티스토리

메모장

검색하기

블로그 홈

메모장

myungjjju.tistory.com/m

m_.9m 님의 블로그입니다.

구독자: 13

방명록 방문하기

주요 글 목록

[포렌식] 대회 문제로 보는 침해 사고 대응 교육 1. WireShark - 네트워크 패킷 흔적 조사 *tcp dump 같이 다운로드 1.1 ARP 스푸핑 : duplicate, 중복 감지 된 경우 뜸 ARP 스푸핑 시 ARP Type는? Type ARP (0x0806) 공격자의 실제 MAC 주소는? 192.168.1.103 공격자는 몇번의 패킷을 전했는지? 3번, eth.src == 00:d0:59:aa:af:80 깃발 눌러서 필터 관련 설정 가능. 전체 필터 목록 조회: [Analyze] > [Display Filter Expression] 1.2 FTP 서버 브루트포스 응답코드 설명 331 사용자 이름에 문제가 없으며 암호가 필요합니다. 530 로그인되지 않았습니다. 220 새 사용자에게 서비스가 준비되었습니다. 230 사용자가 로그인하여 진행합니.. 공감수 0 댓글수 0 2023. 7. 25.
[WP plug-in] 플러그인 만들기 (1-2) *다음의 유투브 영상을 따라 제작하였습니다. https://www.youtube.com/watch?v=0l7JTie_6jM&list=PLriKzYyLb28kR_CPMz8uierDWC2y3znI2 1) 개발시 오류 확인을 위해 config.php에서 디버그 옵션을 True로 활성화시킨다. 2) 먼저 아래의 워드프레스 플러그인 경로에 플러그인 폴더를 생성해야한다. [wordpress 설치폴더] > wp-content > plugins > [플러그인 폴더 생성] 3) 이후 플러그인 폴더에 플러그인 이름과 똑같은 PHP파일을 만들고 package와 주석으로 플러그인에 대한 설명을 기술한다. 이를 수행할 시 내가 만든 플러그인이 WP 플러그인에 설치된 것을 볼 수 있다. 4) 필요하다면 라이센스의 내용을 소스코드.. 공감수 0 댓글수 0 2023. 2. 27.
Prototype Pollution 1. 프로토 타입 Java, C 와같은 클래스 기반 객체 지향 프로그래밍 언어와 달리 자바스크립트는 프로토타입 기반 객체 지향 언어이다. 클래스 기반 객체 지향 프로그래밍 언어는 객체 생성 이전에 클래스를 정의하고 객체를 생성하지만 프로토타입 기반 객체지향 프로그래밍 언어는 클래스 없이 객체를 생성한다. 자바스크립트의 모든 객체는 부모 객체와 연결되어 상속되는데 이런 부모 객체를 프로토타입이라고 한다. 모든 객체들이 메소드와 속성들을 상속 받기 위한 템플릿으로써 프로토타입 객체를 가진다. 최소 하나 이상의 다른 객체로부터 상속을 받는다. 프로토타입 객체도 또 다시 상위 프로토 타입 객체로부터 메소드와 속성을 상속받을 수 있는데 이를 프로토타입 체인이라고 한다. 상속되는 메소드들은 객체 생성자의 proto.. 공감수 0 댓글수 0 2023. 2. 8.
DDE(Dynamic Data Exchange)와 CSV Injection 1. CSV injection CSV injection은 CWE-1236에 Improper Neutralization of Formula Elements in a CSV File로 기록되어 있는 취약점이다. 사용자가 제공한 정보를 CSV 파일에 저장하지만 스프레드 시트에서(대다수) 파일을 열때 명령으로 해석될 수 있는 구문을 적절히 필터링하지 않아 발생한다. 서비스의 도메인에서 웹 페이지, API를 통해 CSV 파일을 다운로드하는 기능이 있다면 점검 포인트가 된다. 이 중 사용자의 입력값을 통해 CSV를 수정할 수 있다면 공격 포인트로 볼 수 있다. 2. DDE의 개념 문서를 작성할 때 사용하는 대표적인 프로그램으로 MS word. Excel 등이 있는데 이런 문서 파일엔 매크로 기능이나 'JS', 'J.. 공감수 0 댓글수 0 2023. 2. 7.
[AI] 기초 개념 학습 #2(강화 학습) 1. 강화 학습의 개념 강화학습이란 상태(state), 행동(action), 보상(reward)로 구성되어 있다. 강화학습은 순차적인 의사결정 문제에서 누적 보상을 최대화하기 위해 시행착오를 거쳐서 상황에 따른 행동정책을 학습한다. 에이전트와 환경으로 정의하면 에이전트는 학습의 주체, 의사 결정자, 행동의 주체이며 환경은 에이전트를 제외한 모든 것이다. 에이전트가 St라는 상태에서 At라는 행동을 하면 환경이 이를 관측하고 Rt+1의 보상과 다음 상태 St+1를 에이전트에 전달한다. 2. 마르코프 확률 마르코프 확률은 강화학습에 있어 선행되어야하는 개념이다. Markov Property(마르코프 확률)는 미래의 상태는 현재의 상태에 영향을 받으며 과거의 상태는 영향을 받지 않는다는 이론이다. 현재에 대한.. 공감수 1 댓글수 0 2023. 1. 31.
