어플리케이션 보안

[관련 PDF 파일]
OWASP_Top_10__2013_Final_Korean.pdf
2011_cwe_sans_top25.pdf
2011_cwe_sans_top25_KR(SANS코리아).pdf
소프트웨어_개발보안_가이드(2012년_5월).pdf
소프트웨어_보안약점_진단가이드(2012년_5월).pdf
(3판)_C_시큐어_코딩_가이드.pdf
(3판)_JAVA_시큐어_코딩_가이드.pdf
(2판)_Android-JAVA_시큐어_코딩_가이드.pdf

[테스트 환경 셋팅]
1)CentOS-5.10-i386-192168023-root-passmd.ova 다운로드
2)virtual 설치
virtualbox.centos -> 시작
root
passmd
r+click -> terminal 열기 
#service httpd start
ps -ef | grep httpd
192.168.x.x
cd /var/www/html/
ls
cat > index.html

.....

3)windows에 접속
teraterm/zterm 설치
port : 22
username : linux
password:passmd
su -
passmd
4)Proxy Tool
burp suite (by java)
1>install java7
2>burp suite download(burp_suite.jar)
3>burp_suite.jar->R+Click -> 연결프로그램 -> Java7 JRE
4>burp 실행 -> Proxy Tab이 보임
5>후속조치! IE->Burp->www.naver.com
            옵션-LAN-Proxy 설정(127.0.0.1 8080)
6.IE : http://www.naver.com 클릭 후 burp suite Proxy Tab에서 Formard 후 단계 별 확인(RAW 탭)

[APMSETUP]
http://www.apmsetup.com/
Apmsetup : admin(root)/apmsetup
Mysql : root/apmsetup

[취약점 테스트 사이트]
http://demo.testfire.net
http://restphp.vulnweb.com/

[WebGoat 5.4 설치 및 로그인]
https://code.google.com/p/webgoat/downloads/list
WebGoat 5.4 for Windows - download, unzip, click to run version 다운로드
WebGoat 5.4 압축풀어 실행 -> webgoat_8080.bat
http://localhost:8080/WebGoat/attack
ID/PW : guest/guest

Start WebGoat 클릭

[프록시 툴]
1)버프 프록시(Burp Proxy)
http://www.portswigger.net/
2)피들러(Fiddler)
http://www.fiddler2.com
3)파로스(Paros)
http://sourceforge.net/projects/paros
4)템퍼 데이터(Tamper Data) : 파이어폭스에서만 동작
http://tamperdata.mozdev.org

[주요 자바스크립트 개발 프레임워크] => 동적 웹사이트 제작시 유용
1)Dojo : http://dojotoolkit.org/
2)Direct Web Remoting : http://directwebremoting.org/
3)GWT : http://www.gwtproject.org/
4)Mootools : http://mootools.net/
5)jQuery : http://jquery.com/
6)Prototype : http://prototypejs.org
7)YUI : http://developer.yahoo.com/yui

[유용한 사이트]
http://www.w3.org/
https://www.owasp.org/index.php/Korea
http://www.regular-expressions.info/ 

[교재 : 해킹 초보를 위한 웹 공격과 방어]
1)크로스사이트 스크립팅
2)크로스사이트 요청 위조 : CSRF(Cross-Site Request Forgery)
3)SQL 인젝션
4)잘못된 서버 설정과 예측 가능한 웹페이지
5)인증 방식 우회
6)로직공격
7)신뢰할수 없는 웹