티스토리

열씸히하자

검색하기

블로그 홈

열씸히하자

hdacker.tistory.com/m

금은동이 님의 블로그입니다.

구독자: 0

방명록 방문하기

주요 글 목록

데이터 분석 - [네이버 API] # 강남역 맛집 검색 시 나오는 블로그 리스트들을 csv파일로 저장하기. # 네이버 검색 API예제는 블로그를 비롯 전문자료까지 호출방법이 동일하므로 blog검색만 대표로 예제를 올렸습니다. # 네이버 검색 Open API 예제 - 블로그 검색 import os import sys import urllib.request import csv import json client_id = "YOUR_CLIENT_ID" client_secret = "YOUR_CLIENT_SECRET" encText = urllib.parse.quote("강남역 맛집") url = "https://openapi.naver.com/v1/search/blog?query=" + encText # json 결과 # url = "https.. 공감수 0 댓글수 0 2021. 7. 22.
데이터 분석[R] -15차시 감정 사전 감정을 나타낸 단어와 감정의 강도를 표현한 숫자로 구성됨 ex) 만족스럽다 +2 예쁘고 +2 좋아서 +2 나쁘고 -2 비싸다 -2 감정 점수 부여 디자인 예쁘고 마감도 좋아서 만족스럽다 => 합산 : +6 디자인은 만족스럽다. 그런데 마감이 나쁘고 가격도 비싸다 => 합산 : -2 간단한 문장을 감정 사전을 이용하여 분석 더보기 # 사용되는 패키지 활성화 library(stringr) library(dplyr) library(tidytext) library(KoNLP) library(ggplot2) library(wordcloud2) library(readr) library(textclean) setwd("작업 경로명") # 작업 경로 설정 dic % mutate(sentiment = ifel.. 공감수 0 댓글수 0 2021. 7. 15.
데이터 분석[R] - 14차시 오즈비 - 어떤 사건이 A조건에서 발생할 확률이 B조건에서 발생할 확률에 비해 얼마나 더 큰지를 나타낸 값 로그 오즈비 - 오즈비에 로그를 취한 값 - 어떠한 값에 로그를 취하면 1보다 큰 값은 양수, 1보다 작은 값은 음수가 됨. 오즈비를 이용한 각 대통령 연설문 분석 더보기 # 사용할 패키지 활성화 library(KoNLP) library(dplyr) library(stringr) library(tidytext) library(ggplot2) library(wordcloud2) # 작업 경로 설정 setwd("작업 경로명") # 문재인 대통령 연설문 데이터 가져오기 raw_moon % mutate(president="moon") moon # 박근혜 대통령 연설문 데이터 가져오기 raw_park % m.. 공감수 0 댓글수 0 2021. 7. 14.
데이터 분석[R] - 13차시 텍스트 데이터 마이닝 데이터분석의 목적 더보기 1. 현상을 수치로 표현(증명) 2. 유의미한 변수를 발견하는 것 3. 수익 창출을 위한 모형 개발 KoNLP 사전의 종류 더보기 KoNLP에는 3종류의 사전이 포함되어 있으며 각 사전을 사용하기 위해 다음 명령어를 입력 useSystemDic() # 시스템 사전 useSejongDic() # 세종 사전 useNIADic() # NIADic 사전 문재인 대통령 출마 연설문 단어 빈도 분석 Ⅰ. 토큰을 이용한 분석 더보기 1. 전처리 setwd("작업 경로명") # 작업 경로 설정 raw_moon count()의 첫번째 매개변수가 됨 3. 단어 빈도 분석하기 word_space % count(word, sort = T) word_space word_space .. 공감수 0 댓글수 0 2021. 7. 13.
