# SQL injection

wonjjani

https://dreamhack.io/wargame/challenges/415WAF는 웹 애플리케이션으로 들어오는 악성 트래픽 또는 앱에서 나가는 무단 데이터를 차단해 일반적인 공격으로부터 웹 애플리케이션을 보호하는 보안 솔루션이다.문제 코드를 보자.우선 ch

wonjjani

https://dreamhack.io/wargame/challenges/769우선 /login 으로 이동했을때 userlevel을 입력하는 칸이 있다.문제 파일을 받아보자.app.py중 DATABASE 쪽과, app.route('/login') 부터 보자.us

wonjjani

https://dreamhack.io/wargame/challenges/984처음 풀 문제는 baby-union 이라는 문제이다.해당 문제에 접속을 하면, sql query문이 보이고, uid, upw를 입력하는 칸이 보인다.우선 sql injection이 가

sju3358

CS

wonjjani

neville Bartholomew(admin)을 선택한 후 패스워드 부분에 'or''='를 입력한 후 Login을 클릭하면 정상적으로 로그인이 된다.WebGoat가 설치된 경로로 이동하여 LoginSqlInjection.java 파일을 실행한 후 패스워드 입력값을 처

wonjjani

우선 sql injection 을 공부하기 전에 sql에 대해서 알아야 할 필요가 있다.SQL에 대해서는 간단하게 짚고 넘어가지만 추가로 공부하고 SQL에 더 깊이 알수록 다양한 SQL Injection 공격이 가능하고 필터링을 우회할 수 있는 응용력이 생긴다.SQL은

dongsseop2

해커에 의해 조작된 SQL 쿼리문이 전달되어 비정상적 명령을 실행시키는 공격 기법인증 우회SQL Injection으로 공격할 때 input 창에 비밀번호를 입력함과 동시에 다른 쿼리문을 함께 입력하는 것이다.데이터 노출시스템에서 발생하는 에러 메시지를 이용하는 공격 방

annyeongha

사용자의 입력 값을 조작하여 DB를 공격하는 방식

mino0121

네트워크의 보안을 위협하는 공격 기법은 다양한 것들이 있다. 이번에는 SQL injection을 중심으로 가양한 공격 기법들을 확인해 보자.

deverroroper

SQL injection에 관련된 문제였습니다.여기에 입력을 하면 되는 문제인데처음에는 어떻게 해야하지 하고 고민했다.그리고 소스코드를 좀 봤는데다른 부분은 패스하고 이 부분만 봤다.문제를 찾기보다는 코드 해석을 먼저 해보니까GET방식으로 입력을 받는다.preg_mat

m200is

UNION과 UNION ALL이 있고 두개의 SQL 쿼리문의 결과를 하나로 통합해주는 명령어이다.UNION과 UNION ALL의 차이는 중복을 허용하느냐 아니냐의 차이로 ALL은 이름처럼 중복까지 모두 허용한다.mySQL의 문서의 UNION문 예시이다.Union 문을

inmo

구현한 게시판의 SQL 인젝션 취약점을 찾아보자!

miin-hyukkk

SQL Injection SQL Injection 악의적인 사용자가 보안상의 취약점을 이용하여, 임의의 SQL 문을 주입하고 실행되게 하여 데이터베이스가 비정상적인 동작을 하도록 조작하는 행위 공격방법 인증 우회, 데이터 노출, 해커는 GET방식 쿼리 스트링을 추가

inmo

모의해킹에 사용할 게시판의 기존 코드는 SQL 인젝션에 취약했다. PreparedStatement를 적용해 SQL 인젝션을 방어해보자.

inmo

UNION SQL Injection CTF 문제 풀이

inmo

모의 해킹을 위해 개발 중인 게시판의 로그인 과정을 살펴보자. SQL Injection 취약점이 존재하면 계정 정보 없이 로그인이 가능하다. 어떻게 가능한 걸까?

inmo

개발 중인 게시판의 로그인 과정을 어떻게 우회할 수 있는지 살펴보겠다.

inmo

SQL 인젝션 시도 시 서버가 어떤 SQL 질의문을 사용하는지 추측해야 한다! 공격할 때 반복적으로 사용하는 SQL 질의문이 있다. 따라서 기본 틀을 만들고 시작한다!

inmo

UNION, ERROR Based SQLi 와 다르게 DB 질의 결과가 화면에 안 나오는 환경에서 사용한다.

inmo

Blind SQL Injection은 공격 시간이 상당히 길다. 직접 타이핑 하며 공격하기에는 너무 오래 걸려 파이썬으로 자동화 도구를 만들었다.