공부용

문제 설명File Download 취약점이 존재하는 웹 서비스입니다.flag.py를 다운로드 받으면 플래그를 획득할 수 있습니다.주어진 사이트에 들어가보면, 자신의 메모를 작성하는 사이트임을 알 수 있다. Filename과 Content에 작성한 내용 그대로 나오는 것을 볼 수 있다. flag.py를 다운받아야 하므로, 이번에는 Filename란에 flag.py를 입력해봤다. Content에는 아무렇게 써넣었다. 이렇게 다운받아야 하는 파일명인 flag.py를 입력했는데, 어떠한 변화도 일어나지 않았다.그래서 주어진 파이썬 코드를 찾아봤다. (여기서부터 헷갈리기 시작해서 조금 구글링의 도움을 받았다.)filename에 '..'을 포함한 글자를 입력하면 bad characters,,라는 문구가 뜨도록 설정..

문제 설명쿠키로 인증 상태를 관리하는 간단한 로그인 서비스입니다.admin 계정으로 로그인에 성공하면 플래그를 획득할 수 있습니다. 플래그 형식은 DH{...} 입니다.문제에서 주어진 사이트에 들어가면 다음과 같은 화면이 나온다.admin 계정으로 로그인을 해야 하는만큼 Login 버튼을 누른다. 하지만 마땅히 아는 아이디와 패스워드가 없으므로 문제에서 주어진 파이썬 코드를 확인해본다.  파이썬 코드를 살펴보면, guest와 admin 계정 2개가 있는 것을 발견할 수 있다.admin에는 비밀번호가 따로 보이지 않고, 플래그값이 출력되는 조건은 username이 admin임을 충족하기만 하면 되는 것이다. 따라서 패스워드를 알고있는 guest로 로그인해준다.   아이디와 비밀번호 모두에 guest를 입력..

워게임 문제 풀이에 앞서서, Dreamhack의 Dream Beginners 강의를 보고 워게임 풀이를 위한 준비를 했다.  목차 더보기해킹에 대해서워게임컴퓨터 과학 기초1. 해킹에 대해서더보기해킹이란? 타인의 컴퓨터 시스템에 무단으로 침입해서 정보 또는 권한을 탈취하거나, 시스템을 파괴하는 것을 의미하며, 컴퓨터 시스템에 취약한 부분을 찾아내는 단계 / 이를 공격하는 단계로 이루어진다.이러한 해킹을 배우기 위해서는 컴퓨터 과학을 공부하는 것이 학습에 유리하다. 그리고 컴퓨터 과학 학습의 첫 스텝으로, 프로그래밍 언어로 코딩하는 기술을 익히는 것이 우선이다. C언어와 파이썬을 우선 익히는 것을 권장한다. 해킹의 주요 3가지 분야에 대해서만 간략히 소개하겠다.1) 웹 해킹웹을 대상으로 하는 해킹  관련 기..

ERP(전사적 자원 관리)는 재무, 인사 관리, 제조, 공급망, 서비스 조달 등 비즈니스의 여러 부문에서 사용되며, 기업 운영에 필요한 도구 및 프로세스가 포함 소프트웨어 시스템이다. 이러한 ERP 솔루션을 악용해 공격을 수행하는 정황이 확인됐다. 최근의 사례에서는 공격자가 국내 방산업체 및 제조업의 취약한 웹서버를 공격해 악성코드를 유포했다. 해당 악성코드의 유포 과정을 살펴보자.  확인된 악성코드 중 기존 ERP 솔루션의 업데이트 프로그램에 악성 루틴이 삽입된 형태가 존재한다. 이런 방식은 2017년 안다리엘이  HotCroissant 백도어를 설치하기 위해 사용했던 사례와 유사하다. 악성코드를 개발하는 과정에서 Xct라는 문자열이 사용됐으며, 여기에서는 최종적으로 사용된 백도어를 Xctdoor로 분..