데이터 분석[R] - 12차시 본 글은 모두를 위한 R 데이터 분석 입문 책을 공부하면서 정리·요약한 내용입니다. 저자 : 오세종 출판 : 한빛아카데미 1. - 1 - 2. - 1 - 3. - 1 - 4. 최소제곱 복습 더보기 로지스틱 회귀(logistic regression) : 회귀모델에서 종속변수의 값의 형태가 연속형 숫자가 아닌 범주형 값인 경우를 다루기 위해서 만들어진 통계적 방법 주어진 데이터로부터 어떤 범주를 예측하는 분야를 회귀와 구분하여 분류(classification)라고 함 R에서 로지스틱 회귀 모델은 glm() 함수 이용 iris.new 공감수 0 댓글수 0 2021. 7. 12.
데이터 분석[R] - 11차시 본 글은 모두를 위한 R 데이터 분석 입문 책을 공부하면서 정리·요약한 내용입니다. 저자 : 오세종 출판 : 한빛아카데미 1. - 3 - 2. - 4 - 3. - 2 - 독립변수의 기울기가 0이면 귀무가설, 0이 아니면 대립가설 4. - 3 - 복습 더보기 1. 다중선형 회귀분석 - 두 개 이상의 독립변수들이 종속변수에 미치는 영향을 추정하는 통계기법 1) 모델의 통계적 유의성 - F통계량 : 유의수준 5% 하에서 F통계량의 p-값이 0.05보다 작으면 통계적으로 유의 - 회귀계수 : 모든 회귀계수의 유의성이 통계적으로 검증되어야 모델을 활용할 수 있음 - 설명력 : 수정된 결정계수를 확인 2. 다중선형 회귀모델의 변수 선택 1) 설명변수 선택 : 가능한 범위 내에서 적은 수의 설명변수 포함 2) 모형 .. 공감수 0 댓글수 0 2021. 7. 9.
데이터 분석[R] - 10차시 본 글은 모두를 위한 R 데이터 분석 입문 책을 공부하면서 정리·요약한 내용입니다. 저자 : 오세종 출판 : 한빛아카데미 본 글은 2021 ADsP 데이터 분석 준전문가 : 합격을 위한 완벽 요약집[개정판] 책을 공부하면서 정리·요약한 내용입니다. 저자 : 윤종식 출판사 : 데이터에듀 1. - X - 설명이 반대로 되어있다. 2. - 4 - 3. - 4 - 복습 더보기 1. 회귀분석 - 회귀분석(regression analysis) : 하나나 그 이상의 독립변수들이 종속변수에 미치는 영향을 추정하는 통계기법 - 독립변수가 하나이면 단순선형 회귀분석, 독립변수가 두 개 이상이면 다중선형 회귀분석으로 분석 - 영향을 주는 변수 : 독립변수(independent variable), 설명변수(explanator.. 공감수 0 댓글수 0 2021. 7. 8.
데이터 분석[R] - 9 차시 본 글은 모두를 위한 R 데이터 분석 입문 책을 공부하면서 정리·요약한 내용입니다. 저자 : 오세종 출판 : 한빛아카데미 1. - 2 - 2. dodge 3. - 3 - 복습 더보기 1. 데이터 시각화 데이터 시각화(data visualization) : 숫자 형태의 데이터를 그래프나 그림 등의 형태로 표현하는 과정 2. 트리맵 사각타일의 형태로 구성되어 있으며, 각 타일의 크기와 색깔로 데이터의 크기를 나타냄 treemap(dtf, index, vSize, vColor = NULL, type = "index", title = NA) 3. 버블 차트 버블 차트(bubble chart): 산점도 위에 버블의 크기로 정보를 표시하는 시각화 방법 symbols(x, y) 4. 모자이크 차트 다중변수 범주형 데.. 공감수 0 댓글수 0 2021. 7. 7.
데이터 분석[R] - 8차시 본 글은 모두를 위한 R 데이터 분석 입문 책을 공부하면서 정리·요약한 내용입니다. 저자 : 오세종 출판 : 한빛아카데미 1. - 2 - 2. - 3 - 3. - 3 - 복습 더보기 idx 공감수 0 댓글수 0 2021. 7. 6.
