[수업] 13주차 정리

* 해당 주차의 수업 내용을 정리합니다.

---

* 모의해킹 프로젝트

> 단톡방에 업로드한 파일 다운로드!

 

* 진짜 모의해킹 업무와 똑같이 학생들이 경험하게 하면 어떨까?

---

* OT

1. 실제 모의해킹 프로젝트를 진행 (개인!)

2. 협의 - 모의해킹 - 리뷰

3. 보고서 작성 방법

 

[1] 모의해킹 프로젝트 업무 Process

- 협의

[프로젝트 투입 전 주]

→ 고객사 컨택 포인트 OR PM 연락처 수령

→ 투입 전 체크 리스트

-- 고객사 위치 (서울)

-- 출퇴근 시간 (9-6/8-5)

-- 투입 날짜에 언제 어디로 가야하는지

-- 노트북 반입 여부

→ YES : 그러면 노트북에 툴 설치해서 가나요?

→ NO : 그러면 툴 반입은 어떻게 하나요?

Win10 PE : 자체 포맷

Tool : Burp Suite, Hex Editor(HxD), JAVA, Python, SSLyze, Text Editor, Wireshark

 

[투입 후] 첫 날

옷 : 과하게 정장

[협의]

→ 대상 수령 (엑셀)

URL 1개 : 1일~2일

→ 대상 별로 부여된 테스트 계정 발급

→ 점검 기준

→ 산출물 : 모의해킹 결과 보고서

→ 일정 : 보통 종료 일주일 전에 결과 보고서 제출 후 리뷰

→ 주의해야할 점 물어보기

[환경세팅]

→ 투입 첫 날~최대 일주일 : 거의 아무것도 못함... 맛집 스캔

 

[2] 모의해킹

→ 모의해킹 서비스에 절대로 영향 X (고객 데이터 건드리면 안됨!)

* 기본적으로 주의해야할 점

→ SQL Injection : Update, Delete, Insert 절대 X (주석 X)

→ 스캐너 X (SQLMap)

→ 자동화도구 X (Python으로 직접 자동화코드 작성하는 것은 O)

→ File Upload : Webshell Upload 금지

1. POC 용 파일을 업로드한다! (<?php 날짜 출력 ?>)

2. 담당자에게 이야기한다. (여기서 그만할까요? OR 침투할까요?)

3. Web Shell Upload (내가 직접 만든 코드만 O)

→ 파일 업로드한 경로, 이름 기록해두기

→ Burp Log

→ XSS : onmouseover, console.log()

 

[3] 리뷰

- 담당자/개발자

→ 싸우러가는 장소 X

→ 취약점 왜 위험한 지 나도 몰라 (그냥 기준이 그래요~)

→ 그걸 고치는 방법 몰라 (말도 안되는 방법)

→ 이러면 100% 싸움

- 대응 방법 : 개발

---

* 점검 기준

- 금취분평

 

> 취약점 찾는다! (알아야하지만 대조하며 찾는 것은 X)

 

인증 : 지식 기반 VS 소지 기반

 

* 거래 정보 무결성 검증

* [전자금융] 사전에 정한 조회기간 이상으로 거래내역 조회가능 여부

* [전자금융] 거래 시 비밀번호 오류횟수 제한기능 제공 여부 : 브루트포스

* [전자금융] 비밀번호 변경 시 본인확인 절차 실시 여부 : 세션 탈취 시 비밀번호 변경 가능

* [전자금융] 이용자 입력정보 보호 : E2E

 

* 이용자 인증정보 재사용

세션 ID, JWT

→ 세션 ID (* 중복로그인)

→ HOW

(1) IP 주소 검증

(2) MAC 주소 검증 : 별도의 프로그램 필요함 → 큰 비용 발생

 

* 고정된 인증정보 이용

 

* 유추 가능한 초기화 비밀번호 이용

→ 비밀번호 초기화 (초기화된 비밀번호는 생년월일입니다.)

 

* 외부 사이트에 의한 시스템 운영정보 노출 여부 (GOOGLE)

→ inurl:[URL] admin

 

* 운영체제 명령 실행 (Command Injection)

 

* 리다이렉트 기능을 이용한 피싱 공격

→ 로그인 페이지 (func=login&retUrl=~~~~~)

 

* BOF

→ 메모리를 분석

 

* 단말기 브라우저 영역 내에서의 중요 정보 노출 (제대로 마스킹 X)

 

* 데이터 평문 전송

→ HTTPS를 안쓸 때 (Wireshark-http검색-packet우클릭-follow)

---

* 과제

http://normaltic.com:3333/

→ admin 계정을 탈취하자!

 

* 모의해킹을 재밌게 하는 팁

1. 서비스 분석

→ 어떤 기능들이 있는지 확인

2. 공격 가능한 시나리오 리스팅

3. 보고서 작성을 위해 취약점과 매핑

4. 빠뜨린 위험 항목 체크