February 2021
Beginner to intermediate
372 pages
6h 48m
Korean
Content preview from 웹 애플리케이션 보안: 정찰, 공격, 방어 세 단계로 배우는 웹 애플리케이션 보안의 모든 것
Become an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month,
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.I wanted to learn C and C++, but it didn't click for me until I picked up an O'Reilly book. When I went on the O’Reilly platform, I was astonished to find all the books there, plus live events and sandboxes so you could play around with the technology.I’ve been on the O’Reilly platform for more than eight years. I use a couple of learning platforms, but I'm on O'Reilly more than anybody else. When you're there, you start learning. I'm never disappointed.I'm always learning. So when I got on to O'Reilly, I was like a kid in a candy store. There are playlists. There are answers. There's on-demand training. It's worth its weight in gold, in terms of what it allows me to do.
201
12
장
XML 외부 엔티티(XXE)
페이로드를
XML
로 변환해야 할 수도 있다.
내부적으로 이와 같이 작동하는 경우가 종종 있어 해커 입장에서는
XML
이 사용되는지 판단하
기 어렵다. 안타깝게도 이런 일은 매우 일반적으로 일어난다. 엔터프라이즈 소프트웨어 회사
는 기존 제품을 완전히 뜯어고치기보다는 부분적으로 업그레이드하는 경우가 많다. 그런 이유
로 현대적
JSON
/
REST
API
가 이면에서 다른
XML
/
SOAP
API
와 인터페이스하는 경우가 많
다. 세계의 수많은 기업에서는 현대적 소프트웨어와 레거시 소프트웨어 시스템을 함께 운영하
며 이러한 통합으로 보안상의 큰 허점이 많이 존재한다.
앞의 예에서
XML
이 아닌 페이로드는 서버에서
XML
로 변환되어 다른 소프트웨어 시스템에
전송된다. 하지만 내부적인 지식이 없는 우리가 이런 것을 어떻게 알아낼 수 있을까?
한 가지 방법은 테스트하는 웹 애플리케이션을 소유한 회사의 배경을 조사해보는 것이다. 회사
에서 맺은 소프트웨어 라이선스와 관련해 공개된 정보가 있을 수 있다.
웹 페이지에서 별도 시스템이라든지 회사에 속하지 않은
URL
을 통해 제공되는 데이터가 있는
지 찾아볼 수도 있다. 또한
CRM
이나 회계, 인사 업무용의 오래된 기업용 소프트웨어 패키지는
저장할 수 있는 데이터 구조에 제약이 있는 경우가 많다. 이러한 소프트웨어 패키지에서 어떤
데이터 타입을 기대하는지 알면 외부에 공개된
API
의 데이터에서 받아들이는 데이터 포맷을
추정할 수도 있다.
12.3
마치며
XXE
공격은 이해하기도 ...
Become an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month,
and much more.
Read now
Unlock full access
More than 5,000 organizations count on O’Reilly
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.Julian F.
I wanted to learn C and C++, but it didn't click for me until I picked up an O'Reilly book. When I went on the O’Reilly platform, I was astonished to find all the books there, plus live events and sandboxes so you could play around with the technology.Addison B.
I’ve been on the O’Reilly platform for more than eight years. I use a couple of learning platforms, but I'm on O'Reilly more than anybody else. When you're there, you start learning. I'm never disappointed.Amir M.
I'm always learning. So when I got on to O'Reilly, I was like a kid in a candy store. There are playlists. There are answers. There's on-demand training. It's worth its weight in gold, in terms of what it allows me to do.