[수업] 8주차 정리

* 해당 주차의 수업 내용을 정리합니다.

---

* 코인원 피싱 해킹

> 작년 11월

 

피싱

 

dirb → adljflksdjlkf.com/admin

 

로그인

' or '1'='1

 

--

* 실무 경험 → 실전 경험 중요

-- VPN (Proxy)

 

CSRF

CSRF 현재의 모습

CSRF 문제풀이

 

- 해킹 공격 연구 보고서

---

* CSRF 개요

> 사용자들이 그들 스스로 의도치 않은 행동(서버로의 요청)들을 하게 하는 취약점

 

> XSS : 클라이언트 측에서 특정 스크립트(코드) 요청

 

* CSRF 조건

- 특정 수행 행동 (비밀번호 변경, 정보 변경, 글쓰기 등)

- 세션

- 예측 가능한 파라미터

 

* 공/방

(1) GET

→ URL

(* 같은 페이지 내에서 링크를 클릭해야한다.)

 

(2) POST

XSS

<form>

</form>

 

* CSRF 최근 근황

 

- CSRF를 막기 위한 노력들

> 쿠키 : 세션 ID

쿠키

: samesite

: path

 

> CSRF 다른 페이지에 전송하는 요청

- CORS

- X-Frame-Options

iframe

 

> CSRF 예측 가능한 파라미터

→ CSRF 토큰

→ 인증 정보

 

CSRF 조건

* 같은 웹 사이트 내에서 요청해야한다.

- GET : 피해자가 그 사이트에 로그인해있는 상태에서 그 링크를 클릭해야한다.

- POST : XSS 취약점이 존재해야한다.

<form>

</form>

 

* 모의해킹

점검 대상

 

* 우회가 가능할 "수"도 있다.

---

* CSRF

> 다른 사람 권한으로 의도치 않은 요청을 하게 만드는 것

 

* CSRF 무엇을 할 수 있을까?

> 관리자 계정 탈취

> 서비스 거부 공격

> 브랜드 훼손

 

* CSRF 어떻게 고쳐요?

- 예측 불가능한 파라미터 (인증 정보) ★

: CSRF 토큰

- Referer 검증

 

결론은 인증정보 (비밀번호) 추가해서 막자!

---

* 해킹 대회, CTF

- 코드게이트 (컨퍼런스) 파티, 행사

블라인드 코딩 : 진짜 눈가리고 코딩ㅋㅋㅋ, 락피킹 : 자물쇠 따기

- 화이트햇콘테스트 국정원

- 사이버해킹공격방어대회 국방부

 

예선

- 누구나

- 입문

 

본선

 

* 해킹 대회 준비 팁

> 문제 풀이!

 

내 손으로 직접 푼 문제가 500문제 = 본선 가능

 

ctftime.org

> 거의 매일 참여 가능

---

* CSRF 문제풀이

> 버프스위트 사이트 portswigger.net > Access the lab

 

* CSRF 토큰 검증 미흡

(1) False-Positive

(2) CSRF 토큰 재사용

(3) CSRF 토큰 - 사용자 세션 매핑되지 않았을 때

 

* Referrer

> 다르면 걸러도 없으면 통과시킬 시 → 변조할 수는 없어도 요청 시 안보낼 수는 있음

(1) False-Positive

<meta name="referrer" content="no-referrer">