공부용

Introduction: Reverse Engineering엔지니어링 : 완성품과 이를 구성하는 부품들의 기능과 설계를 고안하고, 제작하는 과정.리버스 엔지니어링(Reverse Engineering) : 엔지니어링의 역과정. 리버싱의 용도좋은 예 : 개발을 중단한 프로그램에 대한 패치가 필요할 때 / 각종 프로그램의 보안성 평가 / 악성코드를 분석할 때나쁜 예 : 상용 프로그램을 구매 없이 무료로 이용하기 위해 쓰는 키젠 프로그램 등의 불법 프로그램 제작할 때 / 게임핵을 만들 때리버싱 시 프로그램의 전체적인 작동 원리를 알아낼 수 있음. -> 지적 재산권 침해의 위험성.테스팅, 연구, 학습 등의 리버싱 : 저작권을 침해하지 않는 한, 제한적으로 허용. Background: Binary 프로그램을 연산 ..

문제 설명 로그인 서비스입니다.SQL INJECTION 취약점을 통해 플래그를 획득하세요. 플래그는 flag.txt, FLAG 변수에 있습니다.   *참고 사항 : 이번 문제는 Dreamhack 학습의 Web Hacking의 SQL Injection 파트를 읽으면서 풀었다.   사이트 접속해 보니까 사진과 같은 로그인하는 기능만 있었다. 코드 확인우선 database.db 파일로 데이터베이스를 관리하고 있는 것을 확인할 수 있다. 데이터 베이스의 구조 : 테이블 형식이고 아래와 같다.useriduserpasswordguestguestadmin랜덤 16바이트 문자열을 Hex 형태로 표현(32 바이트) GET : userid와 userpassword를 입력할 수 있는 페이지 제공.POST : 데이터베이스에 ..

이 글은 아래의 책을 읽고 공부 목적으로 작성됨.몬나파 K A, 「악성코드 분석 시작하기」 악성코드 : 악의정인 행위를 하는 코드로, 실행 파일/스크립트/코드 또는 다른 유형의 소프트웨어 형태가 될 수 있다. 악성코드가 수행하는 악성 행위 예시 :컴퓨터 연산 방해 / 개인, 비즈니스, 재무 데이터를 포함한 민감 정보 훔치기 / 표적 시스템에 무단으로 접근하기 / 표적을 감시하기 / 스팸 이메일을 보내기 / 분산 서비스 거부(DDoS, Distributed-Denial-of-Service) 공격에 참여하기 / 컴퓨터에 있는 파일을 잠금 후 대가 요구하기  악성코드의 분류1) 기능과 공격 벡터를 기준으로 분류한 악성코드 바이러스(Virus) 또는 웜(Worm) : 자가 복제하고 다른 컴퓨터로 확산하는 기능을..

공격 표면 관리(ASM, Attack Surface Management) : IT 환경에서 외부 공격자가 놀리 수 있는 기업과 기관의 모든 디지털 자산과 취약점인 공격 표면을 지속적으로 식별, 분석, 모니터링해 보안 위협을 최소화하는 보안 프로세스 및 기술. 기업이 보유한 IT 자산을 포괄적으로 파악해 보안 취약점을 관리하는 데 중점을 두고있다. ASM의 필요성 공격 표면의 확장 : 클라우드 전환, 원격 근무 환경 확대 등으로 인해 기업의 공격 표면이 넓어졌다. 이러한 상황에서 보안 담당자가 모든 자산을 정확히 파악하지 못했거나 인식하지 못한 취약점이 공격자에게 노출된다면, 위협에 적시 대응하지 못하며 침해사고로 이어질 수 있다.보안 위협의 고도화/지능화 : 사이버 공격 기법이 점점 더 정교해지고 똑똑해..

AI 할루시네이션 : 딥러닝(DL) 기반 모델이 현실에 기반하지 않은 정보나 데이터를 생성해 허구적이고 비논리적인 결과를 도출하는 현상 이러한 AI 할루시네이션은 단순한 기술적 오류를 넘어 사회적, 윤리적 문제로 확대될 수 있는 중요한 문제이다. 의료, 법률, 금융 등 의사결정이 필요한 분야에 AI가 활용될 때, 치명적인 결과를 낳을 수 있다.   AI 할루시네이션의 원인AI 모델이 학습하는 데이터에 내재된 편향 : 학습 데이터가 부정확하거나 편향된 정보를 포함할 경우, 잘못된 예측을 하거나 비현실적인 결과를 생성할 수 있다.알고리즘 설계 문제 : 딥러닝 모델은 입력 데이터의 패턴을 일반화하려는 경향이 있다. 이 과정에서 과도한 일반화가 발생해 잘못된 결론에 도달할 수 있다.모델의 과적합 : AI 모델이..

