○ NIST는 클라우드 네이티브 애플리케이션에서 제로트러스트 아키텍처(ZTA)를 구축하기 위한 접근제어 정책 및 지침관련 NIST SP 800-207A*를 발간(’23.9) ▪ 클라우드 네이티브 애플리케이션(Cloud Native Application) - (정의) 기획·설계 단계부터 클라우드 환경을 고려하여 설계한 애플리케이션 - (배경) 클라우드 사용 환경이 확장됨에 따라 클라우드 네이티브 애플리케이션 도입 증가 ⇒ NIST는 클라우드 보안 강화를 위해 네이티브 애플리케이션에 ZTA를 구축하기 위한 접근제어 정책 및 지침 등 분석 보고서 발간 * NIST, A Zero Trust Architecture Model for Access Control in Cloud-Native Applications i..

[dreamhack] rev-basic-8 문제 풀이 목차 문제 설명 해결 과정 Exploit 코드 문제 요약 문제 설명 - rev-basic-8번의 문제설명 이 문제 설명에 의해서 단순히 문자열 값을 입력받아 문자열이 맞았는지 판별하여 correct, wrong을 출력하는 프로그램입니다. 해결 과정 - x64dbg를 이용해 동적분석 후 FLAG값을 취득하는 과정 동작 방식 확인하기 이 함수는 사용자에게 Input값을 입력받아 chall8.7FF73713100 함수에서 값에서 FLAG인지 아닌지 판별해 eax에 값을 가져와서 0인지 아닌지를 통해 Correct, Wrong을 출력하는 함수임을 보아 메인함수로 추측해 볼 수 있다 이함수는 rax의 값이 21인지 확인한후 n번째 문자열과 0xFB를 곱해서 0..

제로트러스트(ZT): “신뢰할 수 있는 네트워크”라는 개념 자체를 배제하며, 기업망 내외부에 언제나 공격자가 존재할 수 있고, 명확한 인증 과정을 거치기 전까지 모든 사용자, 기기 및 네트워크 트래픽을 신뢰하지 않으며, 인증 후에도 끊임없이 신뢰성을 검증함으로써 기업의 정보 자산을 보호할 수 있는 “Never Trust, Always Verify”라는 문구로 대표되는 보안 모델이다. 제로트러스트는 전통적인 사이버 보안 접근방식인 경계 기반 보안으로는 업무 환경의 변화와 진화하는 공격에 대응할 수 없어 등장하게 되었다. 최근 벌어지는 수많은 해킹 및 랜섬웨어 공격 사례는 경계기반 보안 방식의 한계점을 보여주고 있다. 여러 해킹 사례를 살펴보면, 해커들은 공격 과정에서 1차적으로 피싱과 같은 사회적 공격이나..

안녕하세요 이번에는 Runtime 조작을 수행해 보겠습니다. 런타임 조작을 통해 앱이 실행될 때 흐름 조작, 정보 유출 등이 가능. 런타임 조작을 사용하여 인스턴스 변수 수정, 로컬 로그인 검사 우회, 무차별 강제 핀 코드 사용 가능 1. 앱 실행 Runtime Manipulation 실행 START 도전! 로그인 메소드, 인증 코드 우회 등을 수행 예정 임의의 ID/PW 입력 시 에러 발생 클래스 확인 후 의심되는 메소드 확인 예정 의심되는 메소드를 찾기 위해 frida 클래스 검색을 위해 코딩 수행 이후 프리다를 이용해 클래스 확인 해당 명령어로 조회 시 모든 클래스가 검색 되기에, find 를 이용하여 Login 문자열만 검색 검색 시 LoginValidate라는 의심가는 클래스 확인 해당 클래스를..

안녕하세요. 이번에는 불필요한 권한 사용하는 방버베 대한 취약점을 알아보도록 하겠습니다. 앱에 접근 권하니 필요하다는 것을 알리기 위해 UsageDescription 키를 앱으 info.plist파일에 저장 Permission Key Bluetooth NSBluetoothAlwaysUsageDescription 블루투스 사용 Calendar and Reminders NSCalendarsUsageDescription 사용자 캘린더 사용 NSRemindersUsageDescription 사용자 미리 알림 사용 Camera and Microphone NSCameraUsageDescription 카메라 사용 NSMicrophoneUsageDescription 마이크 사용 Contacts NSContactsUsa..

개요 이번 장에서는 AD 도메인 서버를 최초 구성했을 때, 기본적으로 어떤 계정이 어떤 권한을 부여받은 채로 생성되는지 기본적으로 존재하는 권한 그룹의 종류와 해당 그룹이 가지고 있는 정책에 대해서 알아보자. AD 기본 계정 최초로 AD Domain Server를 구축하게 되면 아래와 같이 세 개의 계정(Administrator, Guest, krbtgt)이 생성된다. CMD 창을 띄우서 "net /domain user {계정}" 명령을 통해해당 계정들의 상세정보를 출력해보자 1. Administrator - 설명: 도메인 최고 수준의 권한을 가진 관리자 계정 - 용도: 도메인 관리 작업, 보안 작업, 필요한 모든 작업 - 권한: *Administrators, *Group Policy Creator, *..