ff:ff:ff:ff - arp 테이블을 이용해서 ip주소와 그에 해당하는 mac주소를 매핑한다. (통신하기 전에 arp테이블을 먼저 확인함..
OSI 7 Layer OSI 7계층 7L Application(data) Application Telnet, FTP, DHCP, TFTP, HTTP, SMTP, DNS, SNMP 6L Presentation(data) 5L Session(data) 4L Transport(segment) Transport TCP, UDP 3L Network(packet) Internet ICMP, ARP, RARP, IP 2L Data Link(frame) Network Interface 1L Physical(bit) - 패킷 생성할 때는 7~1 순으로 진행, 해석할 때는 1~7로 진행된다. 7,6,5 계층(응용, 표현, 세션): 네트워크 통신을 하기위해 사용되는 응용 프로그램이 구동하는 계층 - FTP: 파일전송 프로토콜 - HTTP: 웹 ..
728x90
반응형

티스토리툴바