HAHWUL

Hacking & Programming, Linux

About
Blog
Online Tools
Cheatsheet
Project
Contact

About
Blog
Online Tools
Cheatsheet
Project
Contact

Security engineer, Coder, and... H4cker :)

Compiler Bomb라고 들어보셨나요? 어제(이미 새벽이니..) 취약점 분석 하다가 알게된 부분인데, 간략하게 나마 정리해둘까 합니다. 말 그대로 컴파일러 폭탄, 즉 빌드 단계에서 문제를 일으키는 코드를 말합니다. 대표적인 C코드로는 이...

Compiler Bomb for Hacking and Security Testing

2019-02-22T01:43:00+09:00

https://3.bp.blogspot.com/-a63sRNYYej0/XG7U9-WRm-I/AAAAAAAADxs/gfWzwjKTwo02CMWMWrJU2A9KWdOzlmSMQCLcBGAs/s640/bomb.jpg

하훌

//lh6.googleusercontent.com/-2BmU-uwgPgk/AAAAAAAAAAI/AAAAAAAABFI/8UYOxJjA1JU/s512-c/photo.jpg

https://www.hahwul.com/2019/02/compiler-bomb-for-hacking-and-security.html

0

Common SSRF 서버가 직접 접근해서 데이터를 가져오는 ssrf.php 라는 페이지가 있다고 칩시다. ssrf.php?u=https://www.hahwul.com 사용자 입력 구간에 있는 데이터를 기반으로 도메인을 비추는 경우(ifr...

Bypass SSRF Protection using DOMAIN CNAME and A Record

2019-02-20T03:21:00+09:00

https://1.bp.blogspot.com/-_4ChOWmT9-4/XGxInOt_FII/AAAAAAAADw8/eAOyDOD_k_cCmjTKlQte6FP82HbiSJGDgCLcBGAs/s640/1416%2B%25281%2529.png

하훌

//lh6.googleusercontent.com/-2BmU-uwgPgk/AAAAAAAAAAI/AAAAAAAABFI/8UYOxJjA1JU/s512-c/photo.jpg

https://www.hahwul.com/2019/02/bypass-ssrf-protection-using-domain-cname-arecord.html

0

최근에 일부 테스트환경(hosts 추가한거라 인증서문제가…)에서 이런 에러를 만났습니다. handshake alert: unrecognized_name 정확히는… javax.net.ssl.SSLProtocolException: handsha...

Resolving "handshake alert: unrecognized_name" Error in ZAP and Burp suite

2019-02-20T03:00:00+09:00

https://4.bp.blogspot.com/-9A2ZDeDlNtg/XGxDmPyxT0I/AAAAAAAADww/46GBP14sQWsKAgK8qeLMQuvObL5KVBDSwCLcBGAs/s640/giphy%2B%25282%2529.gif

하훌

//lh6.googleusercontent.com/-2BmU-uwgPgk/AAAAAAAAAAI/AAAAAAAABFI/8UYOxJjA1JU/s512-c/photo.jpg

https://www.hahwul.com/2019/02/resolving-handshake-alert.html

1

앱 테스트하다보면 Custom Scheme에서 발생한 API 요청 중 일부가 GET만 사용하는데, 이런 구간에서 주소 변조나 API 로직을 바꿀 수 있는 부분이 있을 때 좀 난감하긴합니다. 실제로 중요한 요청들은 POST로 구현되는데(RESTful...

Custom Scheme API Path Tampering과 트릭을 이용한 API Method 변조

2019-02-17T23:18:00+09:00

https://4.bp.blogspot.com/-AwG-OZyJjoY/XGlsyR3rhrI/AAAAAAAADwQ/tb_RlT4_c0AAzqv3eqlvB3t-JD0Cw52YwCLcBGAs/s640/bab.jpg

하훌

//lh6.googleusercontent.com/-2BmU-uwgPgk/AAAAAAAAAAI/AAAAAAAABFI/8UYOxJjA1JU/s512-c/photo.jpg

https://www.hahwul.com/2019/02/custom-scheme-api-path-tampering.html

0

최근에 따로 봤었던 내용인데, 톡방으로 관련 내용 공유( https://pentest.com.tr/exploits/Jenkins-Remote-Command-Execution-via-Node-JS-Metasploit.html )받아 이참에 블로그 포스팅...

Jenkins RCE Vulnerability via NodeJS(using metasploit module)

2019-02-14T01:18:00+09:00

https://1.bp.blogspot.com/-c1jFVrEDlG0/XGRDPSII-BI/AAAAAAAADv4/hFyn_aKG-DoGf__LWtVrI1CJpwZAg1eiQCLcBGAs/s640/jenkins.png

하훌

//lh6.googleusercontent.com/-2BmU-uwgPgk/AAAAAAAAAAI/AAAAAAAABFI/8UYOxJjA1JU/s512-c/photo.jpg

https://www.hahwul.com/2019/02/jenkins-rce-vulnerability-via-nodejs.html

5

XSS 테스트 도중에 이런 케이스가 있었는데, 실행이 안됬었습니다.. https://gph.is/1yw44rd [ Request ] ?param=alert(45)/*PLAINTEXT*/ [ Response ] <script ...

