Dukbong Dukbong

ProblemUser-Agent를 조작하여 검증을 우회 하세요.Working through problems문제를 살펴보니 서버가 HTTP 요청의 User-Agent 값을 검사하여 이를 기반으로 접근을 제어하는 방식으로 구현되어 있습니다.그러나 User-Agent는 클라이언트 측에서 쉽게 조작이 가능한 헤더로 이를 신뢰하여 인증 또는 인가를 수행하는 것은 보안상 매우 취약한 설계에 해당합니다.1. Header 조작 후 테스트Header에 User-Agent=admin을 추가하여 요청을 보냈습니다.curl -H "User-Agent: admin" http://challenge01.root-me.org/web-serveur/ch2/결과는 다음과 같았습니다. Welcome master! Password: 비밀번호