[WARNING] 또야주의

이전 글 2-1. 취약한 CORS 유형 (1) - 반사된 ACAO 및 True ACAC 개요 챕터 2에서는 CORS를 어떻게 설정하면 보안에 취약해지는가를 알아보기 위해서, 1) 취약한 설정 확인 방법 2) 대응방안을 알아보도록 한다. 확인 과정 일단 Burp Suite나 ZAP를 통해 패킷을 잡아 likethefirst.tistory.com 실습 요구사항 Lab: CORS vulnerability with basic origin reflection https://portswigger.net/web-security/cors/lab-basic-origin-reflection-attack 환경 정보 🌐 요청 Cross-origin인 XHR 요청 서버 🌍 응답 Access-Control-Allow-Origin..

실습 요구사항 환경 정보 🌐 요청 Cross-origin인 XHR 요청 서버 🌍 응답 Access-Control-Allow-Origin이 와일드카드 (*)로 설정된 웹 서버 소스코드 및 웹 서버 설정 🌐 요청 단 ACAO를 와일드카드로 설정하여 ACAC는 true로 설정할 수 없다. 그러므로 withCredentials를 true로 설정할 경우 응답을 받을 수 없으므로 일단 생략한다. 또한 ACAC가 true가 아니므로 쿠키정보는 받을 수 없기에, Response의 form에 SESSIONID가 숨어있다고 (백 번 양보해서..) 가정한다. (생각보다 Response에 개인정보가 평문으로 존재하는 경우가 많으니까) '당신의 CORS는 안전합니까요 !?' 버튼을 클릭하면 result div에 응답 텍스트가 ..

유형 (3) 설명 로컬에서 서버 대상으로 테스트 개발을 진행하고자 할 때, 아래와 같은 에러가 발생한다. Access to script at 'file:///C:/경로/접근하고자 하는 파일' from origin 'null' has been blocked by CORS policy: Cross origin requests are only supported for protocol schemes: http, data, chrome, chrome-extension, https. 즉 이 경우는 서버 프로젝트를 직접 로컬에 다운받아 개발을 테스트하는 경우에서 많이 발생하며, file:// 프로토콜을 통해 로컬 파일 시스템으로 html 등을 열게 된다. 👉 그래서 '내 환경에서 내 파일을 여는데 왜 SOP가 아니라..

에러 배경 이미 구축된 Wazuh 서버에 worker 서버 한 대를 더 추가하기 위해, filebeat / SSL 인증서 배포 / wazuh-manager 패키지 설치를 수행했다. 이후 대시보드에서 추가한 worker의 API를 보려고 하면 이 오류가 발생했다. 저는 한을 풀터이니 결론부터 보고 싶으시다면 조금 더 아래로 가주십시오... 확인 과정 🧚‍♀️ 다른 API들은? 정상적으로 대시보드에서 접근할 수 있었다. 🧚‍♀️ 인증서 배포나 패키지 설치 5번 정도 다시 수행하고, 서비스를 재기동했다. 아무 문제 없다. 🧚‍♀️ filebeat test output 수행 결과 모든 분산 indexer와 정상 TLS 통신한다. 🧚‍♀️ /var/ossec/etc/ossec.conf worker 서버의 설정 재..

유형 (2) 설명 2-1. 취약한 CORS 유형 (1) - 반사된 ACAO 및 True ACAC 개요 챕터 2에서는 CORS를 어떻게 설정하면 보안에 취약해지는가를 알아보기 위해서, 1) 취약한 설정 확인 방법 2) 대응방안을 알아보도록 한다. 확인 과정 일단 Burp Suite나 ZAP를 통해 패킷을 잡아 likethefirst.tistory.com 이전 글에서는 응답 Access-Control-Allow-Origin 헤더에 허용할 Origin만 화이트리스트로 관리해야 한다고 했다. 그렇다면 이 ACAO 헤더는 정규표현식을 활용해 example.com의 서브 도메인만 허용할 수 있을 것이다. 취약점 확인 Java에서 다음과 같은 정규표현식으로 화이트리스트를 관리한다고 해보자. private static..