MIME Types of script tag (for XSS)

2019-02-14T00:17:00+09:00

https://4.bp.blogspot.com/-LNk8JkI5dLI/XGQ2Y2hYyJI/AAAAAAAADvs/zUfpXxOAVo0nQmNr2yfyzCq9viBwxGbBQCLcBGAs/s640/giphy%2B%25281%2529.gif

하훌

//lh6.googleusercontent.com/-2BmU-uwgPgk/AAAAAAAAAAI/AAAAAAAABFI/8UYOxJjA1JU/s512-c/photo.jpg

https://www.hahwul.com/2019/02/mime-types-of-script-tag-for-xss.html

2

트위터 공유하면서 의아했던게 하나 있느데, 트위터에선 og태그가 먹지 않습니다.. 별 신경 안쓰고 있다가 혹시나 하고 좀 찾아보니 별도의 포맷을 가지고 있더군요. 간략하게 정리해봅시다. 결과는 이런거에요 :) Twitter Card 트...

Twitter Card on Google Blogger(블로거에 트위터 카드 적용하기)

2019-02-13T01:37:00+09:00

https://2.bp.blogspot.com/-H5wuz1xiqoU/XGL28Weix1I/AAAAAAAADvU/O8gtg8Ui_uk-C6ssTce1VUi44x0xEaqZwCLcBGAs/s640/Selection_090.png

하훌

//lh6.googleusercontent.com/-2BmU-uwgPgk/AAAAAAAAAAI/AAAAAAAABFI/8UYOxJjA1JU/s512-c/photo.jpg

https://www.hahwul.com/2019/02/twitter-card-on-google-blogger.html

0

별건 아니지만, 이런 명령어는 자주 안쓰면 까먹기 떄문에 메모차 작성해둡니다. 요약 $ grep "찾을 문자열" * -rl | xargs sed -i 's/찾을 문자열/바꿀 문자열/g' History.. Ma...

grep과 sed를 이용한 다수 파일 내 문자열 치환

2019-02-11T01:18:00+09:00

https://1.bp.blogspot.com/-6RvVMjezQUU/W2cVvksJ7nI/AAAAAAAADX4/brz9ZTkZqfs26bOeqtmWH432apsaWogegCLcBGAs/s1600/hwul_1.png

하훌

//lh6.googleusercontent.com/-2BmU-uwgPgk/AAAAAAAAAAI/AAAAAAAABFI/8UYOxJjA1JU/s512-c/photo.jpg

https://www.hahwul.com/2019/02/multi-file-replace-string-with-grep-sed.html

0

피드 구독하기: 글 (Atom)

Views

Labels

Hacking (279) Web Hacking (124) Coding (104) Linux (80) Metasploit (65) Debian (64) Ruby (46) System Hacking (46) Tip (36) Vuln&Exploit (35) Mobile (31) Javascript (22) HTML (21) XSS (14) Burp (11) Python (9) ZAProxy (9) iOS (9) Android (7) Rails (7) Java (6) Blogger (5) Bug (5) Design (5) Git (5) Media (4) Ubuntu (4) Docker (3) Jruby (3) MacOS (3) ZAP (3) Ararhcni (2) Certificate (2) Consul (2) Deserialization (2) Go (2) Kali (2) Markdown (2) OWASP ZAP (2) PostgreSQL (2) SAML (2) SSO (2) vulnerability (2) A Record (1) APT (1) AWS (1) AWS Region (1) Authentication (1) Bug Bounty (1) Bypas CSP (1) Bypass Pinning (1) CNAME (1) CSP (1) CSRF (1) Cloud (1) ClusterFuzz (1) Code Auditing (1) Compiler (1) Compiler Bomb (1) Computer (1) Cookie (1) Crystal (1) Custom scheme API Path Tampering (1) Daracula (1) Defcon (1) ESI (1) Editor (1) Electra (1) EternalBlue (1) Evasion technique (1) Frida (1) Frida-gadget (1) Fuzzing (1) Gem (1) Google (1) Hackbar (1) Hangul (1) HarooPad (1) IDB (1) IDN Homograph Attack (1) IdeaVim (1) Information Leakage (1) Injection (1) Insomnia (1) IntelliJ (1) JSFuck (1) JSON (1) Jailbreak (1) Jenkins (1) Kakao (1) KakaoLink (1) KakaoTalk (1) LOKIDN (1) MIME (1) Map (1) Memory (1) Meterpreter (1) MinimumOSVersion (1) Needle (1) NetHunter (1) NodeJS (1) PHP (1) Pocsuite (1) Polyglot (1) REST API (1) Reissue Request Scripter (1) RubyMine (1) SNI (1) SQLI (1) SQLMap (1) SSL (1) SSRF (1) SWF (1) Scala (1) Service Mesh (1) Shutter (1) SpEL (1) Spectable (1) Spring (1) Subdomain-Takeover (1) Termux (1) Twitter (1) Twitter Card (1) Ubuntu 18.04 (1) WAF (1) Web Assembly (1) Web Cache Poisoning (1) Wmap (1) Wordpress (1) ZAP HUD (1) apt-get (1) asciinema (1) cve-2018-20483 (1) editor.js (1) grep (1) ipainstaller (1) javscript (1) phantomJS (1) sed (1) tracer (1) wget (1) xcode (1) ysoserial (1)

