JG Story

SQL Injection * 기존 SQL에 악의적인 SQL 구문을 삽입하여 데이터 탈취, 삭제 * SQL Injection 공격방식 Error based SQL Injection 일부러 SQL 에러를 발생시켜서 원하는 정보를 취득하는 공격 기법이다. 에러가 발생하면 DB에 대한 정보를 단편적으로 얻을 수 있게 되므로 에러 메시지가 노출되지 않도록 조심해야한다. Blind SQL Injection 쿼리 결과의 참/거짓 정보를 보고 원하는 정보가 존재하는지 추론할 수 있다. 이를 통해 데이터베이스, 테이블, 컬럼 명을 파악할 수 있다. Union SQL Injection Union 명령을 이용해서 정보를 취득할 수 있다. [대응방법] 문제가 될 수 있는 문자열을 필터링하는건데 SQL Injection도 \n..

OWASP TOP 10이란 Open Web Application Security Project에 따라 악용가능성, 탐지가능성 및 영향에 대해 빈도수가 높고 보안상 영향을 크게 줄 수 있는 10가지 웹 애플리케이션 보안 취약점 목록입니다. OWASP Top 10 목록은 3~4년에 한번씩 정기적으로 업데이트 됩니다. OWASP 2021 목록 A01 : Broken Access Control (접근 권한 취약점) 엑세스 제어는 사용자가 권한을 벗어나 행동할 수 없도록 정책을 시행합니다. 만약 엑세스 제어가 취약하면 사용자는 주어진 권한을 벗어나 모든 데이터를 무단으로 열람, 수정 혹은 삭제 등의 행위로 이어질 수 있습니다. A02 : Cryptographic Failures (암호화 오류) Sensitive ..