데이터 분석[R] - 7차시 본 글은 모두를 위한 R 데이터 분석 입문 책을 공부하면서 정리·요약한 내용입니다. 저자 : 오세종 출판 : 한빛아카데미 1. - 1 - 2. - 2 - 상자그림과 관계없는 내용, 이상치의 값이 정상적인 값일 수 있음 3. ESD (Extreme Studentized Deviation) 복습 더보기 데이터 전처리 : 대표적으로 "결측값"과 "특이값"을 처리하여 데이터 정제 및 가공 order() : 번호표 sort() : 실제 값 위치를 변경 subset() : 기준에 맞는 행들만을 추출(조건) v1 7.6, select=c(Petal.Length, Petal.Width)) # Sepal.Length가 7.6 초과인 데이터 중Petal.Length, Petal.width 컬럼만 확인 데이터 샘플링 더보기.. 공감수 0 댓글수 0 2021. 7. 5.
데이터 분석[R] - 6차시 본 글은 모두를 위한 R 데이터 분석 입문 책을 공부하면서 정리·요약한 내용입니다. 저자 : 오세종 출판 : 한빛아카데미 1. 상관계수 2. - 4 - 인과관계를 알려면 회귀분석을 이용해야 한다. 3. - 4 - 결측값(missing value) 더보기 데이터를 수집하고 저장하는 과정에서 저장할 값을 얻지 못하는 경우 발생 → 고의 또는 실수로 누락 결측값의 처리 방법 1. 결측값 제거 또는 생략 2. 결측값 치환 결측값의 특성과 존재 여부 확인 더보기 z 공감수 0 댓글수 0 2021. 7. 2.
데이터 분석[R] - 5차시 본 글은 모두를 위한 R 데이터 분석 입문 책을 공부하면서 정리·요약한 내용입니다. 저자 : 오세종 출판 : 한빛아카데미 1. - 4 - 2. - 4 - 종속변수, 독립변수는 상관분석과 아무런 관계가 없다. -> 회귀분석과 관계가 있음 3. - 4 - 상관관계랑 분산은 관계가 없다. 복습 더보기 단일변수 - 팩터형(질적), 연속형(양적) 팩터형 : 도수분포표, 막대그래프, 원 그래프 연속형 : 기술통계, 히스토그램, 상자그림 다중변수 - 산점도, 상관분석 산점도 : plot(), pairs(), ~ 사용시 y축 ~ x축 상관분석 : 한 변수가 변화함에 따라 다른 변수가 어떻게 변화하는지와 같은 변화의 강도와 방향 피어슨 상관계수 : 등간(구간)척도, 비율척도(연속형)로 측정된 두 변수들의 상관관계를 측정.. 공감수 0 댓글수 0 2021. 7. 1.
데이터분석[R] - 4차시 본 글은 모두를 위한 R 데이터 분석 입문 책을 공부하면서 정리·요약한 내용입니다. 저자 : 오세종 출판 : 한빛아카데미 1. - 3 - 변주형 변수 X -> 연속형 변수 O 2. - 2 - 3. - 2 - 표본의 크기가 작아도 X 복습 더보기 1. 공공데이터 포털에서 올레코스 현황 데이터를 검색하여 다운로드 받은 후 jeju.csv로 이름을 변경하시오. (C:/source에 저장) setwd("C:/Source") 2. R에서 jeju.csv를 읽어서 jeju로 저장하시오. jeju 공감수 0 댓글수 0 2021. 6. 30.
데이터 분석[R] - 3차시 본 글은 모두를 위한 R 데이터 분석 입문 책을 공부하면서 정리·요약한 내용입니다. 저자 : 오세종 출판 : 한빛아카데미 다음 중 R의 데이터 구조 중 벡터에 대한 설명으로 적절한 것은? - 2 - ① 벡터는 행과 열을 갖는 m X n 형태의 직사각형에 데이터를 나열한 데이터구조이다. ② 벡터는 하나의 스칼라 값 또는 하나 이상의 스칼라 원소들을 갖는 단순한형태의 집합이다. ③ 벡터는 행렬과 유사한 2차원 목록 데이터 구조이다. ④ 벡터는 숫자로만 구성되어야 한다. 다음 중 결과가 다른 R 코드는? - 2 - ① a 공감수 0 댓글수 0 2021. 6. 29.