-

HTML&Ascii Table
XSS Cheatsheet

Blog Archive

▼ 2019 (27)
- ▼ 2월 (15)
- ► 1월 (12)

► 2018 (133)
- ► 12월 (12)
- ► 11월 (9)
- ► 10월 (7)
- ► 9월 (7)
- ► 8월 (17)
- ► 7월 (15)
- ► 6월 (13)
- ► 5월 (9)
- ► 4월 (10)
- ► 3월 (21)
- ► 2월 (11)
- ► 1월 (2)

► 2017 (104)
- ► 12월 (6)
- ► 11월 (4)
- ► 10월 (15)
- ► 9월 (7)
- ► 8월 (30)
- ► 7월 (7)
- ► 6월 (10)
- ► 5월 (8)
- ► 4월 (1)
- ► 3월 (3)
- ► 2월 (5)
- ► 1월 (8)

► 2016 (89)
- ► 12월 (3)
- ► 11월 (6)
- ► 9월 (1)
- ► 8월 (7)
- ► 7월 (14)
- ► 6월 (9)
- ► 5월 (8)
- ► 4월 (13)
- ► 3월 (5)
- ► 2월 (11)
- ► 1월 (12)

► 2015 (124)
- ► 12월 (13)
- ► 11월 (22)
- ► 10월 (12)
- ► 9월 (11)
- ► 8월 (23)
- ► 7월 (6)
- ► 6월 (13)
- ► 5월 (3)
- ► 4월 (1)
- ► 3월 (6)
- ► 2월 (6)
- ► 1월 (8)

► 2014 (7)
- ► 8월 (5)
- ► 7월 (2)

Popular Posts

우분투 18.04 에서 카카오톡 설치하기(Install kakaotalk on ubuntu 18.04)

오랜만에 다시 우분투로 돌아왔습니다. (debian, ubuntu, arch, blackarch, kali, blackubuntu 무한루프..) 가장 지원성이 높은 OS기 때문에 간만에 카톡 설치를 진행해볼까 합니다. Wine 설정하기 ...
[DEBIAN] apt-get 사용 시 (잠금 파일을 얻을 수 업습니다)Could not get lock /var/lib/dpkg/lock - open (11 Resource temporarily unavailable) TroubleShooting

메모 차원에서 간단하게 적어둡니다. apt-get 사용 시 아래와 같은 에러로 인해 진행이 되질 않는 경우가 있습니다. E: /var/lib/dpkg/lock 잠금 파일을 얻을 수 없습니다 - open (11: Resource temporari...
[CODING] GIT에서 강제로 Push 하기 / push 에러 해결하기 ( error: failed to push some refs to )

git을 활용하여 개발 중 push 시 에러가 발생하는 문제가 발생하였습니다. 해당 부분은 데이터 유실 등 문제가 있을 수 있는 부분이 있어 git 에서 처리되지 않돌독 되어있어 에러가 발생합니다. HAHWUL #> git push -u ...
[CODING] git pull 사용 시 강제로 pull 하기

a2sv update 기능을 만들던 중 git을 이용하여 pull 하는 과정을 넣었는데 이 부분에서 계속 에러가 발생하였습니다. Updating 9733895..9ccb963 error: Your local changes to the follow...
[HACKING] Frida를 이용한 멀티 플랫폼 후킹(Hooking to multi platform with Frida / Android / iOS / Other..)

간만에 툴 소개를 좀 할까 합니다. 오늘 이야기드릴 툴은 .. Frida 입니다. 파이썬 기반의 라이브러리 + Command로 구성되어 있고 Native App에 대한 후킹을 통해 분석에 도움을 줄 수 있는 프로그램이죠. What is Frid...
CSP(Content-Security-Policy) Bypass technique

진작에 정리한다고 했는데, 바쁘다보니 거의 2주되어서야 글이 마무리되네요.. 웹 보안 테스팅 중 가끔 이런 케이스 만나보시적이 있나요? XSS가 되었지만, 실제로 실행이 안되는 경우 Content Security Policy: 페이지 설정으로 인...
Jenkins RCE Vulnerability via NodeJS(using metasploit module)

최근에 따로 봤었던 내용인데, 톡방으로 관련 내용 공유( https://pentest.com.tr/exploits/Jenkins-Remote-Command-Execution-via-Node-JS-Metasploit.html )받아 이참에 블로그 포스팅...
[CODING] HTML/CSS 글자 테두리 적용하기(Apply text border) / text-shadow

웹에서 간단하게 글자에 테두리를 넣는 방법입니다. CSS에서 text-shadow 를 통해 그림자를 넣고, 그림자 색상을 지정하여 테두리처럼 보이도록 꾸밀 수 있습니다. font.css text-shadow: -1px 0 #F2F1F6...

Since 2010 HAHWUL

Hit enter to search :)