WebDAV ์ทจ์•ฝ์ 

๊ฐœ์š” HTTP(S) ํ”„๋กœํ† ์ฝœ์˜ ํ™•์žฅ ๊ธฐ๋Šฅ์œผ๋กœ ์›๊ฒฉ์œผ๋กœ ์›น ์„œ๋ฒ„๋ฅผ read/write(์ฝ๊ธฐ/์“ฐ๊ธฐ)๊ฐ€ ๊ฐ€๋Šฅํ•˜๋„๋ก ๋งŒ๋“ค์–ด์ค๋‹ˆ๋‹ค. ๋˜ํ•œ ์‚ฌ์šฉ์ž๊ฐ€ ํ•ด๋‹น ์„œ๋ฒ„์— ๋ฌธ์„œ๋ฅผ ์ƒ์„ฑํ•˜๊ณ  ์ด๋™๋„ ๊ฐ€๋Šฅํ•˜์ง€๋งŒ, ์˜ฌ๋ฐ”๋ฅธ ๋ณด์•ˆ์„ค์ •์ด ๋˜์–ด ์žˆ์ง€ ์•Š์œผ๋ฉด ๊ณต๊ฒฉ์ž๋Š” ์•…์„ฑ ํŒŒ์ผ์„ ์—…๋กœ๋“œํ•ด์„œ ์‹œ์Šคํ…œ์— ์นจํˆฌํ•˜๊ฑฐ๋‚˜ ํŒŒ์ผ์„ ๋ณ€์กฐํ•˜์—ฌ ๊ฐ€์šฉ์„ฑ ๋˜๋Š” ๋ฌด๊ฒฐ์„ฑ์„ ์นจ๋ฒ”ํ•  ์ˆ˜ ์žˆ์Šต๋‹ˆ๋‹ค. ์—ฌ๊ธฐ์„œ ๋งํ•˜๋Š” ์ž˜๋ชป๋œ ๋ณด์•ˆ ์„ค์ •์ด๋ž€ (1) ์‚ฌ์šฉํ•˜์ง€ ์•Š์ง€๋งŒ ํ™œ์„ฑํ™” ํ•ด ๋‘” ๊ฒฝ์šฐ (2) ์‚ฌ์šฉํ•˜๊ณ  ์žˆ์ง€๋งŒ ์ ‘๊ทผํ•˜์ง€ ๋ง์•„์•ผ ๋  ๊ณณ์— Write(์“ฐ๊ธฐ) ๊ถŒํ•œ์ด ๋ถ€์—ฌ๋œ ๊ฒฝ์šฐ ์ƒ์œ„์˜ 2๊ฐ€์ง€ ์š”๊ฑด์ด ์ถฉ์กฑ๋œ๋‹ค๋ฉด ํ•ด์ปค๋Š” ์•…์˜์ ์ธ ์›น์‰˜ ํŒŒ์ผ์„ ์—…๋กœ๋“œํ•˜์—ฌ ๊ณผ๋„ํ•œ ๊ถŒํ•œ์ด ๋ถ€์—ฌ๋œ "index.php" ํŒŒ์ผ์„ ๋ณ€์กฐํ•˜์—ฌ DBD(Drive by Download) ๊ณต๊ฒฉ์„ ์‹œ๋„ํ•˜๊ฑฐ๋‚˜ ํ™ˆํŽ˜์ด์ง€ ์ž์ฒด๋ฅผ ๋ณ€์กฐ์‹œ์ผœ ..

