기술과 일상

교육목적으로 DVWA(Damn Vulnerable Web Application) 웹 사이트에서 취약점 점검 실습을 진행합니다. DVWA는 본인의 가상VM 환경에 희생사이트를 쉽게 구축하고 실습할 수 있는 연습용 사이트입니다. -------------------------------------------------------------------------------------------------- DVWA 사이트를 구축하는 방법은 아주 쉽습니다. 차례대로 따라하시면 됩니다. PC에 설치된 OS가 윈도우라면 AutoSet을 활용해서 쉽게 설치가 가능합니다. 저는 교육용도로 Virtual Box에 칼리리눅스를 깔고 그 위에 DVWA 사이트를 구축하겠습니다. (아주 쉽습니다.) 1. Virtual Box(또..

[Tech] War Game/DVWA 2021. 3. 4. 10:49

사계의시간 한줄평! - 양도 많고 간이 잘된 장어덮밥 전문식당입니다~ - 장점 : 넉넉한 양, 달콤한 장어 소스, 가게 내부 포스트잇 감성, 질 좋은 바다장어 위치 정보 www.google.com/maps/place/%EC%82%AC%EA%B3%84%EC%9D%98%EC%8B%9C%EA%B0%84/@33.2320247,126.3070764,16.71z/data=!4m5!3m4!1s0x350c43007eff2bd7:0xe41ee0eea4f4ff20!8m2!3d33.23227!4d126.3089904 사계의시간 ★★★★☆ · 바다장어 요리 전문식당 · 안덕면 사계남로 214 www.google.com ------------------------------------------------------------..

[DailyLife] 취미/맛집 2021. 2. 5. 12:57

개인적으로 교육 교안으로 활용하기 위해 작성하였습니다. ------------------------------------------------------------------------------------------------------------------------ 1.13 마지막 사용자 이름 표시 안 함 [점검 방법] [분석 평가] 마지막 사용자 이름 표시 안 함 설정이 0으로 되어 있어 사용 안함으로 취약합니다. 마지막 사용자 이름이 표시될 경우 Windows 로그인 화면에 마지막 로그온 한 사용자 이름이 표시됩니다. 공격자가 이를 획득하여 해당이름으로 암호를 추측할 수 있어 위험합니다. [조치 방법] "제어판 > 관리도구 > 로컬 보안 정책 > 로컬 정책 > 보안 옵션 > 대화형 로그온: 마지..

[Tech] 정보보안/취약점 분석평가 2021. 1. 19. 17:55

개인적으로 교육 교안으로 활용하기 위해 작성하였습니다. ------------------------------------------------------------------------------------------------------------------------ 1.9 패스워드 복잡성 설정 [점검 방법] secedit /EXPORT /CFG xxx.txt 명령을 활용하면 xxx.txt 파일에 로컬 보안 정책들의 설정값이 저장됩니다. 아래 보시면 명령 사용 후에 dir로 확인했을 때, 텍스트 파일이 생성된 것을 볼 수 있습니다. 해당 텍스트 파일을 열어보면 설정 값들이 출력되고 그 중에 PasswordComplexity 라는 속성이 패스워드 복잡성에 대한 설정 값입니다. [분석 평가] 패스워드 복..

[Tech] 정보보안/취약점 분석평가 2021. 1. 19. 17:39

개인적으로 교육 교안으로 활용하기 위해 작성하였습니다. ------------------------------------------------------------------------------------------------------------------------ 1.5 해독 가능한 암호화를 사용하여 암호 저장 해제 [점검 방법] secedit /EXPORT /CFG xxx.txt 명령을 활용하면 xxx.txt 파일에 로컬 보안 정책들의 설정값이 저장됩니다. 아래 보시면 명령 사용 후에 dir로 확인했을 때, 텍스트 파일이 생성된 것을 볼 수 있습니다. 해당 텍스트 파일을 열어보면 설정 값들이 출력되고 그 중에 ClearTextPassword 라는 속성이 해독 가능한 암호화 사용하여 암호 저장 해..

[Tech] 정보보안/취약점 분석평가 2021. 1. 19. 16:53

개인적으로 교육 교안으로 활용하기 위해 작성하였습니다. 윈도우즈 서버에서 계정 관리는 보안사고를 예방할 수 있도록 설정을 안전하게 했는지 점검하고 개선하는 데 목적이 있습니다. 아래 뉴스 기사에서 보듯이 비인가자가 관리자 권한으로 로그인을 했을 때 PC에 악성코드를 심거나 랜섬웨어를 통해 공격할 수 있기 떄문에 윈도우즈 서버에서는 특히 기본에 충실하도록 설정값을 보안해야 합니다. ------------------------------------------------------------------------------------------------------------------------ 1.1 Administrator 계정 이름 바꾸기 [점검 방법] 아래의 net localgroup Administ..

[Tech] 정보보안/취약점 분석평가 2021. 1. 12. 14:05

(허가 되지 않은 공격 시도는 법적 문제 소지가 있으니 주의!) 이 글에서는 adb install을 통해 앱을 설치하는 방법, dex2jar와 jd-gui 도구로 디컴파일하여 소스분석하는 방법, apktool 도구로 디컴파일하고 smali 코드를 수정하여 재배포 하는 방법을 다룹니다. 1. 테스트 앱 다운로드 구글에서 uncrackable-level 1.apk 검색합니다. 안드로이드 앱의 확장자는 apk이며 OWASP에서 배포한 테스트 apk를 사용해보겠습니다. 2. 테스트 앱 설치 및 실행 녹스 애뮬레이터를 실행한 상태에서 nox_adb install 명령어를 사용하여 설치합니다. # nox_adb install [apk 설치경로 포함 파일명] CMD에서 성공이라고 뜨고 녹스 플레이어에서 앱을 보면 설..

[Tech] 정보보안/보안진단, 모의해킹 2021. 1. 6. 11:20

(허가 되지 않은 점검도구 활용 스캔은 법적 문제 소지가 있으니 주의!) 안드로이드 모의해킹 연습을 위한 환경을 세팅하겠습니다. 이 글에서는 녹스 다운로드/설치, 스마트폰 해상도 설정, 루팅 환경 실행, adb shell 설정 까지 다루겠습니다. 1. 녹스 다운로드한 후, 설치 kr.bignox.com/ 녹스 앱플레이어 지금까지 써본 앱플레이어중엔 녹스가 제일 좋은것 같아서 몇년 전부터 계속 애용중입니다. 앞으로도 유저 의견 많이 받아들이고 번창하시길 바랍니다 :) kr.bignox.com 2. 녹스 스마트폰 해상도로 설정 스마트폰 진단이기 때문에 환경을 동일하게 맞춰줍니다. 방법 : 설정 > 성능 설정 > 해상도 설정 > 태블릿에서 스마트폰으로 변경 > 재부팅 3. 녹스 루팅 환경으로 실행 모바일 진단..

[Tech] 정보보안/보안진단, 모의해킹 2021. 1. 6. 10:14