본문 바로가기

웹 애플리케이션2

웹 애플리케이션 사전조사 및 스캐닝(2) - ZAP(Zed Attack Proxy) ※ 본 포스팅은 '웹 해킹 입문 - 조쉬 파울리 / BJPUBLIC'의 내용을 참고하였습니다. 웹 애플리케이션 스캐너가 애플리케이션의 취약점을 자동으로 찾는 것과 Nessus가 웹서버의 설정이 잘못된 것이나 빠뜨린 패치를 찾는 방식은 비슷하다.대개의 웹 애플리케이션 스캐너는 웹 프록시와 같이 브라우저와 웹 애플리케이션의 중간에 자리잡으며, Burp Suite와 ZAP처럼 큰 도구모음의 일부 기능으로 구현되어 있다.웹 스캐너는 다듬어진 입력값을 애플리케이션에 보내고 그 응답값을 분석하여 알려진 취약점 징후를 찾아본다.또한 웹 애플리케이션의 입력 필드에 요청내용을 수백가지로 입력하여 취약점의 시그니처 유형을 확인하는게 보통이다. 웹 스캐너(Burp Suite Professional, ZAP 등과 같은)가 인.. 2015. 4. 14.
웹 애플리케이션 사전조사 및 스캐닝(1) - Burp Suite ※ 본 포스팅은 '웹 해킹 입문 - 조쉬 파울리 / BJPUBLIC'의 내용을 참고하였습니다. 웹 애플리케이션을 사전조사하고 스캔하는 단계에서는 웹 애플리케이션을 구성하는 자원(페이지, 파일, 디렉토리, 링크, 이미지 등)에 대한 상세한 정보를 얻을 수 있다.이러한 정보는 이후 웹 애플리케이션을 공격할 때 매우 중요한 정보로 사용된다.웹 애플리케이션을 사전조사하는 방법에는 여러 가지가 있지만, 그 중 목표물을 공격하는 가장 훌륭한 방법은 "애플리케이션이 어떻게 동작하는지 완전히 이해"하는 것이다.- 데이터의 진입지점 확인 (HTML 입력 필드 - 폼 필드, 숨겨진 필드, 드롭다운 박스, 라디오 버튼 목록 등)- HTTP 헤더, HTTP 쿠키, URL 질의 검사- 클라이언트 측 HTML과 JavaScrip.. 2015. 4. 8.

티스토리툴바