WEB
robots.txt ์ •๋ณด ๋…ธ์ถœ ์ทจ์•ฝ์ 

๊ฐœ์š” " Security Misconfiguration "์ฆ‰ ์ž˜๋ชป๋œ ๋ณด์•ˆ์„ค์ • ์˜ค๋ฅ˜๋ผ๊ณ ํ•˜๋ฉฐํ•˜๋ฉฐ ๋ง ๊ทธ๋Œ€๋กœ ์„ค์ •์˜ ์˜ค๋ฅ˜๋กœ ์ธํ•ด ๋ฐœ์ƒ๋˜๋Š” ์›น ์ทจ์•ฝ์ ์ž…๋‹ˆ๋‹ค. ํ•ด๋‹นํ•˜๋Š” ๋ฒ”์œ„๋Š” ๊ต‰์žฅํžˆ ๋„“๊ธฐ ๋•Œ๋ฌธ์— ์›น ์„œ๋ฒ„, DB, ํ”„๋ ˆ์ž„์›Œํฌ, ์‚ฌ์šฉ์ž์˜ ์ฝ”๋“œ, Pre-installed VM, ์ปจํ…Œ์ด๋„ˆ, ์ €์žฅ์†Œ ๋ฐœ์ƒ๋  ์—ฌ์ง€๊ฐ€ ๊ต‰์žฅํžˆ ๋„“์€ ์ทจ์•ฝ์ ์ž…๋‹ˆ๋‹ค. ์–ด๋–ค ํ”ผํ•ด๊ฐ€ ๋ฐœ์ƒํ•˜๋Š”๊ฐ€ (1) ์ˆจ๊ฒจ์ง„ ๊ด€๋ฆฌ์ž ํŽ˜์ด์ง€ ๊ฒฝ๋กœ (2) ๋ถˆํ•„์š”ํ•œ ์„œ๋น„์Šค ๋ฐ ๊ธฐ๋Šฅ์„ ์„ค์น˜ํ•˜์˜€๊ฑฐ๋‚˜ ํ™œ์„ฑํ™” (PORT, ๋ถˆํ•„์š”ํ•˜๊ฒŒ ๋†’์€ ๊ถŒํ•œ, http Method, WebDav) (3) ์„œ๋ฒ„์˜ ๋””๋ ‰ํ† ๋ฆฌ ๊ตฌ์กฐ ๋…ธ์ถœ (4) ์›น ์„œ๋ฒ„์˜ ์ข…๋ฅ˜ ๋ฐ ์ƒ์„ธ ๋ฒ„์ „ ๋…ธ์ถœ ๋ณด์•ˆ์ด ํ•„์š”ํ•œ ๋‚ด์šฉ์ด ๊ฒ€์ƒ‰์—”์ง„์— ์œ ์ถœ๋˜์ง€ ๋ชปํ•˜๋„๋ก ์›น ํŽ˜์ด์ง€๋ฅผ ์ž‘์„ฑํ•˜๋Š” ๋ฐฉ๋ฒ•์„ ๊ธฐ์ˆ ํ•œ ๊ตญ์ œ ๊ธฐ์ˆ  ํ‘œ์ค€์œผ๋กœ ๋ณด์•ˆ์„ฑ์„ ์œ„ํ•ด ๋งŒ๋“ค์–ด์ ธ..

WEB
ShellShock(CVE-2014-6271) ์ทจ์•ฝ์ 

๊ฐœ์š” 2014๋…„ 9์›” ์œ ๋‹‰์Šค(UNIX) ์šด์˜์ฒด์ œ์˜ Bash Shell์—์„œ ๋ฐœ์ƒํ•œ ์ทจ์•ฝ์ ์ž…๋‹ˆ๋‹ค. ๊ฐ™์€ ํ•ด์— OpenSSL์˜ ๋ฌธ์ œ๋กœ ๋ฐœ์ƒํ•œ Heartbleed ๋ณด๋‹ค ํŒŒ๊ธ‰ํšจ๊ณผ๊ฐ€ ๋”์šฑ ์ปธ๋˜ ์‚ฌ๊ฑด์ด์—ˆ์Šต๋‹ˆ๋‹ค. ์‰˜ ์‡ผํฌ์˜ ๊ฒฝ์šฐ UNIX ์ด์™ธ์—๋„ MAC OSX, Android, OpenBSD, DHCP Client, CGI๋ฅผ ์‚ฌ์šฉํ•˜๋Š” ์›น์„œ๋ฒ„ ๋“ฑ ํ•ด๋‹น ์šด์˜์ฒด์ œ์— ์ทจ์•ฝํ•œ Bash Shell์„ ์‚ฌ์šฉํ•˜๋Š” ๋ชจ๋“  ์šด์˜์ฒด์ œ์—์„œ ๋ฐœ์ƒํ•˜์˜€์œผ๋ฉฐ ๋ฌด์—‡๋ณด๋‹ค ์›๊ฒฉ์œผ๋กœ ์ฝ”๋“œ๋ฅผ ์‹คํ–‰ํ•˜์—ฌ root ๊ถŒํ•œ์„ ํš๋“ํ•˜๊ฑฐ๋‚˜ ๋Œ€์ƒ ์„œ๋ฒ„์— ์ง์ ‘ ๋ช…๋ น์„ ๋‚ด๋ฆฌ๋Š” ๋ฐฉ๋ฒ•๋„ ๊ฐ€๋Šฅํ–ˆ์Šต๋‹ˆ๋‹ค. ์ทจ์•ฝํ•œ ๋ฒ„์ „ GNU Bash 4.3์„ ํฌํ•จํ•˜์—ฌ ์ด์ „ ๋ชจ๋‘ bash-3.0-27.el4.2 bash-3.2-32.el5_9.2 bash-3.2-32.el5_9.1 bash-3.2-24..