데이터분석 [R] - 2차시 본 글은 모두를 위한 R 데이터 분석 입문 책을 공부하면서 정리·요약한 내용입니다. 저자 : 오세종 출판 : 한빛아카데미 R의 장점으로 옳지 않은 것을 고르시오. - 2 - ① 오픈 소스이므로 사용자들이 만든 다양한 패키지들을 공유하여 사용 가능하므로 최신 알고리즘을 패키지를 통해 활용하기 쉽다. ② R은 사용자들이 많이 때문에 문제가 발생할 경우, 다양한 사용자들을 통해 문제를 해결하므로 다른 통계 패키지에 비해 유지보수가 신속하게 이루어진다. ③ 함수형 언어이기 때문에 다양한 프로그램을 통해 자동화 할 수 있다. ④ 무료로 이용할 수 있다 R에서 제공하는 데이터 가공, 처리를 위한 패키지의 설명으로 가장 부적절한 것은? - 1 - ① data.table 패키지는 데이터 프레임 처리함수인 ddply 함.. 공감수 0 댓글수 0 2021. 6. 28.
데이터 분석 [R] - 1차시 본 글은 모두를 위한 R 데이터 분석 입문 책을 공부하면서 정리·요약한 내용입니다. 저자 : 오세종 출판 : 한빛아카데미 ? head help(head) ? 와 help() 함수를 통해 함수에 대한 도움말이나 정보를 확인 가능하다. + -> 덧셈연산 - -> 뺄셈연산 * -> 곱셈연산 / -> 나눗셈연산 %% -> 나머지연산 ^ -> 제곱연산 기본적인 연산자이다. data() data()함수를 이용하면 R에서 기본적으로 제공되는 데이터 셋 확인할 수 있다. women 기본적으로 제공되는 데이터 셋 중 이름이 women인 데이터들을 확인할 수 있다. 실행결과 : 더보기 height weight 1 58 115 2 59 117 3 60 120 4 61 123 5 62 126 6 63 129 7 64 132 .. 공감수 0 댓글수 0 2021. 6. 25.
hackerschool FTZ : lv1 hint파일을 열어 level2 권한에 setuid가 걸린 파일을 찾으라는 문장을 확인할 수 있다. 먼저 setuid와 setgid 그리고 stickybit에 대해 알아보겠다. setUID와 setGID는 파일에 다른 계정과 그룹의 권한을 일시적으로 빌려주는 개념이다. setUID가 설정된 파일을 실행하게 되면 실행하는 동안은 그 파일의 소유자 권한을 지니게 된다. 예시를 통해 살펴보도록 하겠다. 그림과 같이 stickytest라는 파일을 만든 후 root만 사용할 수 있도록 권한을 준다. root만 사용할 수 있으므로 root가 아닌 계정으로 파일내용 출력을 시도하면 거부되는 것을 확인할 수 있다. uid와 euid를 출력하고 cat명령어를 통해 stickytest파일을 출력하는 stickybit.c파.. 공감수 0 댓글수 0 2020. 11. 26.
쉘코드를 이용한 Buffer Overflow (NOP Sled) 쉘코드를 이용해 버퍼 오버플로우 공격을 시험해보자. 시험을 위해서는 먼저 버퍼 오버플로우 취약점을 가진 프로그램이 필요하다. 위의 프로그램에서는 strcpy()를 사용하고 있다. strcpy()는 NULL Byte(문자열의 끝)를 만나기 전까지의 문자열를 복사하는 함수로 문자열의 길이를 검사하지 않는다. 따라서 256바이트에 해당하는 버퍼의 크기를 넘어서는 값을 입력하더라도 그대로 버퍼에 복사가 되므로 해당 프로그램은 버퍼 오버플로우 취약점을 가지게 된다. 위의 프로그램에서 버퍼 오버플로우가 일어나는 과정을 확인하기에 앞서 편의를 위해 메모리 보호기법 중 하나인 ASLR을 비활성하겠다. ASLR(Address Space Layout Randomization)이란 메모리상의 공격을 어렵게 하기 위해 프로그.. 공감수 1 댓글수 1 2020. 11. 20.
