R's Hacking Daily Log

Blind OS command injection vulnerabilities 앞에서 살펴본 command injection은 공격자가 입력한 Command 결과를 확인할 수 있었다. Lab1에서와 같이 Check stock 버튼을 눌렀을 때 재고가 출력되는 부분에 Whoami command 결과가 나타나는 것을 확인했을 것이다. 하지만 반대로 command 결과를 확인할 수 없는 Blind 취약점일 경우도 존재한다. Blind라는 개념을 이해하기 위해 다음과 같은 상황을 상상해 보자. :) 사용자가 피드백을 작성할 수 있는 사이트 :) 사용자가 자신의 이메일과 피드백 내용을 입력 :) 서버에서는 피드백을 받으면 해당 내용으로 메일을 만들어 Administrator에게 전달 이때 서버에서는 다음과 같은 c..