Dukbong Dukbong

[Web Hacking] picoCTF WebShell SSTI1평소 궁금했던 해킹을 공부하기 위해 OverTheWire Bandit 문제들을 끝내고, “그럼 이제 진짜 CTF를 한번 풀어보자” 싶어서 맨땅에 헤딩하듯 도전했습니다.1. 시작일단 문제를 열었더니 무슨 폼이 하jangto.tistory.com해당 CTF를 풀 때 사용했던 SSTI (Server Side Template Injection)에 대해 제대로 알아보겠습니다.SSTI 취약점은 특히 동적 HTML 응답을 생성하는 서버 측 템플릿 기술에서 자주 발견됩니다.해당 문제는 RCE (Remote Code Execution) 문제로 이어질 수 있기 때문에 강력한 취약점입니다. 아래에 설명한 예시는 CTF에서 사용했을 것이라고 예상되는 Jinja2..

평소 궁금했던 해킹을 공부하기 위해 OverTheWire Bandit 문제들을 끝내고, “그럼 이제 진짜 CTF를 한번 풀어보자” 싶어서 맨땅에 헤딩하듯 도전했습니다.1. 시작일단 문제를 열었더니 무슨 폼이 하나 있고 버튼이 있다.습관적으로 일단 폼에 아무거나 적고 버튼을 누르니깐 그냥 큰 글씨로 내가 적은 그대로 보여주는 기능인가 보다.overthewire bandit 풀던 습관인지 모르나 ls 먼저 적어봤다.2. 분석 ( 1 )숫자든 영어든 한글이든 특수문자든 다 똑같다.뭐 아는 게 없으니 일단 소스코드에 뭐라도 있을까 싶어 F12로 확인해 봤지만 아무것도 없다.뭐 POST 요청이다라는 거 빼곤 알 수 있는 게 없다. 일단 머리를 굴려보자.DB 들락거리는 건 아닌 거 같고 내가 작성한 글자를 가지고 ..