[시스템] 쉘코드를 작성해보자. [2] 저번시간에 이어서 setreuid를 이용해 root권한 획득과 exit(0)를 이용해 프로그램이 정상적인 종료가 되도록 만들어 보자. 먼저 root권한 획득에 대해 알아보자. sh03실행파일의 소유자와 실행권한이 각각 hd, 755인 것을 확인할 수 있다. chown명령어를 이용해 소유자를 root로 변경하고 chmod명령어를 이용해 파일에 대한 권한을 4755로 변경한다. 4755은 setuid bit를 설정하는 것을 의미한다. 원래의 8진수 퍼미션 설정에 4를 붙여 설정할 수 있으며, 4755로 변경시 실행권한이 -rwsr-xr-x로 변경된다. 이를 통해 실행시킨 사용자의 권한이 아닌 소유자의 권한으로 파일을 실행할 수 있게 된다. 설정을 마쳤다면 쉘코드를 통해 root권한 획득이 되는지 확인해보자... 공감수 0 댓글수 0 2020. 11. 2.
[시스템] 쉘코드를 작성해보자. 쉘 코드란 쉘을 실행시키는 코드를 말하며, 쉘이란 실행파일을 실행시키거나 커널에 어떠한 명령을 내릴 수 있는 대화통로이다. 우선 쉘코드를 만들기 위해서 먼저 쉘을 실행시키는 프로그램을 작성해야한다. 이때 쉘을 실행시키는 프로그램은 C언어로 작성하며 컴파일을 통하여 어셈블리 코드로 변환 후 라이브러리에 종속적이지 않도록 만들어주어야 한다. 먼저 C언어로 작성한 쉘 실행 프로그램은 다음과 같으며, 프로그램을 실행시키면 쉘이 실행되는 것을 확인할 수 있다. execve()를 통해 쉘을 실행시키는데 execve()란 바이너리 형태의 실행파일이나 스크립트 파일을 실행시키는 함수이다. execve()가 어떠한 동작을 하는지 내부를 살펴보도록 하자. 이 프로그램에서의 execve()는 Dynamic Link Libr.. 공감수 2 댓글수 0 2020. 10. 12.
[리눅스] -mpreferred-stack-boundary=2 프롤로그부터 시작하지 않는다. 그냥 마음한켠이 불편하다. 논리주소 또한 프롤로그가부터 시작하지 않는다. 그냥 마음한켠이 불편하다. gcc로 컴파일할때 -mpreferred-stack-boundary=2 옵션을 줘보자. (편안..) 공감수 0 댓글수 0 2020. 9. 21.
[시스템] Stack Frame (스택 프레임) 어셈블리를 통해 스택프레임의 생성과 소멸의 과정에 대해 살펴보자. 예제코드는 다음과 같다. 다음은 gcc명령어를 통해 컴파일한다. gcc -m32 -fno-stack-protector -mpreferred-stack-boundary=2 -no-pie -fno-pic -o stackframe stackframe.c 옵션을 하나하나 살펴보자. -m32 : 32bit로 컴파일 -fno-stack-protecotr : 버퍼오버플로우가 발생했을 때 gcc는 canary를 이용해 버퍼오버플로우가 발생한 것을 감지하고 프로그램을 종료하는데 우리는 이를 SSP(Stack Smashing Protection)라 부르는데 이러한 보호기법(SSP)을 off한다. -mpreferred-stack-boundary=2 : 32b.. 공감수 4 댓글수 0 2020. 5. 27.
