혜랑's STORY

일단 Create timer를 눌러 보았더니 다음과 같은 결과가 나왔다. 코드를 살펴본 결과 onload를 이용해 startTimer 함수를 실행시키고 있다. (startTimer 함수란, 자바스크립트에서 제공하는 타이머 함수이다.) 따라서 startTimer 함수 뒤에 이어서 alert 함수를 실행시키면 된다고 생각하였다. 3'); alert(''); (' -> 코드에서 괄호와 '의 짝을 맞춰주기 위해 저러한 입력을 실행 함. 결과는 성공이다.

# Broken Auth - Insecure Login Forms - low level 해결 : 소스코드를 살펴본 뒤, 로그인 할 수 있는 정보를 찾아 접속하기 이 소스코드를 살펴보면, 아이디와 비밀번호가 흰색 글자로 숨겨져 있다는 것을 알 수 있다. 따라서 아이디에 'tonystark', 비밀번호에 'I am Iron Man'을 입력하면 로그인 할 수 있다. - medium level 해결 : 소스코드를 살펴본 뒤, 로그인 할 수 있는 정보를 찾아 접속하기 이 소스코드를 찾아보면, charAt(N)함수를 이용하여 bWAPP의 문자열의 N번째 문자를 반환하는 비밀번호흫 가진다는 것을 알 수 있다. 따라서 secret 값을 해석하면 'hulk smash!'라는 값을 가진다는 것을 알 수 있다. # Robo..

1. Burp Suite 이용방법 - Burp Suite란? 버프 스위트는 프록시를 사용하여 네트워크에서 통신하는 HTTP request를 가로채 분석 및 수정할 수 있으며, 그 외에도 다양한 기능을 이용하여 웹 애플이케이션의 취약점을 테스트하거나 해킹공격을 수행할 수 있는 점검 도구이다. - 설정 방법 내가 진행하려하는 실습은 bee box - HTML Injection - Reflected(POST)이다. POST 방식은 GET 방식처럼 URL에 key 값과 value 값을 보내지 않고 데이터를 body에 담아 요청하기 떄문에 사용자가 어떤 데이터를 요청하는지 URL에 표시가 되지 않는다. 즉, GET 방식처럼 key와 value 값이 직접 노출되는 환경은 아니라는 것에 차이가 있다. 그러나 버프 스..