정보보안 스터디 - 29주차 7일 - win기반 파일 다운로드, xml 로그인

☞ 윈도우 파일 traversal 할 떄

../로 해도되고 상관없지만

정석은

..\..\..\Windows\system32\drivers\etc\hosts 긴 합니다.

또는 절대 경로라면

?filepath=C:\Windows\system32\drivers\etc\&filename=hosts

 

! 탐색기에서의 명령어와는 다릅니다.

어짜피 C: 안이라서 ..\..\Windows 로만 가능합니다.

 

 

윈도우인 이유는 그냥 DB(oracle이지만), TM, TC서버가 windows기반이기 때문에

파일이 다운받아지고 파일서버 없이 한 듯합니다.

 

Win기반 파일다운로드

boot.ini

winnt/win.ini

는 옛날거고

hosts

windows\win.ini

windows\system.ini

로 PoC를 씁니다.

 

jsp일 경우

WEB-INF/properties(또는 conf)/global.properties

꼭 확인 합니다.

 

jsp환경이라면

service?name=../web.xml

를 확인해봅니다. (절대경로: /WEB-INF/web.xml)

여기에서 계속 파고든다면 많은 것을 얻을 수 있습니다. > DB, 관리자 기능 페이지 등이 노출되었습니다.

절대 경로는 

/WEB-INF/classes/config/context-application.xml

> /WEB-INF/classes/config/settings.properties

이렇게 되어 있으니 WEB-INF 상위 디렉까지는 이동가능한 것입니다.

 

이건  개발, CTF 많이 풀어보면서 생기는 짬일 듯합니다.

 

 

파일다운로드 시 ftp 프로그램을 쓰는데 이걸로도 파일경로가 노출이 되고 잘만하면 경로 변경해서 파일 다운로드까지 갈 수 있을 듯합니다.(옆 글의 파일다운로드까지는 성공)

취약점은 아니지만 X: P: 드라이브에는 wav 등 영상파일이 있고 그것또한 다운받아졌습니다.

 

 

☞ xml로그인

신기한 게 응답을 변조했는데

<?xml ~~~>

<>

패스워드가 일치하지 않습니다.

</>

부분을 아래로 바꾸니

 

<users><user_id>12345</user_id></users>

패스워드가 틀려도 해당 아이디로 로그인이 되었습니다.

 

 

☞ 클라이언트 측 인증인가

너무 주석이나 특히 자바스크립에 파일다운로드, 업로드, 여러 어드민 기능들 URL을 많이 노출시켜놓았습니다.

또한 들어갔을 때 서버측 유저확인 하지 않고 기능사용이 가능한 게 대부분 입니다.

 

 

 

 

 

 

 

 

 

======

 

☞ 보안 트렌드 및 이슈

 

decoy dog toolkit - RAT이며 
70억개의 DNS queries

해킹 도구. pupy RAT 
> DNS exfiltration 응용했습니다.
아무거나 쓰면 악의적인 도메인으로 걸리기 때문에

1)DNS 노후화 전략. = 한번도 5년동안 나쁜짓안쓰다가 씀.
2)정상적인 DNS 요청 드리블 > 평판조회시스템은 정상으로 판단.

 

이렇게 묵혀두고 사용합니다.

 

 

락빗
그전에는 windows/linux 밖에 RaaS 못했지만 > 이번에 맥북 전용 만다고 했습니다만 실패로돌아갔죠.
SIP TCC 등 = 애플이 허락한 코드가 아니면 뚫지 못합니다. > 하지만 악성코드가 개발될 여지가 있으며.

> 현재 다른유형의 스틸러 등 유포되고 있습니다.

요즘 트랜드는 인포스틸러입니다. 
golang, rust 기반은 아직 백신이 많이 못잡습니다.

keychain은 애플계정, 와이파이 등 애플 맥북 비밀번호를 저장하는데. 
피싱처럼 운영체제 비밀번호를 입력합니다. 이걸가지고 여러가지 정보를 추출합니다.
크롬, 브라우저 등 쿠키 가져옵니다. 
= 요즘은 애플도 안전하다고할수는 없다.

FUD 백신에 탐지안되는 fully undetectable 라고 합니다.

zaraza bot= 브라우저 긁어갑니다. 저장된 계정
압축해서 txt > 그림파일로 만든 뒤 텔레그램 채널로 날라감

웨일 안유명해서 오히려 보안 솔루션이 안잡거나 브라우저 인포스틸러 리스트에 빠져서 좋을 때가 있습니다.

ASTX 솔루션= 주소창 계속 보고있음. 그러다가 은행나오면 예의 주시함. 

유튜브 해킹 쉬운 이유
1) 관리자 여러명임. 그만큼 공격 위험 커짐.
2) 광고, 협찬 메일 많이옴. - 안볼수가 없음.
pdf, 워드, 실행파일
3) 게임, vpn 리뷰 부탁. - 실행파일.

전략
1) 해커들도 귀찮아서 최소한의 노력으로 작은사이트 노려서 미용실 등 > 유튜버네, 유명인이네. 크리덴셜 스터핑시도합니다.
2) 피싱 공격 > 로그인 페이지 유도. 링크떴을 떄 무의식적으로 그냥 쓰게되어있습니다.
---여기까진 2차인증이면 대응됩니다.
뚫는 방법
3) 이메일 계정 해킹. 
네이버 계정 해킹 2차안되어있으면 -> 인스타 로그인. 네이버 메일로 복구합니다.
4) 악성코드 > 아이디/비번도 하긴하는데 브라우저 쿠키만 싹 가져갑니다. 2차인증할필요없습니다.  압축 > txt > 그림파일 > TG

다른게 안먹혀서 이거만 가져가자. 크기도 작고 더 편하다. 라는 마인드입니다.
5) 제로데이 취약점- 사이트 자체가 문제인 경우

4)를 기준으로 대응방안은
word 파일 - 컨텐츠실행, 편집사용 X - 카톡알림처럼 그냥 습관적으로 눌르고 무슨 역할인지도 잘모릅니다.
압축파일인데 비번걸린 경우 의심합니다.
virustotal : 2MB 정도 이상은 제한 >> 파일 크면 더 의심합니다.

 

해커는 계정을 휴대전화번호, 복구메일, 인증 수단 등 다 자기걸로 바꿔놓기 때문에 피해자가 본인임을 증명못하는 경우가 있습니다.(대부분의 사이트 + 인스타그램 사례)