[시스템] Prologue / Epilogue (프롤로그 / 에필로그) 프롤로그의 사전적 정의는 음악 및 이야기 또는 영화등의 도입부를 의미한다. 스택구조에서도 프롤로그는 사전적의미와 유사한 의미를 가진다. 바로 함수의 시작을 말한다. (시작은 곧 구분을 의미한다.) 프롤로그가 일어나기 전 스택에서는 2가지 값이 먼저 쌓이게 되는데 이는 다음과 같다. RET SFP 먼저 RET부터 알아보자. 함수가 호출되면 스택에는 먼저 함수가 모든 일을 마치고 돌아갈 주소를 저장한다. 즉, push eip가 일어나는데 우리는 이를 RET라고 부른다. 여기서 eip(Extended Instruction Pointer)란 다음 명령어가 저장되어 있는 주소를 가리키는 포인터를 말한다. 그림으로 살펴보면 다음과 같다. 그림을 통해 조금 더 쉽게 설명하자면 func1함수를 호출하면 다음 명령어의 .. 공감수 5 댓글수 0 2020. 5. 15.
[칼리리눅스] HTTrack을 이용한 간단한 실습 HTTrack은 사용자가 인터넷에서 로컬 디렉토리로 월드 와이드 웹 사이트를 다운로드할 수 있으며 HTML, 이미지, 그리고 다른 파일들 또한 가져올 수 있게 해주는 툴이다. HTTrack에는 해당 사이트의 상대적인 링크 구조도 파악할 수 있어 링크에서 링크까지 사이트를 탐색할 수 있도록 도와주는 기능도 존재한다. 먼저 미러링할 페이지를 준비한다. HTTrack을 실행한다. (HTTrack은 칼리리눅스 왼쪽 상단 Application에서 03-Web Application Analysis에 위치한다.) 미러링할 페이지를 저장할 경로를 만들어준다. (용량이 상당히 크다.) httrack명령어를 이용해 실행한다. 그다음 위와 같이 파일이름, 저장경로, 미러링할 페이지의 URL을 입력해준다. 2번 옵션을 선택해.. 공감수 1 댓글수 1 2020. 4. 26.
[칼리리눅스] Commix를 이용한 간단한 실습 Commix란 [comm]과 [i]njection 그리고 e[x]ploiter의 단어들에서 각각 파생되어 만들어진 단어로 Command Injection 기반 취약점과 웹 기반 애플리케이션과 관련된 버그, 오류 또는 취약점을 테스트하기 위해 만들어진 오픈 소스 툴로Commix를 이용하면 특정 취약한 파라미터나 HTTP 헤더에서 명령 주입 취약성을 매우 쉽게 찾아 이용할 수 있다. 또한, Python으로 작성되었으며 대부분의 OS에서 실행이 가능하다. 실습환경은 DVWA에서 진행되었다. Security level을 low로 설정한 후 Command Injection페이지를 띄운다. 칼리리눅스에서 commix 툴을 실행시킨다. (commix는 칼리리눅스 화면 왼쪽 상단 Applications에서 03-Web.. 공감수 1 댓글수 0 2020. 4. 25.
[비박스] SSI Injection SSI는 Server Side Includes를 뜻하는데 이는 방문자 카운터, 홈페이지의 로고를 간단하게 수정하기 위해 사용되며, 형식은 HTML의 주석과 비슷하고 확장자명은 .shtml을 사용한다. 또한, HTML은 사용자의 브라우저에서 처리되는 반면에 SSI는 웹서버에서 처리되며 처리의 결과만이 사용자의 브라우저로 전송된다. ↓Low level 사용자의 ip주소를 출력해주는 SSI Injection페이지이다. localhost이기 때문에 루프백 주소인 127.0.0.1이 출력된다. ssii.shtml인 것을 보아 SSI가 사용된 페이지라는 것을 확인할 수 있다. Last name 입력칸에 을 입력한다. 짐작이 가듯 현재 시간을 출력하는 코드이다. Lookup 버튼을 누르게 되면 현재 시간이 출력되는 .. 공감수 1 댓글수 0 2020. 4. 22.