[AI] 기초 개념 학습 #1(ML 종류) 0. 인공지능(artificial intelligence) : 인간의 지능적인 활동을 할 수 있도록 컴퓨터를 구현하는 것 - 튜링 테스트: AI의 성능을 시험하는 방법으로 이미테이션 게임이라고도 한다. 일반인이 컴퓨터와 대화해서 사람으로 판정하는 비율이 30%이상 되면 인간처럼 사고할 수 있는 시스템이라고 간주하는 것이다. 1. 머신러닝 인공지능의 한 분야로 컴퓨터가 학습할 수 있는 알고리즘과 기술을 개발하는 분야이다. 1-1. 지도 학습 입력(x)에 대해 레이블(y)를 달아놓은 데이터를 컴퓨터에게 학습시키는 것 1) 분류 레이블 y가 이산적인 경우(범주형 변수인 경우) 분류 혹은 인식 문제라고 부른다. - 종류 : 로지스틱 회귀법, KNN, 서포트 벡터 머신 (SVM), 의사 결정 트리 2) 회귀 레이.. 공감수 0 댓글수 0 2023. 1. 30.
YAML .데이터 직렬화 언어 예시) YAML이란? YAML은 구성 파일 작성에 자주 사용되는 데이터 직렬화 언어입니다. YAML을 yet another markup language로 생각하는 사람도 있고, YAML ain’t markup language(재귀 약어)로 생각하는 사람도 있습니다. 후자는 YAML이 문서가 아닌 데이터용임을 강조하는 말입니다. https://www.redhat.com/ko/topics/automation/what-is-yaml 다음은 구문 규칙을 보여주는 단순한 직원 기록용 YAML 파일의 예입니다. --- # An employee record name: Martin D'vloper job: Developer skill: Elite employed: True foods: - Appl.. 공감수 0 댓글수 0 2023. 1. 28.
직렬화(Serialization)와 역직렬화(Deserialization) 1.마샬링의 정의 마샬링이라고도 부르는 개체 직렬화는 객체의 상태를 변환하는 과정이다. 쉽게 데이터를 메세지로 보내거나 데이터 베이스에 데이터로, 텍스트 파일로 저장할 수 있다. 데이터는 JSON, XML, Binary 형식으로 직렬화한다. 2.마샬링(Marshalling) vs 직렬화(Serialization) 마샬링은 직렬화와 비슷한 개념으로 큰 개념인 변화하는 과정을 의미한다. 직렬화의 과정에 마샬링이 포함되며 두 개를 같은 것으로 봐도 무방하다. 직렬화는 객체가 대상이지만 마샬링은 변환 자체에 의미가 있기 때문에 서로 다른 언어간의 데이터 전송은 마샬링이라고 한다. 직렬화는 객체를 바이트 스트림으로 바꾸는 것, 객체에 저장된 데이터를 스트림에 쓰기 위해 연속적인 데이터로 변환시키는 것이다. 메모리.. 공감수 0 댓글수 0 2023. 1. 20.
Type confusion vulnerabilities 1.Type confusion type confusion 취약점은 프로그램에서 사용하는 변수나 객체를 선언 혹은 초기화되었을 때와 다른 타입으로 사용할 때 발생하는 취약점이다. 개체의 유형을 확인하지 않고 사용해 논리적 오류가 발생할 수 있다. 잘못 사용했을 시 원격 코드 실행이 가능하다 2. CWE CWE-843로 등록되어 있다. CWE에 기록된 항목 설명은 다음과 같다. 제품이 호환되지 않는 유형을 사용하여 리소스에 액세스하면 리소스에 예상 속성이 없기 때문에 논리적 오류가 발생할 수 있습니다. C 및 C++와 같이 메모리 안전성이 없는 언어에서는 유형 혼동으로 인해 범위를 벗어난 메모리 액세스가 발생할 수 있습니다. 이 약점은 C에서 다양한 포함된 개체 유형이 있는 데이터를 구문 분석할 때 공용체와.. 공감수 0 댓글수 0 2023. 1. 18.
