일 | 월 | 화 | 수 | 목 | 금 | 토 |
---|---|---|---|---|---|---|
1 | 2 | 3 | 4 | 5 | ||
6 | 7 | 8 | 9 | 10 | 11 | 12 |
13 | 14 | 15 | 16 | 17 | 18 | 19 |
20 | 21 | 22 | 23 | 24 | 25 | 26 |
27 | 28 | 29 | 30 | 31 |
- security
- 보안이슈
- 오답노트
- Java
- 러시아
- 개발자
- 리눅스 마스터
- 네트워크관리사
- 트랜잭션
- Cloud
- 리눅스
- 깃허브
- db
- 악성코드
- 보안
- CVE
- 네관사2급
- 프로토콜
- tcp
- Linux
- 스프링
- 스프링부트
- SSO
- 네트워크
- 오늘의 오답노트
- 클라우드
- 리마2급2차
- AWS
- 제로 트러스트
- 기업간의 협업 중요성
- Today
- Total
목록분류 전체보기 (78)
일단 진행시켜
1. 고교생이 ‘고교학점제’ 해킹… 559명 정보 유출https://www.segye.com/newsView/20240811513310 고교생이 ‘고교학점제’ 해킹… 559명 정보 유출서울의 한 고등학생이 고교학점제 수강신청 시스템을 해킹해 일부 학생들의 수강신청을 취소하고, 개인정보 559건을 무단 탈취한 것으로 확인됐다. 서울시교육청은 수강신청 시스템의 취약점을www.segye.com [ 요약 ]1. 고등학생이 고교학점제 수강신청 시스템을 해킹하여, 일부 학생들의 수강신청을 취소하고 개인정보 559건을 무단 탈취했다.2. 서울시교육청은 수강신청 시스템의 보안을 강화하고, OTP 인증을 도입할 것이라고 밝혔다.3. 시스템을 해킹한 학생은 자신이 듣고 싶은 강의 신청자가 많아서 조기 마감되자 다른 학..
SQL Injection?특정 SQL 쿼리문을 전송하여 DB로부터 원하는 정보를 탈취하는 해킹 기법 Query : {$sql}"; $result = @mysqli_fetch_array(mysqli_query($con,$sql)); if($result['id'] == 'admin') { solve(); } highlight_file(__FILE__);?> pw는 모르겠으나 id가 admin이기만 해도 slove()가 실행되므로, id=admin으로 설정해 주면 된다. 정답index.php?id='admin' -- -'&pw='' pw 부분은 주석 처리 : -- - 또 다른 실습을 진행해보았다. Query : {$sql}"; $result = @my..
1. 웹이란?World Wide Web정보를 공유할 수 있는 전 세계적인 정보 공간HTTP 프로토콜, 하이퍼텍스트, HTML 형식 등을 통해 그림과 문자를 교환하는 전송 방식이라고 하기도 함 🤔 HTTP 프로토콜?Hyper Text Transfer Protocol웹 서버와 사용자 인터넷 브라우저 사이 문서를 전송하기 위해 사용되는 통신 규약HTTP(80) + 보안 = HTTPS(433)www상에서 주로 HTML 문서를 주고받는 데 사용되는 7 계층의 프로토콜HTTP: RFC 2616FTP: RFC 959web server: 사용자에게 웹 페이지/애플리케이션을 제공하는 소프트웨어 🤔 프록시(Proxy)프록시 서버: 사용자와 인터넷 사이의 중간 역할을 하는 서버지나가는 패킷을 다 볼 수 있음 2..
네트워크 해킹의 중요 공격 기법은SniffingSpoofingDos/DDoS3가지다. 위 세 가지를 배우기 전에, Scan 공격에 대해 공부해 보자. 0. 정보수집/스캔/사전 대입 공격0.1. 정보 수집정보 수집은 기술/비기술 2가지로 나뉜다.비기술사회 공학 기법신뢰할 수 있는 사람으로 가장기술수동적 Whois 서비스DNS 정보수집IP 추적구글링능동적Scanning 0.2. Scan 공격IP 대역을 port Scan 하여 열려있는 서비스를 찾아 불법 접근 시도하는 공격 기법방안 1. 열려있는 서비스를 차단하거나 default가 아닌, ID/PW 설정방안 2. 불필요한 서비스 접근 차단 및 스캔 응답 지연 0.2.1. 원격 패스워드 대입공격(=dictionary 공격)PW를 알아내기 위해 사전의 단어(..
