'2017/07/16 글 목록

[Webhacking] Challenge 1

[Webhacking] Challenge 1 Webhacking.krWebhacking 사이트 : http://webhacking.kr/ [힌트]1. index.phps 로 이동 -> 소스 보기2. Cookie 값 변조 - Edit this cookie 툴 사용 처음 페이지로 들어가면 Level1 index.phps 로 들어가라는 표시가 되어있습니다. 그 부분을 누르거나 뒤에 index.phps를 url 에 치게 되면 소스코드가 보입니다.소스코드를 분석해보면 php로 user_lv이라는 Cookie 변수를 생성하고 있습니다. 1이라는 값으로 생성되고 있습니다. 그 쿠키의 값이 5보다 클때 문제는 풀리고, 6보다 크면 user_lv의 쿠키값은 1로 설정되게 코드를 짜 놓았습니다. index.php페이지에서..

SOLUTION/Webhacking 2017. 7. 16. 23:00

[Net-force] Having fun?!? :-)

[Net-force] JavaScript : Having fun?!? :-) Net-force Web WargamesNet-force 사이트 : https://net-force.nl [힌트]1. unescape2. sha1 디코딩 페이지 소스보기를 하면 제대로 script 가 보이지 않는다. F12를 눌러서 Source를 보면 페이지 소스보기에서 있던 script말고 밑에 하나 더있는데 그 부분을 이용해서 풀어야 한다. 밑에 unescape 부분만 풀어주게 되면 함수가 나오는데, SHA1으로 해시되어있다. SHA1으로 디코딩 해보면 login = bas, pass=dude가 나온다. 이 부분을 input password부분에 넣어주면 틀렸다고 나온다. 그 이유는 입력된 password 부분이 대문자로 인..

SOLUTION/Net-Force 2017. 7. 16. 22:59

[PHP] Preg_match

Preg_match( ) preg_match( )는 문자열에 패턴을 검색하고, 패턴이 존재하면 TRUE값 반환해주고, 그렇지 않으면 FALSE값 반환해 줍니다. preg_match( ) 사용법 123456789cs 정규표현식 모음 한글"/[\xA1-\xFE\xA1-\xFE]/"; '{\x{1100}-\x{11FF}\x{3130}-\x{318F}\x{AC00}-\x{D7AF}' 영문'/[a-zA-Z]/'; 숫자'/[0-9]/'; 특수기호'/[!#$%^&*()?+=\/]/'; 한글과 영어를 제외한 것들 '/[^\x{1100}-\x{11FF}\x{3130}-\x{318F}\x{AC00}-\x{D7AF}a-zA-Z\s]+/u' 한글단어들 중 영문이 1음절 포함 된 것들 $hanPattern = '{\x{1100..

SECURITY/PHP 2017. 7. 16. 22:59

[Webhacking] 회원가입하기

[Webhacking] 회원가입하기 Webhacking.krWebhacking 사이트 : http://webhacking.kr/ 처음 Webhacking 사이트에 들어가보면 Login 페이지만 뜨고, 회원가입하는 창이 뜨지 않습니다. 일부로 막아놓은 것인데, F12(웹 개발자모드)에서 소스보기를 통해서 주석으로 처리된 회원가입 창을 변경해서 들어갈 수 있습니다.(참고로 저는 크롬으로 들어갔습니다.) Element부분에 잘 찾아보면 Register 라는 부분이 있는데 이 부분이 주석으로 되어있습니다. 오른쪽 마우스클릭하면 Edit as HTML부분을 클릭하면 소스를 변경시킬수 있습니다. 주석부분인 앞쪽 부분을 지워주면 Register라는 부분이 뜨는 것을 볼 수 있습니다. 이 부분을 클릭해 들어가면 회원가..

SOLUTION/Webhacking 2017. 7. 16. 22:58

[Net-force] HTML Guardian

[Net-force] JavaScript : HTML Guardian Net-force Web WargamesNet-force 사이트 : https://net-force.nl [힌트]1. 페이지 소스 보기 (F12로 꼭!!!) 우클릭을 막아놓았기 때문에 view-source:로 보게되면 엄청나게 긴 소스코드가 보인다. 하지만 F12로도 페이지 소스코드를 볼 수 있는데, F12에서는 password가 주석처리되어 보인다. 그 점을 통해서 Challenge 페이지에 전달하면 문제는 풀린다.

SOLUTION/Net-Force 2017. 7. 16. 14:12

[Net-force] Micro$oft crap...

[Net-force] JavaScript : Micro$oft crap... Net-force Web WargamesNet-force 사이트 : https://net-force.nl [힌트]1. unescape2. JScript.Encode JScript http://www.jb51.net/tools/onlinetools/jiemi/jsendecode.htm 페이지 소스를 보면 Words라는 변수로 Unescape로 풀어주라고 써있다. 풀어주면 밑에와 같은 script 형태가 나온다. 그 안에 JScript.Encode처리되어있다. 이 부분은 JScript.Decode되는 페이지로 들어가서 Decode해 보면 substring으로 처리되어있다. 이 부분을 코드를 돌려주면 값이 두개가 나오는데, 주소형태로..