인증우회 ( Auth Bypass ) 1. 보통은 아이디와 패스워드를 입력하는 로그인 페이지를 타켓으로 행해지는 공격이고 , SQL 쿼리문의 TRUE / FALSE 의 논리적 연산 오류를 이용하여 로그인 인증 쿼리문이 무조건 TRUE의 결과값이 나오게 하여 인증을 무력화시키는 기법 2. 취약한 로그인 인증의 처리 방식이다. 3. 인증우회를 위한 공격 쿼리 패턴으로는 아래와 같은 것들이 있고 , 쿼리의 결과를 무조건 참 ( TRUE ) 로 만들 수 있는 쿼리라면 무엇이든 그 패턴이 될 수 있다. ‘or 1 = 1-- ‘or 1 = 1# ( MySQL 일 때 ) ‘or ‘dog’=’dog’-- ‘or ‘ab’=’a’+’b’-- ‘or 2>1-- 4. 웹사이트가 사용자에게 알려주는 친절한 메시지들을 잘 살펴보..

SQL 인젝션 공격의 원리 1. SQL 인젝션 공격의 원리 è SQL 인젝션 공격에 취약점이 발생하는 곳은 웹 애플리케이션과 데이터베이스가 연동되는 부분에 공격자가 임의의 SQL 명령어를 삽입하여 공격하는 것 2. SQL injection 공격 : “파라미터를 이용한 쿼리의 재구성” è 웹 어플리케이션이 뒷 단에 있는 Database에 질의(쿼리)를 하는 과정 사이에 일반적인 값 외에 악의적인 의도를 갖는 구문을 함께 삽입하여 공격자가 원하는 SQL 쿼리문을 실행하는 대표적인 웹해킹기법 SQL injection 공격 예시 1. 구글에 inurl:.php?id=를 검색한다 2. 그러면 웹주소에 .php?id=가 포함된 모든 웹사이트를 검색한다 구글에 입력하면 다음과 같은 결과값들이 뜨는데 공통적인 사항들은..

SQL 인젝션 공격 연습을 하기 위해서는 Webgoat 깔려 있어야 한다 깔려 있다는 가정하에 진행하겠다.1.guest로 로그인하고 Injection flaws 하단에 stage 1 : String SQL injection 클릭 2.인증을 우회하기 위해서 SQL 문자열 삽입을 이용해야 한다. SQL 인젝션 공격을 통해 정확한 패스워드없이 관리자 ('Neville')로 로그인한다. 클릭 후 비밀번호을 입력해 주는데 , 아무번호나 입력해 본다.그러면 다음과 같이 로그인 실패 화면이 뜰 것이다. 3.우리는 다음과 같이 admin으로 로그인을 해주고 , 비밀번호는 ‘or’‘=’ 입력해준다. 4.로그인 성공 화면이 다음이다. 5. 간단한 인증 우회 SQL 문자열 삽입 C:\Users\user\Desktop\3학년..

나머지 10%의 의미 1. A에 X 값이 주어졌다고 가정하면 , B 에 Y가 들어갈 확률은 시행횟수의 70% , Z가 들어갈 확률은 시행횟수의 20%라는 것을 의미 2. 나머지 10% 만큼은 어떤 값이든 들어갈 수 있다. 3. 이런 방식으로 전문가는 객체B에 알려진 두 가지 값 ( Y,Z) 뿐만 아니라 아직 관찰하지 않은 다른 값이 들어갈 수 있다는 가능성을 남겨둔다. 4. 확신도가 전파되려면 규칙의 전건에 있는 증거가 불확실할 때 그 규칙의 후건에 대해 최종적인 확실성을 정할 수 있어야 한다 5. 전건이 하나인 규칙의 최종적인 확실성 , cf(H,E)는 전건의 확신도 cf(E)에 규칙의 확신도 cf를 곱하여 구할 수 있게 된다 è Cf(H,E) = cf(E) x cf 다음 예제를 통해서 이해를 해 보자..

확신도이론과 증거 추론 ( cf , certainty factor ) 1. 확신도 이론은 베이즈 추론의 대안으로 알려짐 2. 확신도의 최대값은 +1.0 이고 , 최소값은 -1.0 è + 값은 신뢰의 정도를 나타내고 , - 값은 불신의 정도 3. 형태는 다음과 같이 생겼다 4. IF THEN {cf } è Cf는 증거 E가 발생했다고 할 때 가설 H에 대한 신뢰를 나타낸다 5. 신뢰와 불신의 정도는 사전 확률과 조건부 확률 형식으로 정의할 수 있다. P(H) : 가설 H가 참일 사전 확률P(H | E ) : 증거 E가 주어졌을 때 , 가설 H가 참일 확률 # MB(H,E)와 MD(H,E)에는 0~1사이의 값이 들어간다# 가설 H에 대한 신뢰 or 불신이 강도는 관찰된 증거 E의 종..

베이즈 방법의 치우침 (bias) 1. 베이즈 추론의 주요 입력에는 확률 값이 들어가야 하고 , 이 값을 할당하는 일은 보통 인간의 판단과 관계가 있다. 2. 그러나 심리학 연구에 따르면 인간은 베이즈 규칙과 모순되지 않는 확률 값을 제대로 도출하지 못하고 , 이는 조건부 확률 값이 전문가가 제시한 사전 확률과 모순될 수도 있다는 것을 의미한다. 다음 예제를 보자 시동을 걸었는데도 출발하지 않고 , 이상한 소리를 내는 차가 있다고 가정해보자차가 이상한 소리를 낼 경우 , 시동 장치가 고장 났을 조건부 확률을 다음과 같이 표현할 수 있음IF 증상은 ‘이상한 소리’다THEN 시동 장치가 고장 났다 {확률 0.7} 차가 이상한 소리를 내는데도 시동 장치가 고장 나지 않을 조건부 확률은 다음과 같다시동 장치가 ..