Use-After-Free 취약점 개요Use-After-Free(UAF) : 메모리 할당 후 해제된 메모리를 사용하여 발생하는 메모리 손상(Memory Corruption) 취약점, 힙 메모리(Heap Memory)에서 주로 발생한다.*힙(Heap) : 컴퓨터의 메모리 구조 중 사용자가 임의로 사용할 수 있는 공간, 동적으로 할당하고 해제할 수 있다. 힙 영역 중, 사용하지 않는 공간(Unused Heap)은 이중 연결리스트로 관리한다. 메모리 해제가 발생하면 해당 영역이 연결 리스트에 연결되고, 새로운 메모리 할당이 발생하면 연결 리스트의 첫 번째 매칭(First-Fit)영역을 할당한다. 문제는 할당했던 메모리를 해제한 후 재할당해서 사용할 때 동일한 크기로 재할당 하는 경우, 이전에 사용했던 메모리 ..

ClientSide: CSRF Cross Site Request Forgery (CSRF) 웹 서비스는 쿠키 또는 세션을 사용해 이용자를 식별한다. 임의 이용자의 쿠키를 사용할 수 있다면, 임의 이용자의 권한으로 웹 서비스의 기능을 사용할 수 있는 것이다.   CSRF : 임의 이용자의 권한으로, 임의 주소에 HTTP 요청을 보낼 수 있는 취약점이다. 공격자는 임의 이용자의 권한으로 서비스 기능을 사용해 이득을 취할 수 있다.*예시 : 이용자의 계정으로 임의 금액을 송금해 금전적인 이득을 취하거나 비밀번호를 변경해 계정을 탈취, 관리자 계정을 공격해 공지사항 작성 등으로 혼란을 야기  Cross Site Request Forgery 동작 CSRF 공격에 성공하기 위해서, 공격자가 작성한 악성 스크립트를 ..

문제 설명여러 기능과 입력받은 URL을 확인하는 봇이 구현된 서비스입니다.CSRF 취약점을 이용해 플래그를 획득하세요.   *참고 사항 : 이번 문제는 Dreamhack 학습의 Web Hacking의 Cross-site Request Forgery (CSRF) 파트를 읽으면서 풀었다.  로그인해야 하는 문제, 이 문제도 admin 계정으로 로그인하면 될 것 같다.  코드 분석vuln : csrf-1과 마찬가지로 xss 공격은 키워드로 필터링 해뒀다. 기능 역시 param을 출력하는 것으로 동일하다.flag : GET - 입력받을 페이지 제공 / POST : session_id가 유효한지 check_csrf로 확인, check_csrf 함수는 read_url 함수 호출.login : GET - userna..

문제 설명여러 기능과 입력받은 URL을 확인하는 봇이 구현된 서비스입니다.CSRF 취약점을 이용해 플래그를 획득하세요.  *참고 사항 : 이번 문제는 Dreamhack 학습의 Web Hacking의 Cross-site Request Forgery (CSRF) 파트를 읽으면서 풀었다.  코드 분석vuln : 이용자가 전달한 param 값 출력. XSS 공격 방지를 위해 키워드가(frame, script, on) 필터링 되어있다.memo : 이용자가 전달한 memo 값 기록, render_template 통해 출력한다.flag : GET - 입력받는 페이지 제공 / POST - check_csrf 함수 호출, check_csrf 함수는 read_url 함수 호출.admin/notice_flag : 로컬호스트..

2024년 국내 은행 AI 활용 현황 1. AI 뱅커 - 오프라인 점포의 변화오프라인 점포는 지속적으로 통폐합되고 있으며, 남은 점포들 또한 AI 기술 기반으로 셀프뱅킹 서비스를 강화신한은행 : AI 뱅커가 탑재된 150여 대의 '디지털 데스크'를 영업점에 배치, AI 뱅커로 운영되는 무인점포 'AI 브랜치' 오픈.농협은행 : 모든 영업점에 AI 뱅커 배치2. 고객 대응 서비스 강화은행 챗봇 서비스 : 생성형 AI와 향상된 NLP(자연어 처리 기술)를 기반으로 성능이 향상 중국민은행 : '리브 넥스트'의 AI 금융비서 베타 서비스 개시우리은행 : '우리WON뱅킹' 내 AI 상담 서비스를 통한, 상품 가입 권유/대출 상담 영역까지 확대 예정하나은행 : 자체 NLP 엔진 적용한 '기업 하이챗봇'으로 고객 문..