레드팀 기획 참고사항
장내용1. 프로젝트 개요프로젝트 목적, 필요성, 기대효과 2. 요구사항 분석기능 요구사항, 비기능 요구사항, 제한사항3. 공격 시스템 설계전체 구조도, 모듈 설계, 데이터 흐름4. 공격 시나리오공격 절차, 대상, 예상 결과5. 구현 계획담당 역할, 일정, 개발 환경6. 검증 계획테스트 방법, 성공 기준, 성능 측정7. …
댓글 0
게시판
최근 게시글 30개
취약점 실습 구상
목적 : DB 탈취 0. WAS 정보 수집: 웹 호스팅 프로그램은 뭐 쓰는지, 버전은 어떻게 되는지, OS는 뭔지 ... 1. 외부에 노출된 WAS를 타겟으로 삼는다 2. 리버스 쉘을 따서 쉘 권한을 얻는다 3. 파일 업로드를 통해 네트워크 스캔+결과 전달 코드를 업로드한다 4. 3에서 업로드한 파일을 실행하고, WAS…
댓글 0
최지우 해킹 희망사항
xss(stored)-owasp의 가장 중요 해킹기법중 하나이기도 하고 서버의 데이터베이스에 주입되는 공격기법이기에 해 볼 필요성이 있다고 생각함. sql인젝션 - 동작자체는 xss와 같이 db에 코드를 인젝션하는 주입형태의 공격이지만 xss는 웹에 접근하는 사용자를 대상으로 하는 공격인반면에 sql은 데이터베이스의 데…
댓글 0
팀장 엑셀
https://docs.google.com/spreadsheets/d/1NH7SKCOQlNfIKu4k5LQYQmvCqhn3MmUM6nd5hpcj-EE/edit?gid=1171920685#gid=1171920685
댓글 0
다음주부터 할거
7월 27일 부터 프로젝트 전까지 해야하는거 -> dvwa를 공격 자동화하는 코드를 짜야함(너무 한 코드에 다 떄려넣으면 재활용 안되니, 코드의 기능 어떻게 분할해 구현할지도 같이 논의해야하긴함) dvwa(0.34 기준으로 정리는 했는데 최신 dvwa도 보긴해야할듯/) nmap(network scan) 브루트포스 -> …
댓글 0
metasploitable2 프로그램-CVE
21/tcp - vsftpd 2.3.4 : [CVE-2011-2523](https://nvd.nist.gov/vuln/detail/CVE-2011-2523) 22/tcp - OpenSSH 4.7p1 Debian 8ubuntu1 : [CVE-2008-0166](https://nvd.nist.gov/vuln/detail/C…
댓글 0
주정통 엑셀
https://docs.google.com/spreadsheets/d/1KjqpkVgDTIY1epeNiaTrGDJgQtoLUk2RhiecGlG1wz0/edit?gid=31277844#gid=31277844 주정통 엑셀
댓글 0
gg
https://docs.google.com/spreadsheets/d/1NH7SKCOQlNfIKu4k5LQYQmvCqhn3MmUM6nd5hpcj-EE/edit?usp=sharing
댓글 0
260630
``` 260630 - 모의해킹 snort nids 오픈소스 -> 네트워크 침입탐지 시스템 --> 규칙에 따라 패킷을 차단/기록 등등 관제함.(공격 시그니처) 시그니처 -> 요청에 붙어 날아가는 공통된 부분 h-ids? ips -> 차단 ids -> 차단 못한 부분이 있으면 감지도 함. ips 죽더라도 서비스는 가용성 …
댓글 0
W-01~10
[Unicode] Unicode=yes [System Access] MinimumPasswordAge = 0 ; ---------> W-08 (최소 암호 사용 기간: 보통 1일 이상 권장이나 0이므로 [취약]) MaximumPasswordAge = 42 ; ---------> W-08 (최대 암호 사용 기간: 42일로 …
댓글 0
7/1