네이버 기사 크롤링 파이썬 코드(네이버 뉴스 특정 카테고리) - 예시 그림 > 뉴스 카테고리 제목, date 추출 > 엑셀 파일로 저장 - 코드 전문 import requests from bs4 import BeautifulSoup import pyautogui import openpyxl import re wb = openpyxl.Workbook() ws = wb.active col_Num = 1 row_Num = 2 count = 0 ws.title = "8월" ws.append(['제목','date']) date = 20221116 headers = {'User-Agent':'Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/63.0.3239.132 Sa.. 공감수 0 댓글수 0 2022. 11. 23.
네이버 기사 크롤링 파이썬 코드(네이버 전체 창) - 예시 그림 > 입력 키워드, 추출할 양 설정 > 뉴스 카테고리 제목, URL, date 추출 > 엑셀 파일로 저장 - 코드 전문 import requests from bs4 import BeautifulSoup import pyautogui import openpyxl wb = openpyxl.Workbook() ws = wb.active col_Num = 1 row_Num = 2 count = 0 keyword = pyautogui.prompt("검색어를 입력하세요.") lastpage = pyautogui.prompt("마지막 페이지 번호를 입력하세요.") ws.title = "naver" ws.append(['제목','URL', '페이지']) pageNum = 1 for i in range(1,.. 공감수 0 댓글수 0 2022. 11. 18.
Buffer Overflow Attack(달고나 문서) 1. 메모리 구조 1.1 메모리 구조 시스템이 초기화 되기 시작하면 시스템은 커널을 메모리에 적재시키고 가용 메모리 영역을 확인한다. 운영에 필요한 기본 명령어 집합을 커널에서 찾기 때문에 반드시 위치해야하며 64Byte나 그 이상의 영역을 사용한다. 64 비트씩 처리하여 0~2^64-1의 범위의 메모리를 가진다. 멀티태스킹으로 여러 개의 프로세스가 병렬적으로 작업을 수행하고, 각 Segment에서 Code, Data, Stack 구조를 가지고 있다. 시스템에 최대 16,383개의 segment가 존재하고 긱 최대 2^32byte의 크기를 가진다. 1.2 Segment 구조 (1) Code segment -instruction 집합. 명령을 수행하며 많은 분기 과정과 점프, 시스템 호출 등을 수행하는데 .. 공감수 1 댓글수 0 2022. 8. 7.
[GIT]깃 사용법 https://soda-dev.tistory.com/12 [GitHub] 깃허브에 프로젝트 올리기 보통은 저장소를 생성한뒤 'Upload files'를 하면 업로드되지만 파일 갯수가 너무 많을 경우 안되므로 큰 프로젝트를 업로드할때는 이 방법으로 하자 1. Git을 설치한다. https://git-scm.com/downloads Git - D. soda-dev.tistory.com **업로드** git remote add origin 3번에서 저장한 깃허브 저장소 주소 git push -u origin master 공감수 0 댓글수 0 2022. 5. 12.
[ctf] OSINT 관련 링크 1. 활용하면 좋을 지도 앱 https://www.geoguessr.com/tutorial/93nUF7fSUQOrjYDf Tutorial - GeoGuessr GeoGuessr is a geography game which takes you on a journey around the world and challenges your ability to recognize your surroundings. www.geoguessr.com 2. 구글 이미지 검색 https://www.google.com/imghp?hl=EN Google Images www.google.com 첨부 검색 가능하다. 3. 이것은 인터넷 연결 장치 에 대한 검색 엔진과 같습니다 . 따라서 우리는 웹캠, 서버 등과 같은 장치에 액세스할 .. 공감수 0 댓글수 0 2022. 5. 4.
[ctf] 참고용 하드웨어 https://maik.dev/writeups/google-ctf/2021/beginners-quest/spycam/ Spycam // Beginners Quest 10 - Google CTF A writeup for challenge 10 of the beginners quests of the Google CTF. maik.dev Osint 초보자 가이드 https://geckosint.medium.com/10-beginner-osint-ctf-solutions-ae89e557a4b 10 Beginner OSINT CTF Solutions Write-up of beginner OSINT CTF solutions from the virtual conference held by National C.. 공감수 0 댓글수 0 2022. 5. 4.