1. Solar Power Installations Worldwide Open to Cloud API Bugs https://www.darkreading.com/ics-ot-security/solar-power-installations-worldwide-open-to-cloud-api-bugs [ 요약 ]1. 전 세계 태양광 발전 시설에서 사용되는 클라우드 API의 취약점을 발견했다.2. 허가받지 않은 제삼자가 취약한 Solarman 및 Deye 플랫폼을 통해 조작하거나 인버터와 데이터 로거를 제어할 수 있다.3. 태양광 패널 제어에 대한 무단 액세스가 허용되면 최악의 경우 서비스 중단 또는 전력 손실, 금전적 손실로 이어질 수 있다.4. 중요 인프라를 표적으로 삼는 사이버 위협으로부터 보호하기 위해 ..
1. 서비스의 종류1.1. 연결형 서비스데이터 전송 전에 데이터의 전송 경로를 미리 결정경로가 하나로 이어져 있음 = 이동 경로는 1개뿐 주소 필요 x연결되어 있어, 상대적으로 신뢰성이 높음TCP 1.2. 비연결형 서비스사전에 경로 설정 x, 패킷 단위로 결정연결되어 있지 않음 = 주소 필요 o서로 다른 경로를 통해 전송됨전송 경로가 여러 개가 존재할 수 있음도착 순서가 일정하지 않음따라서, 상위 계층에서 순서를 재조정해야 함패킷의 도착을 100% 보장하지 않으므로 훼손/분실 위험 등이 존재할 수 있음이 또한 상위 계층에서 분실 오류를 복구해야 함IP, UDP 연결형 서비스비연결형 서비스경로미리 결정패킷 단위로 결정주소필요 o필요 x방식신뢰성Best Effort 2. IP네트워크 계층의 비연결..
1. https://www.securityweek.com/iran-is-accelerating-cyber-activity-that-appears-meant-to-influence-the-us-election-microsoft-says/ [ 요약 ]1. Microsoft는 "이란 공격자들이 최근 몇 달 동안 가짜 뉴스 사이트를 만들고, 신분을 사칭하면서 분열을 조장하고, 이번 가을에 미국 유권자들의 관심을 끌기 위한 토대를 마련하고 있다"라고 발표했다.2. 아직, 미국에 혼란을 일으키는 것 외에 구체적으로 밝혀진 의도는 없다.3. 이미 6월에 전직 수석 보좌관을 해킹하여 미국 대선 캠페인 고위 간부를 표적으로 피싱 이메일을 발송한 사례가 존재한다. 또, 전직 대선 후보의 계정으로 로그인을 시도한 것으로..
1. Critical AWS Vulnerabilities Allow S3 Attack Bonanza https://www.darkreading.com/remote-workforce/critical-aws-vulnerabilities-allow-s3-attack-bonanza [ 요약 ]1. Aqua Sercurity 연구원들은 Shadow resource 공격 벡터와, 공개 계정 ID를 기반으로 S3 이름을 추측할 수 있는 "버킷 모노폴리" 문제를 발견했다.2. 또, "AWS의 6가지 심각한 취약점 대부분은 공격자가 쉽게 정보를 얻어 다른 계정에 접근할 수 있다"라고 밝혔다.3. S3 스토리지 버킷이 해시나 한정자를 사용하여 각 버킷 이름에 대한 고유 식별자 대신 예측하기 쉬운 AWS 계정 ID를 사..
오류 제어. 오류를 제어하는 것은 중요하다.또, 오류 제어에 대해 흐름 제어가 필요하기도 하다.그렇다면 흐름 제어란 무엇일까?그것을 알기 위해서는 전송 오류의 유형에 대해 알아볼 필요가 있다.어떻게 망가지는지를 알아야 그걸 막거나/보완할 수 있을 테니까.. 그러니 전송 오류의 유형에 대해 먼저 알아보자. 전송 오류의 유형에 대해 크게 3가지로 나누어 설명할 수 있다.1. 수신 호스트의 응답 프레임2. 송신 호스트의 타이머 기능3. 순서 번호 기능 1. 전송 오류의 유형1.1. 수신 호스트의 응답 프레임긍정 응답 프레임, 부정 응답 프레임 두 개로 나뉜다. 1. 긍정 응답 프레임데이터가 정상적으로 도착했을 때, 수신 호스트가 송신 호스트에게 회신한다.(ack) 2. 부정 응답 프레임네 가지가 존재한다.1...
1. Critical Progress WhatsUp RCE flaw now under active exploitationhttps://www.bleepingcomputer.com/news/security/critical-progress-whatsup-rce-flaw-now-under-active-exploitation/ Critical Progress WhatsUp RCE flaw now under active exploitationThreat actors are actively attempting to exploit a recently fixed Progress WhatsUp Gold remote code execution vulnerability on exposed servers for initia..