Almon Dev

ctf 문제 풀이 GET Admin 1  풀이1. CSRF 취약점 찾기문제에서 admin 계정을 탈취하라고 합니다. 그렇다면 비밀번호 변경 기능이 CSRF 취약점이 있는지 확인합니다. 마이 페이지에 비밀번호 수정 기능이 있고, 현재 비밀번호와 같은 인증정보가 필요 없는 것 같습니다. 링크를 이용하기 위해서 GET메서드로 변환이 가능한지 확인해봅니다. GET 메서드로 변환해도 여전히 비밀번호가 변경됩니다.CSRF 취약점으로 링크로 접속을 유도해 비밀번호를 변경할 수 있습니다. 2. 관리자 계정 탈취하기위에서 만든 GET 메서드에 관리자봇이 접근하도록 해보겠습니다.  관리자가 눈치를 채고 비밀번호를 변경했습니다.눈치를 챈 이유를 알기 위해서 도메인에 직접 접근해봅니다. alert 창이 출력되서 눈치를 챈 것..

12주 차 정리 CSRF (Cross Site Request Forgery)피해자가 자신의 의도와는 상관없이 공격자가 원하는 요청을 서버로 보내도록 만드는 공격입니다.XSS 와의 차이점- XSS는 스크립트를 삽입하여 피해자의 브라우저에서 실행합니다.- CSRF는 사용자가 요청을 보내도록 만듭니다.CSRF와 XSS 연계CSRF는 XSS와 연계가 가능합니다.- CSRF 취약점이 있는 경우 XSS를 통해 사용자의 클릭 없이 서버로 요청을 보낼 수 있습니다.CSRF가 발생하는 곳- 서버에게 요청을 보내는 곳 + 인증정보가 포함되지 않는 곳은 모두 CSRF가 가능합니다.ex) 비밀번호 변경 시 기존 비밀번호 입력 or 이메일 인증- 위험한 CSRF인지 판단하는 기준은 컨설턴트의 주관이 들어갑니다.ex) 비밀변호 ..