Who is Hosting This? 링크 https://digital.com/best-web-hosting/who-is/#search=myungjjju.tistory.com Who is Hosting This? - Digital.com Is this domain available, or taken? Who is hosting this website? Find out using our domain tool, with full WHOIS records for registered domains. digital.com 공감수 0 댓글수 0 2022. 5. 4.
간단한 암호 해석기 https://quipqiup.com/ quipqiup - cryptoquip and cryptogram solver quipqiup.com SHA-1 https://sha1.gromweb.com/ SHA-1 conversion and SHA-1 reverse lookup Reverse a SHA-1 hash Convert a string to a SHA-1 hash sha1.gromweb.com 공감수 0 댓글수 0 2022. 5. 4.
[ctf] 자바스크립트 난독화 & 복호화 사이트 모음 https://m.blog.naver.com/PostView.naver?isHttpsRedirect=true&blogId=sfast&logNo=220592081099 [자바스크립트 난독화 사이트] 1. Base62 encode , Shrink variables 옵션을 줄 수 있다. 개인이 제공하는 사이트로 추정. http://dean.edwards.name/packer/ 2. hex코와 같은 더 정교한 구조로 변조를 도와주는 사이트이다. https://obfuscator.io/ 3. 특이한 난독화를 수행하는 사이트 https://utf-8.jp/public/aaencode.html 4. (참고 )소스코드를 $와 _를 이용하여 난독화를 수행하는 사이트 https://blog.korelogic.com/blo.. 공감수 0 댓글수 0 2022. 5. 4.
[ctf] write-up 모음(1) ctf write-up 대부분 한국출처 중 볼만한 것을 모아봤다. 쉽고 재밌을 것 같은 문제들을 추렸다. 웹) 무차별 대입 공격?page=1225 페이지에 flag가 있다.이렇게 flag가 나온다. 이렇게 코딩을 해준뒤 실행을 하면 몇 분뒤에 결과가 나온다. request의 소스를 확인해서 "HackCTF{" 라는 문자열이 있는 페이지를 찾는 프로그래밍을 해야한다. 이미지 시그니처를 다르게 해서 그 안에 flag 넣기 Steganography) Audacity로 mp3파일에 모스부호 넣어 디코딩해 flag 찾기 Osint 공개출처정보) 사진, 주어진 정보 내 탐색으로 flag찾기 TrollCAT CTF 2021 write up [CTF] 2021 Layer7 CTF͏͏ WriteUp [CTF] 2021 .. 공감수 0 댓글수 0 2022. 5. 1.
[면접 준비] Sk 쉴더스 모의해킹직무 화상 면접 질문 공유 1. 1분 자기소개 1-1 특이하게 관광과에서 왔는데 정확히 어떤 계기인지 1-2 김태원 화이커 해커를 보고 꿈을 키웠다고 했는데 그분이 정확히 어떤 일을 했는지 2. 페이지 개발 시 왜 오라클을 사용하지않았는지 3. 다룰줄 아는 언어가 있는지 4. XSS 가상 모의해킹 시 정확히 뭘 해봤는지 4-1. 크사에 정의에 보면 세션아이디 탈취 및 악성코드 배포할수있다고 나와있다. 악성코드 작성 및 배포가 가능한지 4-2. XSS시 어떻게 클릭 유도를 할건지(어떤 문구로) 4-3. 키로거 짜봤는지 4-4 그럼 자바스크립트 할줄 아는건가요? 5. 자신있는 취약점이 있는지 6. 홈페이지 주면 모든 파라미터값에 SQL i 적용이 가능한지 7. 모바일 앱해킹 할 줄 아는지 7-1. 프리다 써봤는지 8. 입사하고 한달주.. 공감수 1 댓글수 0 2022. 3. 24.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.