GRINI

ObjectId 란? MongoDB는 Document 기반 데이터베이스인데, ObjectId는 해당 Document 내에서 유일함을 보장하는 12byte 값으로, RDBMS의 Primary key와 같다. Primary key는 DBMS가 부여하지만, ObjectId는 클라이언트에서 생성한다는 점이 차이가 있다. ObjectId 구조 Inc Counter은 처음 랜덤한 값에서 자동으로 Increment 되는 값이다. Reference https://docs.mongodb.com/manual/reference/method/ObjectId/ ObjectId — MongoDB Manual Reference > mongo Shell Methods > Object Constructors and Methods Ob..

.htpasswd 파일 이란? 서버의 특정 디렉토리에 HTTP Basic Authentication을 설정하여 접근 제한할 때 필요한 파일로 사용자명과 패스워드에 대한 정보를 저장하고 있는 파일이다. [참고] https://en.wikipedia.org/wiki/.htpasswd .htpasswd 형식 grini:$1$0FP4wdQ8$nC4xODrh4cGLHQ8Vkmpzk1 계정ID:$해시 알고리즘 종류$솔트 값$해시된 패스워드 값 [참고] - foswiki.org/Development/ImproveHtPaswdUserFlexibility - httpd.apache.org/docs/current/misc/password_encryptions.html .htpasswd 생성 방법 1. apache2-uti..

# Account Takeover Due to Response Manipulation _ \$4100 avanishpathak46.medium.com/an-account-takeover-vulnerability-due-to-response-manipulation-e23fe629bd1 An Account Takeover Vulnerability Due to Response Manipulation. - No doesn’t necessarily mean no.! Responses can always be manipulated avanishpathak46.medium.com 원작자는 해당 타겟 사이트에서 이전에도 Account Takeover 취약점을 발견한 이력이 있다. 우선, 이전 글을 살펴보자. Accou..

# icloud.com Stored XSS _ \$5000 vbharad.medium.com/stored-xss-in-icloud-com-5000-998b8c4b2075 Stored XSS in icloud.com — $5000 Hello Guys hope you all are doing well, fine and healthy during this hard time. vbharad.medium.com 원작자는 icloud.com을 타겟으로 정한 후, CSRF, IDOR, Logic Bugs 등의 취약점을 찾기 위해 노력하다 XSS를 찾기로 결정하였다. 값을 삽입할 수 있는 다양한 곳에 페이로드를 삽입하면서 입력한 페이로드가 응답에 반영되는 페이지를 찾기 위해 많은 시도를 하였고, 결국 페이로드가 반영되..

X-Forwarded-For (XFF)는 HTTP Proxy (또는 Load Balancers, Caching Server) 등을 통해 웹 서버에 접속하는 클라이언트의 IP 주소를 식별하기 위한 사실상 표준 헤더이다. (표준화된 버전은 HTTP Forwarded Header이다.) 웹 서버(또는 WAS)와 클라이언트 사이에 Proxy Server (또는 Load Balancers, Caching Server) 등의 장비가 있는 경우, 서버 접근 로그는 Proxy Server의 IP만 갖고 있기 때문에 Proxy Server의 IP를 요청한 IP로 인식하게 된다. 이때, X-Forwarded-For 헤더를 통해 웹 프로그램이 실제 요청한 클라이언트의 IP를 파악할 수 있다. [문법] X-Forwarded-..