정보보안(구버전)/ bWAPP 2019. 2. 25. 16:08
웹 해킹 bWAPP - 108. A9 - Using Known Vulnerable Components - phpMyAdmin BBCode Tag XSS
본 내용은 교육 과정에서 필요한 실습 목적으로 구성된 것이며, 혹시라도 개인적인 용도 및 악의적인 목적으로 사용할 경우, 법적 책임은 본인에게 있다는 것을 알려드립니다.
1. Using Known Vulnerable Components
- OWASP Top10 A9 - 알려진 취약점이 있는 구성 요소 사용
- 슈퍼유저 권한으로 운영되는 취약한 라이브러리/프레임워크, 기타 SW 모듈로 인한 데이터 유실 및 서버 권한 획득이
가능한 취약점이다.
2. phpMyAdmin BBCode Tag XSS
- 이 시나리오는 PHP 관리자 페이지 관련 파일 중에 'error.php'에 BBcode(@)를 이용하여 XSS를 실행하는 내용이다.
- 취약점 버전 : PhpMyAdmin 3.3.8.1, 3.4.0-beta1 이전 버전
- CVE-2010-4480 참조 사이트 : https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4480
- bWAPP에 'ccna.html' 파일 생성 실시
108-0. ccna.html 소스.txt
bee@bee-box:/var/www/bWAPP$ sudo vi ccna.html
[sudo] password for bee: bug
|
<html> :wq! |
3. Using Known Vulnerable Components - phpMyAdmin BBCode Tag XSS
Ex1) Using Known Vulnerable Components - phpMyAdmin BBCode Tag XSS 이해
보안 레벨 선택 및 시나리오 선택
CVE-2010-4480 클릭(프록시 때문에 접속 안됨)
PhpMyAdmin 관리자 페이지 접속 확인
'error.php' 페이지 접속 확인
'error.php' 취약점 확인
스크립트 실행 유도 하이퍼 링크 확인 및 클릭 실시
스크립트 실행 확인
[유튜브] 동영상 강의 링크 (구독! 좋아요!!!)
웹해킹 108. A9 - bWAPP Using Known Vulnerable Components - phpMyAdmin BBCode Tag XSS