WEB
SNMP ์ทจ์•ฝ์  ๊ณต๊ฒฉ

๊ฐœ์š” Simple Network Management Protocol์˜ ์•ฝ์ž๋กœ ์‰ฝ๊ฒŒ ๋งํ•ด ํ•˜๋‚˜ ์ด์ƒ์˜ ๋„คํŠธ์›Œํฌ๋ฅผ ๊ฐœ๋ณ„์ ์œผ๋กœ ๋ฒˆ๊ฑฐ๋กญ๊ฒŒ ๊ด€๋ฆฌํ•˜์ง€ ์•Š๊ณ  ์ค‘์•™์ง‘์ค‘ ๋ฐฉ์‹์œผ๋กœ ํŽธํ•˜๊ฒŒ ๊ด€๋ฆฌํ•˜๊ธฐ ์œ„ํ•ด ๊ฐœ๋ฐœ๋œ ํ”„๋กœํ† ์ฝœ์ž…๋‹ˆ๋‹ค. SNMP๋Š” UDP ๋ฐฉ์‹์œผ๋กœ ์ •๋ณด๋ฅผ ์ˆ˜์ง‘ํ•  ๋Œ€์ƒ์ธ ํ˜ธ์ŠคํŠธ(Agent)๋Š” 161๋ฒˆ PORT๋ฅผ ์‚ฌ์šฉํ•˜๊ณ  ๊ทธ๋Ÿฌํ•œ ์ •๋ณด๋ฅผ ์ˆ˜์ง‘ํ•ด ๋ชจ๋‹ˆํ„ฐ๋ง ๋ฐ ๊ด€๋ฆฌ๋ฅผ ํ•˜๋Š” ๊ด€๋ฆฌ์ž๋Š” 162๋ฒˆ PORT ๋ฅผ ์‚ฌ์šฉํ•ฉ๋‹ˆ๋‹ค. ๋ฒ„์ „ ํŠน์ง• SNMP v1 : ์•”ํ˜ธํ™” ๊ธฐ๋Šฅ์ด ์ „ํ˜€ ์—†์–ด ๋ณด์•ˆ์— ์ทจ์•ฝ, Community String์ด๋ผ๋Š” ์ธ์ฆ์—๋งŒ ์˜์กด SNMP v2 : ๋ณด์•ˆ์ธก๋ฉด์„ ๊ณ ๋ คํ–ˆ์ง€๋งŒ ๋ณด์•ˆ ์‹œ์Šคํ…œ์ด ๋„ˆ๋ฌด ๋ณต์žกํ•˜๋‹ค ํ‰๊ฐ€๋˜์–ด ์ƒ์šฉํ™”๊ฐ€ ๋˜์ง€ ๋ชปํ•จ SNMP v2c : ๋ณด์•ˆ ๊ธฐ๋Šฅ์ด ์ œ๊ฑฐ๋˜์—ˆ์œผ๋ฉฐ v2 ๋ณด๋‹จ v2c ๊ฐ€ ๋” ์‚ฌ์šฉํ™”, Community Str..

