Archive for Dev. (junyup2)

์ง€์‹์„ ์ฑ„์›Œ๊ฐ€๋Š” ใ€Ž๊ฐœ๋ฐœ์ž/ํ™”์ดํŠธํ•ด์ปคใ€๋ฅผ ๋ชฉํ‘œ๋กœ ์ •๋ฆฌํ•˜๋Š” ๋ธ”๋กœ๊ทธ

RFI 1

[๊ธฐ๋ก์ผ์ง€] ๐Ÿ“š 15์ฃผ์ฐจ (File Upload ๋Œ€์‘·์šฐํšŒ / FLI(File Include) / File Download ์ทจ์•ฝ์ )

File Upload ๋Œ€์‘·์šฐํšŒ File Upload Vuln ํŒŒ์ผ ์—…๋กœ๋“œ ์ทจ์•ฝ์ ์€ ๊ณต๊ฒฉ์ž๊ฐ€ ์›ํ•˜๋Š” ์ž„์˜์˜ ํŒŒ์ผ์„ ์—…๋กœ๋“œํ•  ์ˆ˜ ์žˆ๋Š” ์ทจ์•ฝ์ ์ด๋‹ค. ์—…๋กœ๋“œ ๊ฐ€๋Šฅํ•˜๋‹ค๊ณ  ๋์ด ์•„๋‹ˆ๊ณ  ํ•ด๋‹น ํŒŒ์ผ์„ ์‹คํ–‰์‹œํ‚ฌ ์ˆ˜ ์žˆ์–ด์•ผํ•œ๋‹ค. ๊ทธ๋ž˜์„œ ์—…๋กœ๋“œํ•œ ํŒŒ์ผ์˜ ์ •ํ™•ํ•œ ๊ฒฝ๋กœ๋ฅผ ํŒŒ์•…ํ•˜๋Š” ๊ฒƒ์ด ์ค‘์š”ํ•˜๋‹ค. ~~/~~/webshell.php?cmd= ์›น ์ƒ์— ํŒŒ์ผ์ด ์œ„์น˜ํ•œ ๊ฒฝ๋กœ๋ฅผ ์•Œ์•„์•ผ ์œ„์™€ ๊ฐ™์ด ๋ช…๋ น์–ด ํŒŒ๋ผ๋ฏธํ„ฐ๋ฅผ ๋„ฃ์–ด์„œ ์š”์ฒญํ•ด ์ค„ ์ˆ˜ ์žˆ๋‹ค๋Š” ๊ฒƒ์ด๋‹ค. ์ •ํ™•ํ•œ ๊ฒฝ๋กœ๋ฅผ ์•Œ์ง€ ๋ชปํ•˜์—ฌ ํŒŒ์ผ์„ ์—…๋กœ๋“œ ํ–ˆ๋”๋ผ๋„ ์š”์ฒญ์ด ๋ถˆ๊ฐ€๋Šฅํ•˜๋‹ค๋ฉด ๋ฌด์šฉ์ง€๋ฌผ์ด๊ธฐ ๋•Œ๋ฌธ์ด๋‹ค. ๊ทธ๋ž˜์„œ ์ด๋ฅผ ์ˆจ๊ธฐ๊ณ , ๊ฒฝ๋กœ๋ฅผ ์•Œ์ง€ ๋ชปํ•˜๋„๋ก ํŒŒ์ผ์˜ ๊ฒฝ๋กœ๋ฅผ ์•Œ๊ธฐ ํž˜๋“ค๊ฒŒ ํ•ด๋†“๋Š” ๊ฒƒ์€ ๋ฌผ๋ก  ํ™•์žฅ์ž๋Š” ๊ทธ๋Œ€๋กœ์ง€๋งŒ, ํŒŒ์ผ๋ช…์„ ๋ฐ”๊พธ์–ด์„œ ์ €์žฅ๋˜๋Š” ๊ฒฝ์šฐ๊ฐ€ ์ผ๋ฐ˜์  (๊ทธ๋Œ€๋กœ ์ €์žฅ๋˜๋Š” ๊ฒฝ์šฐ๊ฐ€ ๋งŽ์ง€ ์•Š๋‹ค.) ์ด๊ธฐ ๋•Œ..