Exercise 2. Command Injection

커맨드인젝션 공격이란?

• 웹을 통해 시스템명령어(커맨드)를 실행하는 공격
• 웹 내부에서 시스템 명령어를 실행하는 경우, 입력값을 제대로 검사하지 않으면, 해커 마음대로 시스템 명령어를 실행!

(출처:인프런/화이트해커가-되기위한-8가지)

DVWA 실습

(Low)

핑을 보내는 폼이다. 192.168.1.123 으로 먼저 핑을 보내 보았다. 당연히 저런 IP값이 없으니 0 received 이다.

그렇다면 공부한 대로 동시에 여러 명령어를 입력하기 위해선 ; 을 이용해 주어야 한다. 

192.168.1.123;cat /etc/passwd 입력! 

요렇게 다양하게 공격해볼 수 있었다.

(Medium)

FTZ를 풀었을때 보면 다양하게 명령어를 동시에 입력을 할수가 있다.

(참고 : http://coffeenix.net/doc/shell_programming/shell2.htm)

;ls 를 입력하였는데 아무 반응이 없어 소스코드를 확인해 보았다.

이렇게 ';','&&'이 대체되는것을 확인해 볼 수 있었다. 

하지만 파이프라인 ('|')을 통해 명령어를 동시에 다른 명령어도 쓸수 있었다.

더 알아보니 &도 가능하다!

(High)

무엇을 또 막아 놓았나 보기위해 바로 소스코드를 확인해 보았다.

오홋 이런게 다 공격 기법들이였군 근데 다 막아놓았다.. 

막 혹시 더있나 찾아보다가 옥에티를 발견했다. '| '에 보면 띄어쓰기가 되어있다는점..

클리어~