WEB
SSL Strip ์ทจ์•ฝ์ 

๊ฐœ์š” 2009๋…„ ๋ณด์•ˆ์—ฐ๊ตฌ์› ์ด์˜€๋˜ Moxie Marlinspike ๊ฐ€ ์ฒ˜์Œ์œผ๋กœ ๋ฐœํ‘œํ–ˆ๋˜ ๊ณต๊ฒฉ์ž…๋‹ˆ๋‹ค. HTTPS(HyperText Transfer Protocol over Secure Socket Layer) ๋ผ๋Š” ๊ณต๊ฐœํ‚ค ์•”ํ˜ธํ™” ์—ฐ๊ฒฐ์„ ์‚ฌ์šฉํ•˜๊ณ  ์žˆ๋Š” ์›น์‚ฌ์ดํŠธ๋ฅผ HTTP ํ†ต์‹ ์œผ๋กœ ๋‹ค์šด๊ทธ๋ ˆ์ด๋“œ ์‹œ์ผœ ๋ฒ„๋ฆฌ๋Š” ์ผ์ข…์˜ MITM(Man In The Middle attack) ๊ณต๊ฒฉ ์ž…๋‹ˆ๋‹ค. ์ด ์ทจ์•ฝ์ ์˜ ์žฌ๋ฏธ์žˆ๋Š”์ ์€ ๊ณต๊ฒฉ์„ ๋‹นํ•ด๋„ SSL ์ธ์ฆ์„œ ์˜ค๋ฅ˜์™€ ๊ด€๋ จํ•˜์—ฌ ๋”ฐ๋กœ ์‚ฌ์šฉ์ž ์ธก์— ๋”ฐ๋กœ ํ‘œ์‹œํ•˜์ง€ ์•Š๊ธฐ ๋•Œ๋ฌธ์— SSL Strip ๊ณต๊ฒฉ์ด ๋ฐœ์ƒํ•˜๊ณ  ์žˆ๋‹ค๋Š” ๋‹จ์„œ๋ฅผ ์ฐพ์„ ์ˆ˜ ์—†์Šต๋‹ˆ๋‹ค. ์–ด๋–ป๊ฒŒ ๋ฐœ์ƒ๋˜๋Š”๊ฐ€ ์ฒซ๋ฒˆ์งธ๋กœ ARP Spoofing์„ ํ†ตํ•ด ARP Table์„ ์ค‘๋…์‹œํ‚ค๊ฑฐ๋‚˜ ์‚ฌ์šฉ์ž๊ฐ€ ๊ณต๊ฒฉ์ž์˜ ๋ฌด์„  ๋„คํŠธ์›Œํฌ์— ๋“ค์–ด์˜ค๋„๋ก ์œ ์ธํ•˜๋Š” ๊ฒƒ์ž…๋‹ˆ๋‹ค..

WEB
๋กœ์ปฌ ๊ถŒํ•œ ์ƒ์Šน ์ทจ์•ฝ์ (udev)

udev ๊ฐœ์š” udev๋ž€ " Userspace Device์˜ ์•ฝ์ž๋กœ Linux ํ™˜๊ฒฝ์—์„œ ์ปค๋„์„ ์œ„ํ•œ ์žฅ์น˜ ๊ด€๋ฆฌ์ž ์—ญํ• ์„ ํ•ฉ๋‹ˆ๋‹ค. udev๋Š” undeved / systemd-udev๋ผ๋Š” ์ด๋ฆ„์˜ ๋ฐ๋ชฌ์œผ๋กœ ๋™์ž‘ ํ›„ ์‹œ์Šคํ…œ์—์„œ ๋””๋ฐ”์ด์Šค ๋…ธ๋“œ๋ฅผ ์ƒ์„ฑํ•ฉ๋‹ˆ๋‹ค. ๋””๋ฐ”์ด์Šค๊ฐ€ detect ๋˜๋ฉด sysfs์— ๋“ฑ๋ก๋˜๊ณ  ํ•ด๋‹น ๋””๋ฐ”์ด์Šค๋Š” ์‚ฌ์šฉ์ž์˜ ๊ณต๊ฐ„์—์„œ /sys์— ๋“ฑ๋ก๋ฉ๋‹ˆ๋‹ค. ๊ทธ๋‹ค์Œ udev ๋ฐ๋ชฌ์œผ๋กœ Netlink Socket์„ ์ด์šฉํ•˜์—ฌ ์ƒˆ๋กœ์šด ๋””๋ฐ”์ด์Šค๊ฐ€ ์ƒ์„ฑ๋˜์—ˆ๋‹ค๋Š” ๋ฉ”์‹œ์ง€๋ฅผ ์ „์†กํ•˜๋Š”๋ฐ, ๋งŒ์•ฝ Netlink ๋ฉ”์‹œ์ง€๊ฐ€ ์ปค๋„ ๊ณต๊ฐ„์—์„œ ์‹œ์ž‘๋˜๋Š”์ง€ ์—ฌ๋ถ€๋ฅผ ํ™•์ธํ•˜์ง€ ์•Š์œผ๋ฉด ๊ณต๊ฒฉ์ž๋Š” ๋ณ€์กฐ๋œ Netlink ๋ฉ”์‹œ์ง€๋ฅผ ์ „์†กํ•˜์—ฌ ์ตœ์ƒ์œ„ ๊ถŒํ•œ(root)์„ ํš๋“ํ•  ์ˆ˜ ์žˆ๊ฒŒ ๋ฉ๋‹ˆ๋‹ค. ์ปค๋„(Kernal)์ด๋ž€ ์šด์˜์ฒด์ œ์˜ ํ•ต์‹ฌ์ ์ธ ๋ถ€๋ถ„์œผ๋กœ ์šด์˜์ฒด์ œ ์ด์™ธ์—..