``` 260701 - 모의해킹 dvwa webgoat bee-box 윈도우 과제 하나 있음(팀별) -> 주정통 항목찾아서 평가까지 하는 스크립트만들자(점검결과는 db에저장하자) -> 보안사고가 터졌을때 미리 기록(보고서 등)을 해놨나 여부에 따라 면책여부가 갈림 --> 담당자 서명 함부로 하지말자(뭔가 터졌을때 책임 …
댓글 0
팀장 구글독스
https://docs.google.com/spreadsheets/d/1NH7SKCOQlNfIKu4k5LQYQmvCqhn3MmUM6nd5hpcj-EE/edit?usp=sharing
댓글 0
sql injection : 발표용
DB -> 디지털 정보 저장소 SQL? -> Structed Query Language -> 구조화된 질의 언어. 데이터를 가져와라, 데이터를 넣어라, 데이터를 삭제해라.. -> 웹사이트에서 회원가입/로그인/글쓰기 등등을 할 때, 서버에서는 SQL문이 만들어져 DBMS에서 실행됨 - Injection? -> 주입 개발자…
댓글 0
ftp put(파일 업로드)
FTP PUT [ftp 파일 put] - 데이터 포트 예약(active 모드) 1. 클라이언트가 포트 열고 열린 포트 통보(서버에게 접속하라고) 2. 서버가 포트번호 알았다고 응답(코드 200) - 파일 업로드 요청 3. 클라이언트가 파일 올릴 준비하라고 …
댓글 0
ftp get(파일 다운로드)
FTP GET [ftp 파일 get] - 데이터 채널 열기 -- FTP는 파일 전송을 위해 TCP 연결(데이터 채널)을 만들어야함 -> Active 모드에서는 클라이언트가 포트를 열고, 서버에게 열린 포트를 통보함 1. 클라이언트가 자신의 아이피와 열린 포트번…
댓글 0
ftp 익명 로그인
FTP anonymous 로그인 과정 [ftp 익명 로그인] ## 3-way-handshake : 순수 TCP 연결로 찍힘 1. 클라이언트가 임의의 포트(59882)를 열어 서버(21)에 연결 요청(SYN) 2. 서버가 SYN-ACK 3. 클라이언트가 ACK ## 인코딩…
댓글 0
packetbuilder
ik
댓글 0
burpsuite
a
댓글 0
tcpdump
tcpdump란? ~~
댓글 0
netcat
netcat이란 ~~
댓글 0
07. 정보보호 관리 및 법규
필기
댓글 0
06. 애플리케이션 보안
필기
댓글 0
05. 네트워크 보안
필기
댓글 0
04. 시스템 보안
필기
댓글 0
04. 시스템 보안
필기
댓글 0
03. 접근통제
필기
댓글 0
02. 암호학
필기
댓글 0
01. 정보보호 개요
가용성-안정성 - 트레이드오프 개념임 ## 기밀성(Confidentiality) - 정보의 소유자가 원하는 대로 정보의 비밀이 유지되어야 한다는 원칙 - 인가된(authorized) 존재만이 접근할 수 있어야 함 - 접근제어, 암호화 등으로 보장됨 ## 무결성(Integrity) - 정보는 정해진 주어진 권한과 정해진 …
댓글 0
OWASP 정리
A1 : Injection -> 입력값을 실행할 명령어처럼 해석되게 하는 기법 - SQL Inejection: RDBMS 타겟 * 입력값이 SQL의 일부로 해석/실행 ! 인증 우회(DB 테이블 수정), DB dump/무단 열람 등등.. WAS 권한으로 DB에 접근해 SQL을 악의적으로 실행해서 발생할 수 있는 일 모두 …
댓글 0
260625-팀403-칼리리눅스 설치
칼리 리눅스 설치 - 최신 버전(26년 26주차꺼)으로 설치했다. - VM의 타입을 선택할 때, 최신 Debian 12(이상) 64bit를 지정해야 한다(칼리리눅스는 데비안 기반이기 때문에) - HDD 용량은 넉넉하게 줘야 한다(툴이 많은 배포판이므로) - Debian 기반의 리눅스는 호스트 설정이 필수이다(root 권…
댓글 0