Hacking(2)
-
중앙일보 쿠키 취약점 이용한 추천수 조작
취약점 개요 브라우저의 쿠키값 전체를 삭제하는것만으로 추천수를 조작할 수 있게된다. 분명히 악용될 소지가 있다고 판단했고 중앙일보측에 취약점을 제보했다. 해당 취약점은 2020년 2월 중순에 발견한 취약점이고 아래 영상또한 취약점이 존재하던 2월 중순에 녹화한것이다. 취약점을 신고했기에 현재는 중앙일보측에서 해당 취약점을 Fix한 상태이기에 영상을 공개한다. 쿠키를 삭제하고 비공감 버튼을 클릭하자 제한없이 비공감수가 카운팅되어 빠르게 간단한 클리커 매크로를 제작하여 사용하니 빠르게 비공감 횟수가 느는것을 확인할 수 있다. 간단히 크롬 브라우저의 웹사이트 Cookie값을 변조할 수 있는 Edit This Cookie라는 크롬 확장프로그램을 사용했으며, 중앙일보만 국한된것이 아닌 추천/비추천을 익명의 이용자..
2020.03.31 -
파이썬 Eval 함수의 보안적 취약점
많은 프로그래밍 언어들이 eval 함수를 가지고있다. 그중에서도 파이썬의 eval 함수는 사용에 있어 주의해야한다. 이 eval함수에 관련된 취약점이 다른 프로그래밍 언어에도 존재하는지는 잘 모르겠으나, 파이썬의 eval함수는 취약점을 가지고있다. 아래 예제 코드를 살펴보자 assert eval("2 + 3 * len('hello')") == 17 파이썬의 eval함수는 문자열을 포함하여 연산할 수 있는 편리한 기능을 가지고있다. 하지만 이 기능은 매우 강력하지만 문자열을 허용하기때문에 신뢰할 수 없는 입력에서 사용하는것은 매우 위험하다. 만약 eval함수에 인자로 주어진 문자열이 "os.system('rm -rf/')"라고 가정한다면 리눅스 시스템의 모든 파일이 삭제될것이다. 하지만 이는 실 시스템에서..
2020.03.22