annyoung

모의해킹 용도로 Insomnia API를 사용하는데, 크롬에서 복사한 Copy As cURL을 Insomnia API에 붙여넣으면 multipart/form으로 선언 되지만 param, value는 들어가지 않는다. 그래서 너무 불편해서.. Insomnia API에서 사용하는 multipart/form에 맞춰서 curl을 다시 생성한다. import re import pyperclip result = [] lines = pyperclip.paste().split('\n') print('\n'.join(lines[0:-2])) for idx, line in enumerate(lines): # throw the --compress option if line[2:].startswith('--data-raw')..

시간이 지나면서 해킹에 있어 XSS는 가지각색의 케이스가 있으며 다양한 이름으로 불린다. 대부분 서버에 저장되어 발생하는 저장형(Stored XSS)과 저장되지 않고 클라이언트 HTML에만 반영되는 반사형(Reflected XSS)으로 나눌 수 있으며, 여기서 더 상세하게 나눠보면 파라미터 입력값 파싱을 위해 클라이언트 JS에서 반영되어 발생하는 DomXSS, 더 나아가서 XSS가 발생했는지 여부를 모르는 경우 Blind XSS라 칭한다. 이를 방어하기 위해서는 필자가 생각하기엔 다음과 같은 두가지 방법이 있다. 1) 애초 당시에 XSS를 방지하기 위해서 입력되는 모든 값에 대해 HTML이 반영되지 않도록 Entity Character로 변환하는 과정을 거쳐야 한다. 는 >로 치환하여 클라이언트 사이드에..

frida-ps -Uai 위 명령어로 프로세스 목록 출력해주고, frida --codeshare federicodotta/ios13-pinning-bypass -U -U 파라미터 뒤에는 프로세스 아이디 넣어서 attach한 후 %resume 사용하면 된다.