실습 시작 전 준비
1. FullstackLAB 실행
C:\FullstackLAB\run.bat를 실행합니다.
이클립스에서 TomCat을 실행합니다.
2. VMware를 실행합니다.
Window xp, Bee-Box, Kali Linux를 모두 실행합니다.
3. Window xp에서 프록시를 설정하고 burp suite를 실행합니다.
WebGoat(웹고트) LAB:SQL Injection - String SQL Injection
모든 회원의 정보를 조회하면 문제해결
(1) Window xp에서 http://victim:8080/WebGoat/attack 사이트로 이동하여 목록에서 String SQL Injection을 찾아 이동합니다. (webgoat / webgoat)
(2) Enter your last name에 Smith를 입력합니다.
=> 쿼리문을 확인해보면 사용자 입력 값이 아무런 처리 없이 사용되는 것을 확인할 수 있습니다.
(3) Proxy를 이용하여 서버로 전달되기 전에 값을 조작해야합니다.
(3)-1 burp suite에서 Intercept is on으로 바꿔줍니다.
(3)-2 검색창에 Smith를 입력하고, burp suite에서 account_name 값을 조작하여 공격을 수행합니다.
변경 값 > account_name = Smith' or '1'='1
(4) 결과 확인
=> 모든 회원의 정보를 확인할 수 있습니다.