보안/webhacking 검색 결과
52 개의 검색 결과가 있습니다.
보안/webhacking

webhacking.kr old-17

빈페이지에 입력부분과 버튼한개 일단 간단한 sql injection 시도안된다. 페이지 소스를 보자 스크립트 문제였다.밑에 sub함수를 보면 성공페이지로 갈거같은 코드가 봉인다.login,pw.value==unlock일때이다.unlock을 구해보자.역시나 크롬개발자도구를 이용해 console창에 넣어보면 쉽게 unlock을 구할수 있을것이다.7809297.1이라고 나온다. 고대로 입력창에 넣어주면 성공페이지로 넘어간다 혹은url을 통해 접근하고 싶다면 7809297.1/10에 해당하는 값을 url뒤에 ?와 함께 추가해주면 클리어!

2019. 11. 25. 12:47
보안/webhacking

webhacking.kr old-16

소스 코드를 먼저보자 Challenge 16* mv(124)이면 아마 성공으로 예상되는 곳으로 넘어간다.kk(x,y)는 Math.floor함수는 주어진 숫자와 같거나 작은 정수 중에서 가장 큰 수를 반환하는 함수이고Math.random()은 0~1사이의 부동소숫점 의사 난수를 반환하는 함수이다 밑을 보면 그값이 id가 aa인 요소의 색깔에 쓰이는 모습을 볼수있고 x와 y를 이용해 left와 top위치를 잡고있다.즉 kk는 aa의 위치와 색을 잡는 함수이다.(쓸데없다.)mv함수는 키가 눌려질때 동작하는데 event.keyCode함수는 askii코드에 기반하며 keyCode를 반환한다.즉 ASKII코드 124번에 해당하는 문자를 입력하면 이동할것을 보인다. | 를 입력하면 클리어

2019. 11. 25. 12:40
보안/webhacking

webhacking.kr old-15

접근할려고 하면 바로 알림창이 뜨면서 홈으로 돌아가는 모습을 보게 될것이다. 아마 response에 알림창을 띄우고 바로 홈으로 돌아가게 만드는 부분이 있을것으로 추측된다. burpsuit를 켜서 response를 잡아 확인해보자 역시 알림창과 함께 홈으로 돌아가는 script가 있다.reponse로 받은 html을 수정해보자 location.href='/';를 제거하면 될거같다.혹은 15번으로 가는 https://webhacking.kr/challenge/js-2/에 ?getFlag를 추가하여 바로 이동해도 성공화면을 볼수있다.

2019. 11. 25. 12:24
보안/webhacking

webhacking.kr old-14

입력창이 하나있는 화면으로 이동한다.일단 html코드를 한번보자 해석해보면 일단 버튼 클릭시 서버로 submit하는게 아니다.버튼을 클릭시 밑의 스크립트 함수가 동작하는 것을 볼수있따.밑의 함수를 해석해보자url을 담고 .kr의 위치를 반환하고 있다.그것에 30을 곱하고 입력값과 같으면 다른 url로 이동하고 아니면 경고창이 뜨는 방식이다. https://webhacking.kr/challenge/web-10/index.php 의 .kr의 위치수는 0부터 시작한다 .kr의 시작위치는 18 세기 귀찮다면 윗부분만 크롬개발자도구에서 돌려보면 쉽게 구할수있다.18*30=540 540을 입력하고 버튼을 눌러주면 클리어바로 링크를 이동하고 싶다면 url뒤에 ?291600(540*540)을 입력해주면 바로 성공화면..

2019. 11. 25. 08:27
보안/webhacking

webhacking.kr old-12

스크립트 난독화 문제이다. 크롬 개발자도구로 확인해보자 일단 정렬 부터 해보자 https://www.strictly-software.com/unpacker#unpacker위사이트를 통해 들여쓰기를 한모습을 보여줄려고 햇으나 이렇게 하고 디코더에 넣으면 인코딩이 되지않는다. 그냥 그대로 소스를 넣자 ﾟωﾟﾉ= /｀ｍ´）ﾉ ~┻━┻ //*´∇｀*/ ['_']; o=(ﾟｰﾟ) =_=3; c=(ﾟΘﾟ) =(ﾟｰﾟ)-(ﾟｰﾟ); (ﾟДﾟ) =(ﾟΘﾟ)= (o^_^o)/ (o^_^o);(ﾟДﾟ)={ﾟΘﾟ: '_' ,ﾟωﾟﾉ : ((ﾟωﾟﾉ==3) +'_') [ﾟΘﾟ] ,ﾟｰﾟﾉ :(ﾟωﾟﾉ+ '_')[o^_^o -(ﾟΘﾟ)] ,ﾟДﾟﾉ:((ﾟｰﾟ==3) +'_')[ﾟｰﾟ] }; (ﾟДﾟ) [ﾟΘﾟ] =((ﾟωﾟﾉ=..

2019. 11. 24. 13:03
보안/webhacking

webhacking.kr old-11

페이지 소스 view-source pat에 정규식 패턴이 저장되고 그것에 맞으면 정답이 열린다.패턴을 살펴봐자정규식 참고https://hamait.tistory.com/342 [1-3] =>1~3중 하나[a-f]{5} => a~f사이중 아무거나 5개_ => _.* => .이 0회 이상 (무시해도 되는부분)_SERVER[REMOTE_ADDR] => 사용자 ip.* =>.이 0회 이상 (무시해도 되는부분)\t => (tab)p => p\t => (tab)a => a\t => (tab)s => s\t => (tab)s => s 이렇게 나누어 볼수있다.합쳐보면 EX)?val=1aaaaa_.사용자ip.%09p%09a%09s%09s사이에 점은 안넣어도 많이넣어도 무방하며 TAB은 URL encondig을통해 %09..

2019. 11. 24. 11:22