[10] Paros, Proxy, url 파라미터 변조

- 2015.03.20

 

임시 강사 수업

 

1. 사전 준비

1) paros 다운로드

http://sourceforge.net/projects/paros/files/Paros/Version%203.2.13/

exe. zip 파일 모두 받기

 

 

2) java se jdk 다운로드 - 32bit 용

http://oracle.com/technetwork/java/index.html

실습에선 7 버전을 사용
http://www.oracle.com/technetwork/java/javase/downloads/jdk7-downloads-1880260.html

 

 

3) Paros - Proxy 설정

C:Program Files (x86)Javajdk1.7.0_75  에 java가 정상적으로 설치 되었는지 확인

시스템 - 고급 시스템 설정 - 고급 - 환경 변수 - Path
   - C:Program Files (x86)Javajdk1.7.0_75bin; - 확인 - 확인 - 확인

in cmd
   java -version   으로 자바가 정상 설치 되었는지 확인

바탕화면의 바로가기 실행했을 때 경로가 다르게 나왔다면
   C:Program Files (x86)Javajdk1.7.0_75binjavaw.exe  를 선택 해준다.

 

Paros에서 Tools - option - Local proxy  에서 localhost / 8080  인지를 확인

웹 브라우저 인터넷 옵션 - 연결 - LAN 설정 - 프록시서버 에 127.0.0.1 / 8080 기재 후 확인

이제 웹브라우저에서 사이트 이동을 하면 Paros에 목록이 뜬다.

 

 

4)

우측 메뉴 - Trap 아래쪽에  Trap request, Trap response 를 선택하면
Paros 에서 Continue를 누르며 웹페이지 이동하는데, 이 때 단계별로 내가 제어 가능하다.

 

 

 

2. URL 파라미터 변조

1) 동적 방식

원본
board/filedownload.asp?style=pds_etc&filename=bun.hwp&b_idx=1070

변조
board/filedownload.asp?style=pds_etc&filename=.....변조

 

 

2) Null Byte Injection

file name 뒤에 Null 값이 있는 것을 참조하여
../../../../etc/passwd NULL.jpg 등의 방법을 통해 시스템 파일을 다운로드

 

 

3) 멀티 파라미터 변조

 

 

4) 히스토리 파일을 통한 계정과 암호추출

각 사용자의 .bash_history 를 다운받아 분석하여 공격

 

 

5) 웹 로그를 통한 관리자 권한 획득

../../../../usr/...log/ 등을 통해 log를 보면

Get 방식이라면 아래와 같이 로그가 남음.
... /manage/login?&id=admin&pw=1234 ...

 

 

6) HTTP Header 값 변조를 통한 시스템 파일 접근