[비박스] PHP Code Injection ↓Low level PHP 코드 인젝션 페이지이다. message부분을 클릭하면 'test'라는 문자열이 출력된다. 또한 URL에 파라미터가 노출되는 것을 통해 GET방식인 것을 확인할 수 있다. 따라서 우리는 파라미터의 값을 변조해 원하는 값을 출력할 수도 있다. 그렇다면 OS 커맨드 인젝션처럼 시스템 명령의 결과를 출력해볼 수도 있지 않을까? system 함수를 사용하여 시스템 명령의 결과를 출력해보자. 시스템 명령의 결과인 www-data가 출력된 것을 확인할 수 있다. whoami 명령어는 시스템에 로그인한 사용자의 이름을 확인할 수 있는 명령어이다. 먼저 system함수를 이용한 취약점을 이용할 수 있었던 이유를 알아보자. phpi.php의 소스코드에서 eval() 함수를 찾아볼 수 있다. ev.. 공감수 1 댓글수 0 2020. 4. 17.
[비박스] OS Command Injection OS Command Injection이란 취약한 변수에 악의적인 코드나 명령어를 주입하여 서버 운영체제에 접근하는 공격을 말한다. ↓Low level os 커맨드 인젝션 페이지이다. 입력한 주소의 DNS 주소를 출력해주는데 이때 nslookup 시스템 명령어를 사용하여 DNS 주소를 조회하게 된다. ls 명령어를 사용해 디렉터리 목록을 출력해보자. ls 앞에 |(파이프라인)을 입력한 것을 확인할 수 있다. 파이프라인은 둘 이상의 명령어를 실행할 때 사용하며 한줄에 여러개의 명령어를 사용할 수 있다. 위 사진과 같이 명령어를 입력하게 되면 가장 상위의 디렉터리 정보가 출력되는 것을 확인할 수 있다. 다음은 nc(넷켓)을 사용해 비박스의 서버정보를 파악해보자. 리눅스에서 터미널을 열어 다음과 같이 명령어를 .. 공감수 0 댓글수 0 2020. 4. 14.
[비박스] iFrame Injection iframe은 HTML 문서 안에서 또 다른 HTML 문서를 출력하는 태그를 말한다. 악성URL을 삽입한 후 사이즈를 0으로 설정하여 숨기는 방법을 사용하여 사용자가 의도하지 않은 악성 웹 사이트에 접속하거나 경고창을 띄울 수 있다. 들어가기에 앞서 robots.txt란 무엇인지 알아보자. robots.txt는 웹사이트에 웹 크롤러같은 로봇들의 접근을 제어하기 위한 규약을 말한다. (검색엔진에서도 마찬가지) 여기서 웹 크롤러란 웹페이지의 정보들을 자동으로 수집하는 프로그램을 말하며 일종의 매크로라고 말할 수 있다. 이러한 웹 크롤러들을 특정 디렉토리 혹은 모든 디렉토리에 접근을 허용할것인지 차단할것인지를 robots.txt를 이용해 결정할 수 있다. robots.txt를 확인하는 방법은 최상위경로url에.. 공감수 0 댓글수 0 2020. 4. 13.
[비박스] HTML Injection - Stored (Blog) 저번 시간에 HTML Injection - Reflected기법에 대해 공부했다면 오늘은 Stored기법에 대하여 공부해보자. ↓Low level 먼저 할일이 있다. htmli_post.php 소스코드에서 태그로 작성된 부분을 복사하는 것이다. HTML Injection - Reflected (POST) 페이지를 열고 [F12]번을 눌러 개발자 도구를 실행한다. 그 후 아래 사진처럼 들여쓰기 되어 있는 코드를 펼친다. 이제 우리가 원하는 코드를 확인할 수 있다. 위 사진에서 태그로 이루어진 코드가 바로 우리가 원하는 코드이다. HTML에서 태그란 데이터를 서버로 보내는 기능을 한다. 이 코드를 복사해 stored 페이지 입력창에 입력해보자. 입력한 결과 왠지 익숙한 창이 보이는 것을 확인할 수 있다. 우.. 공감수 0 댓글수 0 2020. 4. 5.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.