HACKDUN

LFI : Local File Inclusion → 공격 대상 서버에 위치한 파일을 포함시켜 읽어오는 공격 RFI : Remote File Inclusion → 공격자가 악성 스크립트를 서버에 전달하여 해당 페이지를 통하여 악성 코드가 실행되도록 하는 것 LFI와 RFI의 차이점 ? → LFI는 파일을 포함시킬 때, 해당 파일이 공격대상 서버에 위치하지만 RFI는 공격대상 서버 밖에 위치함

파일 다운로드 취약점이란? → 허용된 파일 외의 허용되지 않은 파일이 다운로드 됨 파일 다운로드 취약점 발생 원인? → 웹 애플리케이션에서 파일명을 필터링하지 못했을 경우 발생함 파일 다운로드 취약점 공격 예시 평문화 - http://server/download.php?file=../../../../../../../etc/passwd URL인코딩 - http://server/download.php?file=..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2Fetc%2Fpasswd BASE64인코딩 - http://server/download.php?file=Li4vLi4vLi4vLi4vLi4vLi4vZXRjL3Bhc3N3ZA== ※윈도우는 대소문자를 구분하지 않지만, 리눅스는 대소문자..