WEB
XST(Cross Site Tracing) ์ทจ์•ฝ์ 

XST ๊ฐœ์š” " Cross Site Tracing " ์•ฝ์ž๋กœ 2002 ๋…„ 10 ์›”, Microsoft๋Š” XSS๋กœ๋ถ€ํ„ฐ ๋ณดํ˜ธํ•˜๊ธฐ ์œ„ํ•ด "HTTPonly" ์ฆ‰ HTTP ํ†ต์‹ ์—์„œ๋งŒ ์ด ์ฟ ํ‚ค๋ฅผ ์‚ฌ์šฉํ•˜๊ฒŒ ํ•จ์œผ๋กœ์จ ์ž๋ฐ”์Šคํฌ๋ฆฝํŠธ๋‚˜ ๊ธฐํƒ€ ํด๋ผ์ด์–ธํŠธ ์ธก ํ”„๋กœ๊ทธ๋žจ์ด ํ•ด๋‹น ์ฟ ํ‚ค๋ฅผ ์ ‘๊ทผํ•  ์ˆ˜ ์—†๋„๋ก ์ฐจ๋‹จํ•˜๋Š” ๋ฐฉ๋ฒ•์„ ๋ฐœํ‘œํ–ˆ์Šต๋‹ˆ๋‹ค. ํ•˜์ง€๋งŒ 2003 ๋…„์— XSS์˜ ๋ฐฉ์–ด์ˆ˜๋‹จ์ธ HTTPonly ๊ธฐ๋Šฅ์„ TRACE ๋ฉ”์†Œ๋“œ๋ฅผ ํ†ตํ•ด ์šฐํšŒํ•˜๋Š” ๋ฐฉ๋ฒ•์œผ๋กœ Cross Site Tracing์„ ํ†ตํ•ด ์„ธ์…˜์„ ํƒˆ์ทจํ•  ์ˆ˜ ์žˆ๋Š” ๋ฌธ์ œ๊ฐ€ ์กด์žฌํ•ฉ๋‹ˆ๋‹ค. TRACE ๋ฉ”์†Œ๋“œ๋ž€ ์›น ์„œ๋ฒ„์—๊ฒŒ ์ „์†กํ•œ ์š”์ฒญ ๋ฉ”์‹œ์ง€์˜ ๋ณต์‚ฌ๋ณธ์„ ๋ฐ›๊ธฐ ์œ„ํ•ด ์‚ฌ์šฉ๋˜๋Š” ๋ฉ”์†Œ๋“œ๋กœ. ํด๋ผ์ด์–ธํŠธ๊ฐ€ ์„œ๋ฒ„๋กœ TRACE ์š”์ฒญ์„ ๋ณด๋‚ด๋ฉด ์„œ๋ฒ„๋Š” ์š”์ฒญ๋ฐ›์€ ๋ฉ”์‹œ์ง€๋ฅผ ๊ทธ๋Œ€๋กœ ๋ฐ˜ํ™˜ํ•ด์ฃผ๋Š” ํ˜•ํƒœ์ž…๋‹ˆ๋‹ค. ํ…Œ์ŠคํŠธ ์šฉ๋„๋กœ ์‚ฌ์šฉํ•˜..

WEB