2024/09 (17) 썸네일형 리스트형 [picoCTF] Who are You Walk Through해당 문제는 브라우저에 표출되는 문장에 대응하는 적절한 HTTP Header를 수정해서 요청하는 방식으로 풀어낼 수 있다. 처음 접속하면 다음과 같은 문장이 보인다.Only people who use the official PicoBrowser are allowed on this site!PicoBrowser를 통해서만 접속할 수 있다고 하니 "User-Agent"를 "PicoBrowser"로 수정해서 접속하면 다음과 같은 문장이 나온다.t trust users visiting from another site.이 때 부터는 curl 명령어를 이용했다. 위 문장은 다른 사이트로부터 방문한 사용자를 허용하지 않는다고 하는 듯 하다. HTTP Header 중 "Referer" Header.. [picoCTF] Super Serial 목차 " data-ke-type="html">HTML 삽입미리보기할 수 없는 소스Walk-Through문제 링크로 접속하면 username과 password 입력 박스가 보인다. 입력 박스를 통해 기본적으로 시도해볼 수 있는 SQL Injection 을 해봤지만 성공하진 않는다. 문제 풀이에 대한 힌트를 얻기 위해 사이트 내부로 돌아다니자. 일단 /robots.txt 를 접속 시도했을때 다음과 같은 내용이 보인다.User-agent: *Disallow: /admin.phpshttps://www.solvusoft.com/ko/file-extensions/file-extension-PHPS 에 따르면 phps는 PHP Source를 볼 수 있는 파일이라고 되어있다. robots.txt를 통해 admin.p.. [자바/스프링 개발자를 위한 실용주의 프로그래밍][chapter04] : SOLID, 의존성, SOLID & 객체지향, 디자인 패턴 목차 " data-ke-type="html">HTML 삽입미리보기할 수 없는 소스 개요 : 객체지향에서 좋은 설계와 아키텍처를 이야기하면 나오는 개념인 SOLID이다.SOLID는 로버트 마틴이 2000년대 초반에 고안한 5가지 원칙을 지칭하는 말이다.단일 책임 원칙 (SRP: Single Responsibility Principle)개방 폐쇄 원칙 (OCP: Open-Closed Principle)리스코프 치환 원칙 (LSP: Liskov Substitution Principle)인터페이스 분리 원칙(ISP: Interface Segregation Principle)의존성 역전 원칙(DIP: Dependency Inversion Principle)각 원칙은 객체지향 언어에서 좋은 설계를 얻기 위해 개발.. [picoCTF] Forbidden Paths IntroCan you get the flag?We know that the website files live in/usr/share/nginx/html/and the flag is at/flag.txtbut the website is filtering absolute file paths. Can you get past the filter to read the flag? 위 인용문은 picoCTF 문제에 대한 설명이다. 웹 사이트에 접속하면 경로가 “/usr/share/nginx/html”에 있고 flag는 “/flag.txt”에 있다고 한다. 즉, “/usr/share/nginx/html”로부터 경로를 이동해 “/flag.txt” 파일를 읽을 수 있을까 ? Path TraversalOWASP 사이트에.. [자바/스프링 개발자를 위한 실용주의 프로그래밍][chapter03] :덕 타이핑,인터페이스,행동과역할,메서드와함수 목차 " data-ke-type="html">HTML 삽입미리보기할 수 없는 소스 개요: 객체가 행동해야 한다는 것은 무슨 의미이며, 어떻게 해야 객체를 행동하게 만들 수 있을까 ?답은 TDA 원칙을 적용하는 것이다. : TDA 원칙은 객체를 행동하게 만든다이유는 “묻지 말고 시켜라” 라는 말 자체가 객체에 어떤 행동을 하라고 조언하는 것이기 때문이다.하지만 TDA 원칙은 객체가 이미 존재한다는 것을 전제로 사용할 수 있는 원칙이다.이제 막 객체를 설계하는 단계라면 어떻게 행동에 집중하는 객체를 만들 수 있을까? : 행동 위주의 사고를 하는 편이 객체지향에서는 훨씬 유리하다고 볼 수 있다.객체를 구분 짓는 요인은 데이터가 아닌 행동이다.객체를 만들 때는 데이터보다는 행동에 집중해야한다. 데이터가 객체를.. [picoCTF] JAuth 목차 " data-ke-type="html">HTML 삽입미리보기할 수 없는 소스 Intro문제 중 발췌대부분의 웹 애플리케이션 개발자는 보안을 테스트하지 않고 타사 컴포넌트를 사용합니다.구성 요소를 식별하고 취약한 구성 요소를 익스플로잇할 수 있나요? 챌린지 인스턴스를 실행한 후 추가 세부 정보를 확인할 수 있습니다. JWT None Algorithm AttackJWT는 Header 영역에 “alg” 값을 통해 알고리즘을 명시한다. JWT 토큰 생성 시 alg 값을 none으로 명시하거나 일부 JWT 라이브러리들은 alg 값에 none 등 비서명 처리로 인해 서명처리를 하지 않고 넘어갈 수 있는 JWT 공격 기법이다. JWT Debuggeralg에 none을 명시한 JWT를 만들어내기 위해 문제 풀이.. [자바/스프링 개발자를 위한 실용주의 프로그래밍][chapter02] - VO,DTO, DAO, SO 이 내용은 자바/스프링 개발자를 위한 실용주의 프로그래밍chapter2의 내용을 정리한 것입니다. 목차 " data-ke-type="html">HTML 삽입미리보기할 수 없는 소스 개요객체의 종류에 관한 문제는 개념을 이해하지 않고 외우려고만 할 때 곧잘 발생한다.납득이 안 가는 설명이 있음에도 암기해야 하는게 많아 일단 외우는 데 집중하다 보니 정신을 차리고 보면 누군가 설명해둔 내용을 그대로 읊을 줄밖에 모르게 되는 것이다.또한, VO나 DTO를 왜 써야 하는지도 모르겠지만 일단 좋다고 하니 진행중인 프로젝트에 적용해본다. 그 다음 이런 걸 VO, DTO라고 부른다고 하니까 그러려니 하고 클래스를 만들며 클래스 이름 뒤에 접미어로 VO, DTO를 넣게된다.이러한 용어 정의에서 어떤 내용이 잘못됐.. [Experience] wkhtmltopdf 사용으로 인해 발생한 SSTI 해결하기 목차 " data-ke-type="html">HTML 삽입미리보기할 수 없는 소스 과거 프로젝트에서 겪은 문제와 해결했던 방법들을 기록하고자 이 글을 적어본다 개요 신입 백엔드 개발자로 입사해 회사의 첫 프로젝트에서 개발할 당시 경험한 일이다. 이 당시 진행하던 프로젝트는 조합 운영 관리 플랫폼이었고 여타 프로젝트가 그렇듯 User/Admin으로 작업 영역을 나눠둔 상황이었다. Admin 측에서는 사용자들을 대상으로 특정 문서를 발행해 전달해야 했으며 이 문서는 미리 정의해 놓은 html을 비즈니스 로직에 따라 pdf로 변환했다. Admin은 주로 플랫폼 운영자분들이 사용하는 영역이었기에 회의를 거친 후 pdf 생성에 편의성을 높이기 위해 Jinja2 Template을 도입했다. 3년이 지나 쓰는 글.. 이전 1 2 3 다음
