목록command injection (1)

비트(bit)주세요

Command Injection

Command Injection 은 웹 애플리케이션에서 시스템 명령을 사용할 때, 세미콜론 혹은 &, && 를 사용하여 하나의 Command를 Injection 하여 두 개의 명령어가 실행되게 하는 공격 입니다. 어떤 웹 어플리케이션 공격이 내부에서 실행된다고 했을 때 사용자가 입력한 값이 적절한 검증 절차가 존재하지 않으면 입력했던 시스템 명령어가 그대로 전달되어 공격자는 이 값을 조작해 시스템 명령어 삽입 시도 공격을 할 수 있게 됩니다. DVWA Low 단계에서 실습을 진행해 보겠습니다. 먼저 소스코드부터 보겠습니다. 특수문자 같은 것도 필터링을 하지 않고, 받은 값 그대로 출력하는 코드입니다. 여기서 shell_exec()함수는 시스템 명령을 내리는 역할을 합니다. 받은 값 앞에 ping -c 4..
정보보안/웹보안 2021. 5. 6. 22:20
이전 Prev 1 Next 다음